▸▾Herleitung der Bewertung(2)
Wie der Wert zustande kommt
- Wird laut Meldung tatsaechlich ausgenutzt: active exploitation, in the wild+12
- EPSS 5.8 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+1
Woraus sich die Konfidenz ergibt
- 8 unabhaengige Herausgeber berichten den Sachverhalt
- Darunter eine behoerdliche Primaerquelle
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
- Fuer 2 erkannte CVE(s) liegt noch kein CVSS-Basiswert vor (NVD-Rueckstau).
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
PHP ships emergency patches for critical PHP2Shell flaws
Das PHP-Sicherheitsteam hat Notfall-Patches für zwei kritische Remote Code Execution (RCE)-Schwachstellen (PHP2Shell) veröffentlicht, die alle PHP-Installationen betreffen, die Webanfragen verarbeiten. Administratoren sollten umgehend auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren oder auf eine unterstützte Version migrieren, falls sie ältere PHP-Versionen verwenden. Es gibt keine anderen wirksamen Gegenmaßnahmen, und erste Angriffe wurden bereits beobachtet.
SecBoard-Einordnung
Diese RCE-Schwachstellen ermöglichen es nicht authentifizierten Angreifern, beliebigen Code auszuführen, was zu einer vollständigen Kompromittierung der betroffenen Systeme führen kann. Da bereits Angriffe beobachtet wurden, besteht ein hohes und unmittelbares Risiko.
Realistisch schlimmster Fall: Nicht authentifizierte Angreifer könnten die Kontrolle über betroffene PHP-Server übernehmen, sensible Daten exfiltrieren, weitere Systeme im Netzwerk kompromittieren oder die Verfügbarkeit von Diensten beeinträchtigen.
Empfehlung: Administratoren sollten umgehend auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren oder auf eine unterstützte, gepatchte Version migrieren, falls ältere PHP-Versionen verwendet werden.
Im erfassten Bestand
- ▸CVE-2026-109618 kommt damit in 15 erfassten Meldungen der letzten 90 Tage vor.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- unbekannt
- EPSS
- 5.8%
- Über das Netz
- unbekannt
- Anmeldung nötig
- unbekannt
- Nutzerinteraktion nötig
- unbekannt
- Angriffskomplexität
- unbekannt
- Beeinträchtigt
- unbekannt
- Patch
- unbekannt
- Zuweisende CNA
- security@php.net
- CVSS
- unbekannt
- EPSS
- 5.3%
- Über das Netz
- unbekannt
- Anmeldung nötig
- unbekannt
- Nutzerinteraktion nötig
- unbekannt
- Angriffskomplexität
- unbekannt
- Beeinträchtigt
- unbekannt
- Patch
- unbekannt
- Zuweisende CNA
- security@php.net
Betroffen
Alle Organisationen, die PHP-Installationen betreiben, die Webanfragen verarbeiten, sind betroffen.
Prüfen
3- ▸Überprüfen Sie alle PHP-Installationen auf die aktuell installierte Version und stellen Sie sicher, dass diese gepatcht ist (8.5.12, 8.4.27, 8.3.36 oder 8.2.35).
- ▸Scannen Sie Ihre extern zugänglichen Webserver auf Anzeichen von PHP2Shell-Exploits oder ungewöhnlicher Aktivität, die auf eine Kompromittierung hindeutet.
▸ 1 weitere▾ weniger
- ▸Stellen Sie sicher, dass ein Notfallplan für die schnelle Bereitstellung von Patches und die Reaktion auf potenzielle Kompromittierungen vorhanden ist.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die spezifischen CVE-IDs der Schwachstellen sind im Artikel nicht genannt.
- ▸Details zu den beobachteten Angriffen (z.B. Angreifer, Ziele, Auswirkungen) sind nicht spezifiziert.
- ▸Die genaue Art der 'memory corruption issues' ist nicht spezifiziert.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir WordPress extern erreichbar?
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„critical remote code execution (RCE) vulnerabilities“
„These flaws allow unauthenticated attackers to gain remote code execution“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- Sophos X-OpsTechnischer BelegProof-of-concept exploit released for PHP vulnerabilities (CVE-2026-109618, CVE-2026-109619)
- SecurityWeekKontextPHP2Shell: Mass Exploitation Looms for Leaked Critical PHP Flaws
- CISA Current ActivityPrimärbelegCritical Vulnerabilities in PHP Require Immediate Patching
- Unit 42Technischer BelegThreat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619
- BleepingComputerKontextPHP ships emergency patches for critical PHP2Shell flaws
- SecurelistTechnischer BelegCritical RCE vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619)
- Exploit-DBTechnischer Beleg[remote] PHP2Shell (CVE-2026-109618) - PHP core versions after v5.4 - RCE
- GitHub TrendingFrüherkennungphp2shell-poc — CVE-2026-109618/109619 — 5 RCE chains + detection rules (Suricata, Sigma, ModSecurity). PHP session.upload_progress pre-auth exploit research.
Der Vorgang wird seit 1 Tagen berichtet.
Quellen & Belege· 8 unterschiedliche Quellen
Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
Kuratierte Exploit-Sammlung; technisch pruefbar, aber ohne Kontext zur Ausnutzung.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Nutzer-/popularitaetsgetriebene Sammlung, Zuverlaessigkeit je Beitrag verschieden.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile