STACKIT-2026-002: Emergency-Patch für PHP – CVE-2026-109618 & CVE-2026-109619

In PHP wurden zwei kritische Schwachstellen festgestellt (bekannt als „PHP2Shell“), die eine unauthentifizierte Remote-Code-Ausführung auf Webservern mit PHP-Anwendungen ermöglichen. Betroffen sind alle PHP-Versionen, mindestens bis PHP 5 zurück. Prüfen Sie umgehend Ihre Systeme und setzen Sie die erforderlichen Maßnahmen um.

Metadaten

Eigenschaft	Wert
Advisory-ID	STACKIT-2026-002
Veröffentlichungsdatum	2026-10-21
Schweregrad	Kritisch
Betroffener Dienst	Von STACKIT verwaltete Dienste / selbst verwaltete PHP-Workloads

Übersicht

Das PHP Security Team hat zwei kritische Schwachstellen in PHP veröffentlicht (CVE-2026-109618 und CVE-2026-109619), die in der Branche als „PHP2Shell“ bekannt sind. Die Schwachstellen betreffen alle PHP-Versionen, mindestens bis PHP 5 zurück, einschließlich der nicht mehr unterstützten Versionen, in gängigen PHP-Bereitstellungen wie PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.

Über diese Schwachstellen können nicht authentifizierte Angreifer schadhaften Code auf Webservern mit PHP-Anwendungen ausführen. Ein Proof of Concept ist öffentlich verfügbar, und es wurden Ausnutzungsversuche gemeldet, darunter auch Versuche vor Veröffentlichung der Patches. Die Schwachstellen werden in den Sicherheitsversionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben; das PHP Security Team stellt zusätzlich Backport-Patches für die nicht mehr unterstützten Versionen 7.4, 8.0 und 8.1 bereit.

Betroffene Versionen

Die Sicherheitslücken betreffen die folgenden PHP-Versionen:

• PHP < 8.5.12 (PHP-8.5-Zweig)
• PHP < 8.4.27 (PHP-8.4-Zweig)
• PHP < 8.3.36 (PHP-8.3-Zweig)
• PHP < 8.2.35 (PHP-8.2-Zweig)
• PHP 5.x–7.3 (nicht mehr unterstützt; keine Behebung verfügbar)

Das PHP Security Team stellt Backport-Patches für die nicht mehr unterstützten Versionen 7.4, 8.0 und 8.1 bereit. Die nicht mehr unterstützten PHP-Versionen 5.x–7.3 erfordern eine Migration auf einen unterstützten Zweig.

Identifizierte CVEs

Im Rahmen dieses Sicherheitshinweises wurden die folgenden Common Vulnerabilities and Exposures (CVEs) identifiziert und adressiert:

• CVE-2026-109618
• CVE-2026-109619

Erforderliche Maßnahmen

Selbst verwaltete PHP-Systeme

• Prüfen Sie alle selbst betriebenen PHP-Installationen auf die betroffenen Versionen, einschließlich in Drittanbieter-Produkten eingebetteter PHP-Komponenten (z. B. Firewalls, Router und Netzgeräte mit PHP-basierten Weboberflächen).
• Installieren Sie zeitnah die verfügbaren Sicherheitsupdates auf eine der bereinigten Versionen: PHP ≥ 8.5.12, ≥ 8.4.27, ≥ 8.3.36 oder ≥ 8.2.35, bzw. wenden Sie die Hersteller- oder Distributions-Backport-Patches für die nicht mehr unterstützten Versionen 7.4, 8.0 und 8.1 an.
• Migrieren Sie die nicht mehr unterstützten PHP-Versionen 5.x–7.3 auf einen unterstützten Zweig.
• Beschränken Sie den Netzwerkzugriff auf PHP-Websysteme strikt auf autorisierte Hosts und interne Netzwerke und setzen Sie bis zum Abschluss der Patch-Vorgänge Web-Application-Firewall-Regeln ein (öffentliche Regelsätze für diese Schwachstellen werden in der BSI-Warnung referenziert).

Von STACKIT verwaltete Dienste

• Plattform-Updates: Für die betroffenen Dienste wurden entsprechende Plattform-Updates beauftragt und für die Bereitstellung der Sicherheitspatches über die gesamte Service-Infrastruktur vorbereitet bzw. eingespielt.
• Für Anwendungen auf STACKIT Cloud Foundry: Prüfen Sie die von Ihren Anwendungen verwendete PHP-Version und aktualisieren Sie auf eine der bereinigten Versionen.

Referenzen

• BSI: Cybersicherheitswarnung 2026-297981-1032 (v1.2, 22.10.2026)
• PHP Security Team: Ankündigung der Sicherheitsversion, 21.10.2026
• GitHub Advisories:
  • GHSA-w8hw-w9fx-j79w
  • GHSA-6wmf-4rv5-p3rp
• CERT-EU: Security Advisory 2026-018
• ENISA: Joint Statement on Critical PHP Vulnerabilities

Kontakt und Support

Bei Fragen zu diesem Sicherheitshinweis oder zur Absicherung Ihrer Systeme steht Ihnen das STACKIT Support-Team zur Seite:

• Erstellen Sie ein Ticket über das STACKIT Help Center.
• Wenden Sie sich per E-Mail an cybersecurity@stackit.cloud.