▸▾Herleitung der Bewertung(2)
Wie der Wert zustande kommt
- Hinweis auf verfuegbaren Angriffscode: poc+10
- EPSS 5.8 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+1
Woraus sich die Konfidenz ergibt
- 8 unabhaengige Herausgeber berichten den Sachverhalt
- Darunter eine behoerdliche Primaerquelle
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
- Fuer 2 erkannte CVE(s) liegt noch kein CVSS-Basiswert vor (NVD-Rueckstau).
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
php2shell-poc — CVE-2026-109618/109619 — 5 RCE chains + detection rules (Suricata, Sigma, ModSecurity). PHP session.upload_progress pre-auth exploit research.
CVE-2026-109618/109619 — 5 RCE chains + detection rules (Suricata, Sigma, ModSecurity). PHP session.upload_progress pre-auth exploit research. · Sprache: Python · Topics: cve-2026-109618, cve-2026-109619, detection-rules, exploit, php-exploit, php-security · ⭐ 1,088 Stars
SecBoard-Einordnung
Die Möglichkeit zur Remote Code Execution vor der Authentifizierung stellt ein erhebliches Risiko dar, da Angreifer ohne vorherige Zugangsdaten die Kontrolle über betroffene Systeme erlangen können. Dies kann zu Datenkompromittierung, Systemausfällen oder der Installation weiterer Malware führen.
Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer die vollständige Kontrolle über betroffene Webserver erlangen, sensible Daten exfiltrieren, die Infrastruktur für weitere Angriffe nutzen oder die Systeme unbrauchbar machen.
Empfehlung: Überprüfen Sie Ihre PHP-Konfigurationen auf die Verwendung von `session.upload_progress` und implementieren Sie die bereitgestellten Erkennungsregeln in Ihren IDS/IPS- und WAF-Systemen. Halten Sie Ihre PHP-Installationen und Anwendungen auf dem neuesten Stand und überwachen Sie die offiziellen PHP-Sicherheitsankündigungen für Patches.
Im erfassten Bestand
- ▸CVE-2026-109618 kommt damit in 23 erfassten Meldungen der letzten 90 Tage vor.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- unbekannt
- EPSS
- 5.8%
- Über das Netz
- unbekannt
- Anmeldung nötig
- unbekannt
- Nutzerinteraktion nötig
- unbekannt
- Angriffskomplexität
- unbekannt
- Beeinträchtigt
- unbekannt
- Patch
- unbekannt
- Zuweisende CNA
- security@php.net
- CVSS
- unbekannt
- EPSS
- 5.3%
- Über das Netz
- unbekannt
- Anmeldung nötig
- unbekannt
- Nutzerinteraktion nötig
- unbekannt
- Angriffskomplexität
- unbekannt
- Beeinträchtigt
- unbekannt
- Patch
- unbekannt
- Zuweisende CNA
- security@php.net
Betroffen
Organisationen, die PHP-Anwendungen mit der `session.upload_progress`-Funktion betreiben, sind potenziell betroffen.
Prüfen
3- ▸Überprüfen Sie, ob Ihre PHP-Anwendungen die `session.upload_progress`-Funktion nutzen und wie diese konfiguriert ist.
- ▸Implementieren und testen Sie die bereitgestellten Suricata-, Sigma- und ModSecurity-Erkennungsregeln in Ihrer Umgebung.
▸ 1 weitere▾ weniger
- ▸Führen Sie Scans auf Ihren Webservern durch, um die Existenz der genannten CVEs zu identifizieren und die Wirksamkeit Ihrer Patches zu überprüfen.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Spezifische PHP-Versionen, die von den Schwachstellen betroffen sind, sind im Artikel nicht genannt.
- ▸Details zu den genauen Auswirkungen der einzelnen RCE-Ketten sind nicht spezifiziert.
- ▸Es ist nicht angegeben, ob Patches für diese CVEs bereits verfügbar sind oder wann sie erwartet werden.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Sind wir hiervon betroffen — und können wir es detektieren?
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„5 RCE chains“
„CVE-2026-109618/109619 — 5 RCE chains + detection rules (Suricata, Sigma, ModSecurity). PHP session.upload_progress pre-auth exploit research.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- Sophos X-OpsTechnischer BelegProof-of-concept exploit released for PHP vulnerabilities (CVE-2026-109618, CVE-2026-109619)
- SecurityWeekKontextPHP2Shell: Mass Exploitation Looms for Leaked Critical PHP Flaws
- CISA Current ActivityPrimärbelegCritical Vulnerabilities in PHP Require Immediate Patching
- Unit 42Technischer BelegThreat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619
- BleepingComputerKontextPHP ships emergency patches for critical PHP2Shell flaws
- SecurelistTechnischer BelegCritical RCE vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619)
- Exploit-DBTechnischer Beleg[remote] PHP2Shell (CVE-2026-109618) - PHP core versions after v5.4 - RCE
- GitHub TrendingFrüherkennungphp2shell-poc — CVE-2026-109618/109619 — 5 RCE chains + detection rules (Suricata, Sigma, ModSecurity). PHP session.upload_progress pre-auth exploit research.
Der Vorgang wird seit 1 Tagen berichtet.
Quellen & Belege· 8 unterschiedliche Quellen
Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
Kuratierte Exploit-Sammlung; technisch pruefbar, aber ohne Kontext zur Ausnutzung.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Nutzer-/popularitaetsgetriebene Sammlung, Zuverlaessigkeit je Beitrag verschieden.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile