Aktualisieren Sie PHP-Installationen umgehend auf die Versionen 8.5.12, 8.4.27, 8.3.36 oder 8.2.35.
▸▾Herleitung der Bewertung(5)
Wie der Wert zustande kommt
- Hoechster CVSS-Basiswert 9.8+18
- Wird laut Meldung tatsaechlich ausgenutzt: in the wild+12
- Hinweis auf verfuegbaren Angriffscode: poc, proof-of-concept, weaponized+10
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-109618, CVSS-Vektor AV:N/PR:N)+10
- EPSS 11.6 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+2
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
PHP2Shell Exploit Attempts Hit Millions as Attackers Try to Deploy Mirai Malware
Angreifer versuchen, Millionen von Systemen über neu entdeckte PHP2Shell-Schwachstellen (CVE-2026-109618, CVE-2026-109619) mit der Mirai-Botnet-Variante "Potassium" zu infizieren. Betroffen sind Systeme mit ungepatchten PHP-Versionen, die anfällig für Remote Code Execution sind. Nutzer sollten ihre PHP-Installationen umgehend auf die Versionen 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren, um sich vor diesen DDoS-Angriffen zu schützen.
SecBoard-Einordnung
Organisationen, die anfällige PHP-Installationen betreiben, sind einem hohen Risiko ausgesetzt, Teil eines Mirai-Botnets zu werden, was zu DDoS-Angriffen und einer Kompromittierung der Systemintegrität führen kann.
Realistisch schlimmster Fall: Erfolgreiche Ausnutzung führt zur vollständigen Übernahme des betroffenen Systems, zur Integration in ein Botnet für DDoS-Angriffe und potenziell zu weiteren unautorisierten Aktivitäten.
Im erfassten Bestand
- ▸CVE-2026-109618 kommt damit in 32 erfassten Meldungen der letzten 90 Tage vor.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 9.8 · CRITICAL
- EPSS
- 11.6%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- Patch
- unbekannt
- Zuweisende CNA
- security@php.net
- CVSS
- 8.1 · HIGH
- EPSS
- 6.0%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- hoch
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- Patch
- unbekannt
- Zuweisende CNA
- security@php.net
Betroffen
Systeme mit ungepatchten PHP-Versionen, die anfällig für Remote Code Execution sind.
Hersteller
Produkte
▸ CPE-Rohbezeichner anzeigen▾ CPE-Rohbezeichner ausblenden (17)
- cpe:2.3:a:php:php:*:*:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:*:*:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:-:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h10:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h11:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h12:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h13:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h14:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h15:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h16:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h17:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h18:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h19:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h1:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h20:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h2:*:*:*:*:*:*
- cpe:2.3:o:siemens:ruggedcom_ape1808_firmware:-:*:*:*:*:*:*:*
Prüfen
3- ▸Überprüfen Sie alle PHP-Installationen auf die aktuellsten Patch-Stände (8.5.12, 8.4.27, 8.3.36 oder 8.2.35).
- ▸Suchen Sie in Netzwerkprotokollen nach ungewöhnlichem ausgehendem Datenverkehr, der auf Mirai-Botnet-Aktivitäten hindeuten könnte.
▸ 1 weitere▾ weniger
- ▸Implementieren und überprüfen Sie Intrusion Detection/Prevention Systeme (IDS/IPS) auf Signaturen, die mit PHP2Shell-Exploits oder Mirai-Varianten in Verbindung stehen.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die genaue Methode der Remote Code Execution ist im Artikel nicht spezifiziert.
- ▸Die spezifischen Branchen oder geografischen Regionen, die am stärksten betroffen sind, sind nicht spezifiziert.
- ▸Details zu den Angreifergruppen oder deren Motivation über die Botnet-Bereitstellung hinaus sind nicht spezifiziert.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Möglich
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Cisco extern erreichbar?
- Haben wir WordPress extern erreichbar?
- Können wir Persistence detektieren?
MITRE ATT&CK(5)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Mirai-Botnet-Variante "Potassium" zu infizieren.“
„Angreifer versuchen, Millionen von Systemen über neu entdeckte PHP2Shell-Schwachstellen (CVE-2026-109618, CVE-2026-109619) zu infizieren.“
„Betroffen sind Systeme mit ungepatchten PHP-Versionen, die anfällig für Remote Code Execution sind.“
„um sich vor diesen DDoS-Angriffen zu schützen.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
0
Ausnutzung
0
Einnistung
1
Fernsteuerung
0
Zielhandlung
0
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile
ATT&CK-Heatmap