▸▾Herleitung der Bewertung(5)
Wie der Wert zustande kommt
- Im CISA-KEV-Katalog: CVE-2026-109618, CVE-2026-109619, CVE-2026-46300+25
- Hoechster CVSS-Basiswert 9.8+18
- EPSS 100.0 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+15
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-109618, CVSS-Vektor AV:N/PR:N)+10
- Betrifft KRITIS-nahe Branche: behoerden+5
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Limited reports of PHP bug exploitation emerge
Zwei kürzlich entdeckte PHP-Schwachstellen (CVE-2026-109618 und CVE-2026-109619, „PHP2Shell“) werden aktiv ausgenutzt. Betroffen sind unter anderem US-Regierungsserver und Firewalls, wobei ein chinesischer Akteur verdächtigt wird. Organisationen sollten umgehend Patches installieren, um sich vor Ausnutzung zu schützen.
SecBoard-Einordnung
Die aktiven Ausnutzungen der PHP-Schwachstellen können zu Root-Zugriff und der Installation von Webshells führen, was eine vollständige Systemkompromittierung ermöglicht. Dies stellt ein erhebliches Risiko für die Datenintegrität und -vertraulichkeit dar.
Realistisch schlimmster Fall: Der schlimmste Fall ist die vollständige Kompromittierung von Systemen, einschließlich Firewalls, durch einen externen Akteur, der Root-Zugriff erlangt und persistente Webshells installiert. Dies könnte zu weitreichendem Datenverlust, Spionage oder Sabotage führen.
Empfehlung: Organisationen sollten umgehend verfügbare Patches für CVE-2026-109618 und CVE-2026-109619 installieren und ihre Systeme auf Anzeichen einer Kompromittierung überprüfen.
Im erfassten Bestand
- ▸CVE-2026-109618 kommt damit in 61 erfassten Meldungen der letzten 90 Tage vor.
- ▸CVE-2026-109618 stand zum Zeitpunkt dieser Meldung seit 3 Tagen im KEV-Katalog der CISA.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 9.8 · CRITICAL
- EPSS
- 100.0%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2026-10-26
- Patch
- unbekannt
- Zuweisende CNA
- security@php.net
- CVSS
- 8.1 · HIGH
- EPSS
- 100.0%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- hoch
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2026-10-26
- Patch
- unbekannt
- Zuweisende CNA
- security@php.net
- CVSS
- 7.8 · HIGH
- EPSS
- 16.1%
- Über das Netz
- nein
- Anmeldung nötig
- ja
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2026-10-28
- Patch
- unbekannt
Betroffen
Organisationen, die PHP-basierte Systeme betreiben, insbesondere US-Regierungsserver und Firewalls, sind betroffen.
Hersteller
Produkte
▸ CPE-Rohbezeichner anzeigen▾ CPE-Rohbezeichner ausblenden (24)
- cpe:2.3:a:php:php:*:*:*:*:*:*:*:*
- cpe:2.3:a:redhat:openshift_container_platform:*:*:*:*:*:*:*:*
- cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
- cpe:2.3:o:linux:linux_kernel:7.1:rc1:*:*:*:*:*:*
- cpe:2.3:o:linux:linux_kernel:7.1:rc2:*:*:*:*:*:*
- cpe:2.3:o:linux:linux_kernel:7.1:rc3:*:*:*:*:*:*
- cpe:2.3:o:linux:linux_kernel:7.1:rc4:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:*:*:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:-:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h10:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h11:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h12:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h13:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h14:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h15:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h16:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h17:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h18:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h19:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h1:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h20:*:*:*:*:*:*
- cpe:2.3:o:paloaltonetworks:pan-os:10.2.7:h2:*:*:*:*:*:*
- cpe:2.3:o:siemens:ruggedcom_ape1808_firmware:-:*:*:*:*:*:*:*
- cpe:2.3:o:siemens:simatic_s7-1500_cpu_1518-4_pn\/dp_mfp_firmware:*:*:*:*:*:*:*:*
Prüfen
3- ▸Überprüfen Sie, ob PHP-Versionen mit den Schwachstellen CVE-2026-109618 und CVE-2026-109619 in Ihrer Umgebung vorhanden sind.
- ▸Suchen Sie in Ihren Systemprotokollen und Netzwerkverkehr nach Anzeichen für die Installation von Webshells oder ungewöhnlichem Root-Zugriff.
▸ 1 weitere▾ weniger
- ▸Stellen Sie sicher, dass alle Firewalls und PHP-basierten Anwendungen mit den neuesten Sicherheitspatches aktualisiert sind.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die genaue Art der US-Regierungsserver, die betroffen sind, ist nicht spezifiziert.
- ▸Die spezifischen Versionen von PHP, die anfällig sind, sind nicht im Artikel genannt.
- ▸Details zur Linux-Schwachstelle CVE-2026-46300, die mit PHP2Shell verkettet wird, sind nicht spezifiziert.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Ja
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Active Directory / Entra extern erreichbar?
- Haben wir VPN extern erreichbar?
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„um Firewalls zu kompromittieren und Root-Zugriff zu erlangen“
„Zwei kürzlich entdeckte PHP-Schwachstellen (CVE-2026-109618 und CVE-2026-109619, „PHP2Shell“) werden aktiv ausgenutzt.“
„einen chinesischen Akteur verdächtigt wird ... Webshells zu pflanzen.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Redaktion mit eigener Recherche und eigenen Quellen, regelmaessig Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile
Branchenlage