https://wiki.ixheim.de/index.php?action=history&feed=atom&title=CVE-2026-109618CVE-2026-109618 - Versionsgeschichte2026-11-11T13:55:29ZVersionsgeschichte dieser Seite in Xinux WikiMediaWiki 1.43.11https://wiki.ixheim.de/index.php?title=CVE-2026-109618&diff=73909&oldid=prevThomas.will: Neue Seite: PHP2Shell (CVE-2026-109618/109619), Beschreibung und Fix, kein PoC2026-10-22T05:16:14Z<p>Neue Seite: PHP2Shell (CVE-2026-109618/109619), Beschreibung und Fix, kein PoC</p>
<p><b>Neue Seite</b></p><div>=Beschreibung=<br />
CVE-2026-109618 und CVE-2026-109619, zusammen bekannt als „PHP2Shell", sind zwei kritische<br />
Sicherheitslücken im '''PHP-Core''' selbst, nicht in einer einzelnen Anwendung (CVSS 9.2, „kritisch").<br />
Beide wurden am 21.10.2026 bekannt und sind '''ohne Anmeldung aus der Ferne ausnutzbar'''<br />
(unauthenticated remote code execution).<br />
<br />
;CVE-2026-109618<br />
Eine Speicherverwaltung außerhalb des verfügbaren Arbeitsspeichers (''Out-of-Memory-Handling'')<br />
kann PHP mitten in der Verarbeitung einer Anfrage unterbrechen, während deren Daten erst teilweise<br />
aufgebaut sind. Die anschließende Aufräumroutine behandelt diese unvollständigen Daten fälschlich<br />
als gültig. Auslöser ist unter anderem das Parsen von '''Multipart-Uploads''' (<code>multipart/form-data</code>),<br />
wie es praktisch jede Datei-Upload-Funktion verwendet.<br />
<br />
;CVE-2026-109619<br />
Zustand, der eigentlich nur einer einzelnen Anfrage gehört, kann seine eigene Freigabe im Speicher<br />
überleben. Eine spätere Anfrage auf demselben PHP-FPM-Worker kann diesen bereits freigegebenen<br />
Speicher benutzen, bevor er zurückgesetzt wurde (''Use-after-free'' über Anfragegrenzen hinweg).<br />
<br />
=Betroffen=<br />
Alle PHP-Installationen vor den gepatchten Versionen:<br />
{| class="wikitable"<br />
! Zweig !! gepatcht ab<br />
|-<br />
| PHP 8.5 || 8.5.12<br />
|-<br />
| PHP 8.4 || 8.4.27<br />
|-<br />
| PHP 8.3 || 8.3.36<br />
|-<br />
| PHP 8.2 || 8.2.35<br />
|-<br />
| PHP 8.1 und älter || '''kein offizieller Fix''' mehr<br />
|}<br />
Nach Angaben von Sicherheitsforschern reicht die zugrundeliegende Schwachstelle in ihrer Wirkung<br />
bis PHP 5.4 zurück, offiziell bestätigt ist das für die PHP-5-Reihe nicht.<br />
<br />
=Einschätzung zur Ausnutzung=<br />
Ein Proof of Concept ist öffentlich geleakt, ein fertiges Angriffswerkzeug kursiert bereits.<br />
Massenhafte, automatisierte Ausnutzung wird von mehreren Sicherheitsfirmen erwartet bzw. beobachtet,<br />
unter anderem unauthentifizierte Codeausführung gegen Magento-Installationen. Scans auf<br />
Internet-Teleskopen zählen weltweit mehrere Millionen potenziell betroffene, erreichbare Instanzen.<br />
<br />
=Proof of Concept=<br />
PoC folgt.<br />
<br />
=Fix=<br />
;Gepatchte Version einspielen (der eigentliche Fix)<br />
*Debian/Ubuntu: <code>apt update && apt upgrade</code><br />
*RHEL/Rocky: <code>dnf update</code><br />
*Docker-Images: Image neu ziehen – '''Achtung''', offizielle Images waren am Tag der Veröffentlichung<br />
teils noch nicht mit dem gepatchten PHP neu gebaut. Nach dem Update mit <code>php -v</code> die<br />
tatsächliche Version prüfen, nicht nur das Datum des Image-Zugs.<br />
*Nach dem Update den PHP-Prozess (php-fpm, Apache-Modul, Container) neu starten, ein <code>apt upgrade</code><br />
allein reicht nicht.<br />
<br />
;Wenn (noch) kein Patch verfügbar ist<br />
*Betroffenen Dienst vom Internet trennen oder hinter eine Firewall/VPN legen, bis gepatcht werden kann.<br />
*Multipart-Uploads am Reverse Proxy/WAF einschränken oder vorübergehend blocken (Auslöser von CVE-2026-109618).<br />
*PHP 8.1 oder älter: Umstieg auf einen unterstützten Zweig (mind. 8.2), da es keinen offiziellen Fix gibt.<br />
<br />
[[Kategorie:Security]]</div>Thomas.will