Sofortiges Update auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35.
▸▾Herleitung der Bewertung(7)
Wie der Wert zustande kommt
- Im CISA-KEV-Katalog: CVE-2026-109618, CVE-2026-109619+25
- Hoechster CVSS-Basiswert 9.8+18
- EPSS 100.0 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+15
- Wird laut Meldung tatsaechlich ausgenutzt: actively exploited, active exploitation+12
- Hinweis auf verfuegbaren Angriffscode: poc, proof of concept+10
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-109618, CVSS-Vektor AV:N/PR:N)+10
- Betrifft KRITIS-nahe Branche: behoerden+5
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Critical PHP vulnerabilities raise worldwide concerns as government websites go offline, researchers report AI-assisted attacks
Zwei kritische PHP-Schwachstellen (CVE-2026-109618, CVE-2026-109619), bekannt als PHP2Shell, ermöglichen unauthentifizierte Remote-Code-Ausführung und betreffen alle PHP-Installationen, die Webanfragen verarbeiten. Organisationen weltweit, insbesondere solche mit internetexponierten Systemen, sind betroffen. Es wird dringend empfohlen, sofort auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 zu aktualisieren oder betroffene Systeme offline zu nehmen und zu isolieren.
SecBoard-Einordnung
Die Schwachstellen ermöglichen unauthentifizierte Remote-Code-Ausführung, was Angreifern die vollständige Kontrolle über betroffene Systeme geben kann. Dies stellt ein erhebliches Risiko für die Datenintegrität, Vertraulichkeit und Verfügbarkeit dar.
Realistisch schlimmster Fall: Unauthentifizierte Angreifer könnten die vollständige Kontrolle über betroffene Webserver erlangen, sensible Daten exfiltrieren, Ransomware installieren oder die Systeme für weitere Angriffe nutzen, was zu Betriebsunterbrechungen und Reputationsschäden führen kann.
Empfehlung: Sofortiges Update auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Falls ein sofortiges Patching nicht möglich ist, müssen betroffene Systeme offline genommen und isoliert werden.
Im erfassten Bestand
- ▸CVE-2026-109618 kommt damit in 43 erfassten Meldungen der letzten 90 Tage vor.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 9.8 · CRITICAL
- EPSS
- 100.0%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2026-10-26
- Patch
- unbekannt
- Zuweisende CNA
- security@php.net
- CVSS
- 8.1 · HIGH
- EPSS
- 100.0%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- hoch
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2026-10-26
- Patch
- unbekannt
- Zuweisende CNA
- security@php.net
Betroffen
Organisationen weltweit, insbesondere solche mit internetexponierten Systemen und alle, die PHP-Installationen zur Verarbeitung von Webanfragen nutzen, einschließlich Behörden.
Hersteller
Produkte
▸ CPE-Rohbezeichner anzeigen▾ CPE-Rohbezeichner ausblenden (17)
- cpe:2.3:a:php:php:*:*:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:*:*:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:-:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h10:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h11:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h12:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h13:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h14:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h15:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h16:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h17:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h18:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h19:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h1:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h20:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h2:*:*:*:*:*:*
- cpe:2.3:o:siemens:ruggedcom_ape1808_firmware:-:*:*:*:*:*:*:*
Prüfen
3- ▸Überprüfen Sie alle PHP-Installationen auf die aktuell verwendeten Versionen.
- ▸Scannen Sie internetexponierte Systeme auf die Präsenz von PHP-Installationen, die Webanfragen verarbeiten.
▸ 1 weitere▾ weniger
- ▸Stellen Sie sicher, dass ein Notfallplan zur Isolation von Systemen bei nicht sofortiger Patch-Möglichkeit vorhanden ist.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, welche spezifischen kommerziellen oder Open-Source-Produkte, die PHP nutzen, betroffen sind.
- ▸Die genaue Art der 'AI-assisted attacks' wird im Artikel nicht detailliert beschrieben.
- ▸Es wird nicht spezifiziert, welche Regierungswebsites offline gegangen sind oder in welchen Ländern dies geschah.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Ja
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Palo Alto extern erreichbar?
- Haben wir Active Directory / Entra extern erreichbar?
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„ermöglichen unauthentifizierte Remote-Code-Ausführung“
„Zwei kritische PHP-Schwachstellen (CVE-2026-109618, CVE-2026-109619), bekannt als PHP2Shell, ermöglichen unauthentifizierte Remote-Code-Ausführung“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile
Branchenlage