▸▾Herleitung der Bewertung(2)
Wie der Wert zustande kommt
- Hinweis auf verfuegbaren Angriffscode: poc+10
- EPSS 5.8 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+1
Woraus sich die Konfidenz ergibt
- 8 unabhaengige Herausgeber berichten den Sachverhalt
- Darunter eine behoerdliche Primaerquelle
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
- Fuer 2 erkannte CVE(s) liegt noch kein CVSS-Basiswert vor (NVD-Rueckstau).
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Critical RCE vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619)
Zwei kritische RCE-Schwachstellen (CVE-2026-109618, CVE-2026-109619) in PHP, die alle Versionen ab 5.4.0 betreffen, wurden bekannt und ermöglichen unauthentifizierte Codeausführung. Betroffen sind zahlreiche Webseiten, die auf Plattformen wie WordPress, Magento oder Drupal basieren. Administratoren sollten umgehend alle PHP-basierten Systeme inventarisieren, `session.upload_progress.enabled` deaktivieren, Multipart-Anfragen blockieren und die bereitgestellten Patches sofort installieren.
SecBoard-Einordnung
Diese Schwachstellen ermöglichen unauthentifizierten Angreifern die Ausführung beliebigen Codes auf betroffenen Webservern. Dies kann zu einer vollständigen Kompromittierung des Servers und der darauf gehosteten Daten führen.
Realistisch schlimmster Fall: Ein unauthentifizierter Angreifer kann beliebigen Code auf dem Webserver ausführen, was zur vollständigen Übernahme des Systems, Datenexfiltration, Installation von Malware oder zur Nutzung des Servers für weitere Angriffe führen kann.
Empfehlung: Inventarisieren Sie umgehend alle PHP-basierten Systeme, installieren Sie die bereitgestellten Patches und deaktivieren Sie `session.upload_progress.enabled` sowie blockieren Sie Multipart-Anfragen als temporäre Maßnahme.
Im erfassten Bestand
- ▸CVE-2026-109618 kommt damit in 18 erfassten Meldungen der letzten 90 Tage vor.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- unbekannt
- EPSS
- 5.8%
- Über das Netz
- unbekannt
- Anmeldung nötig
- unbekannt
- Nutzerinteraktion nötig
- unbekannt
- Angriffskomplexität
- unbekannt
- Beeinträchtigt
- unbekannt
- Patch
- unbekannt
- Zuweisende CNA
- security@php.net
- CVSS
- unbekannt
- EPSS
- 5.3%
- Über das Netz
- unbekannt
- Anmeldung nötig
- unbekannt
- Nutzerinteraktion nötig
- unbekannt
- Angriffskomplexität
- unbekannt
- Beeinträchtigt
- unbekannt
- Patch
- unbekannt
- Zuweisende CNA
- security@php.net
Betroffen
Alle Organisationen, die Webseiten oder Anwendungen mit PHP-Versionen ab 5.4.0 betreiben, insbesondere solche, die auf Plattformen wie WordPress, Magento oder Drupal basieren.
Prüfen
5- ▸Überprüfen Sie alle PHP-Installationen auf Versionen ab 5.4.0.
- ▸Stellen Sie sicher, dass `session.upload_progress.enabled` in Ihrer PHP-Konfiguration deaktiviert ist.
▸ 3 weitere▾ weniger
- ▸Überwachen Sie Webserver-Logs auf ungewöhnliche Multipart-Anfragen oder Anzeichen von Codeausführung.
- ▸Verifizieren Sie, dass die neuesten PHP-Patches angewendet wurden.
- ▸Testen Sie die Blockierung von Multipart-Anfragen auf Ihren Webservern, um die Auswirkungen zu bewerten.
Offene Punkte
4▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, welche spezifischen PHP-Versionen 5 bis 8 genau betroffen sind, außer dass es ab 5.4.0 beginnt.
- ▸Der genaue technische Angriffsvektor (z.B. spezifische Header oder Parameter) ist nicht detailliert beschrieben.
- ▸Es ist nicht spezifiziert, ob es bereits aktive Exploits in freier Wildbahn gibt.
- ▸Die genaue Auswirkung auf spezifische CMS-Versionen (WordPress, Magento, Drupal) ist nicht detailliert.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Windows extern erreichbar?
- Haben wir WordPress extern erreichbar?
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„ermöglichen unauthentifizierte Codeausführung“
„kritische RCE-Schwachstellen (CVE-2026-109618, CVE-2026-109619) in PHP“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- Sophos X-OpsTechnischer BelegProof-of-concept exploit released for PHP vulnerabilities (CVE-2026-109618, CVE-2026-109619)
- SecurityWeekKontextPHP2Shell: Mass Exploitation Looms for Leaked Critical PHP Flaws
- CISA Current ActivityPrimärbelegCritical Vulnerabilities in PHP Require Immediate Patching
- Unit 42Technischer BelegThreat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619
- BleepingComputerKontextPHP ships emergency patches for critical PHP2Shell flaws
- SecurelistTechnischer BelegCritical RCE vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619)
- Exploit-DBTechnischer Beleg[remote] PHP2Shell (CVE-2026-109618) - PHP core versions after v5.4 - RCE
- GitHub TrendingFrüherkennungphp2shell-poc — CVE-2026-109618/109619 — 5 RCE chains + detection rules (Suricata, Sigma, ModSecurity). PHP session.upload_progress pre-auth exploit research.
Der Vorgang wird seit 1 Tagen berichtet.
Quellen & Belege· 8 unterschiedliche Quellen
Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
Kuratierte Exploit-Sammlung; technisch pruefbar, aber ohne Kontext zur Ausnutzung.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Nutzer-/popularitaetsgetriebene Sammlung, Zuverlaessigkeit je Beitrag verschieden.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile