---

📌 Überblick

PHP2Shell bezeichnet ein Paar von Zero-Day-/kritischen Schwachstellen, die in der PHP-Kern-Engine entdeckt wurden (CVE-2026-109618 und CVE-2026-109619). Diese Schwachstellen ermöglichen es nicht authentifizierten Angreifern, beliebigen Code (RCE) auf Servern auszuführen, die anfällige PHP-Konfigurationen verwenden.

   ┌───────────────────────────────┐
   │     Unauthenticated Attacker  │
   └───────────────┬───────────────┘
                   │
                   ▼ 🟣 Exploit Payload
   ┌───────────────────────────────┐
   │   PHP Engine Core Processing  │
   │ (Stream Filters / PHAR Arch)  │
   └───────────────┬───────────────┘
                   │
                   ▼ ⚡
   ┌───────────────────────────────┐
   │   Arbitrary Shell Execution   │
   └───────────────────────────────┘

⚡ Schwachstellendetails

Parameter	Details
Schwachstellen	CVE-2026-109618 & CVE-2026-109619
CVSS v4.0 Score	9.2 (Kritisch)
Vektor	CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H
Auswirkung	Nicht authentifizierte Remote-Code-Ausführung (RCE)
Betroffene Software	PHP 5.x, PHP 7.x, PHP 8.0, 8.1, 8.2, 8.3, 8.4

🟣 Bedrohungsanalysen

1. CVE-2026-109618: Heap-Speicherkorruption in Stream-Filtern

• Mechanismus: Verletzung der Speichersicherheit, ausgelöst während der internen Pufferverarbeitung innerhalb von PHP-Stream-Filtern.
• Angriffsvektor: Die Manipulation von Stream-Parametern ermöglicht es einem Angreifer, Speicheradressen zu kontrollieren und Codeausführung zu erreichen.

2. CVE-2026-109619: Logikfehler bei der PHAR-Archivverarbeitung

• Mechanismus: Fehler in der Parsing- und Deserialisierungslogik von PHP-Archiv-Wrappern (.phar).
• Angriffsvektor: Vom Angreifer kontrollierte Header-Eingaben führen zu beliebiger Funktionsaufrufung.

---

📸 Demo

---

🛡️ Abschwächung & Behebung

1. PHP-Pakete aktualisieren

Die wirksamste Lösung besteht darin, Ihren Server umgehend auf die neuesten gepatchten PHP-Binärdateien zu aktualisieren:

# Debian / Ubuntu
sudo apt update && sudo apt install --only-upgrade php8.3-cli php8.3-fpm

# RHEL / CentOS / Rocky Linux
sudo dnf update php

2. Notfall-Workarounds (für EOL-Umgebungen)

Wenn Ihre Anwendung auf End-of-Life (EOL)-Versionen (z. B. PHP 7.x oder 8.0) angewiesen ist, die keine offiziellen Sicherheitspatches erhalten:

• 🟣 Stream-Filter / gefährliche Funktionen deaktivieren: Bearbeiten Sie Ihre php.ini-Datei:

disable_functions = exec,passthru,shell_exec,system,proc_open,popen,phar

• 🟣 WAF / Netzwerkfilterung: Implementieren Sie strikte Web Application Firewall (WAF)-Regeln, um Anfragen zu blockieren, die serialisierte Stream-Protokolle (php://filter/, phar://) enthalten.
• 🟣 Netzwerkisolierung: Isolieren Sie Legacy-Server hinter strengen internen Netzwerken/VPNs.

---

🔍 Erkennung & Verifizierung

Um zu überprüfen, ob Ihr PHP-Server potenziell anfällig ist:

# Check running PHP version
php -v

# Check loaded modules and PHAR settings
php -i | grep -i "phar"

🤝 Mitwirken

Beiträge, Bedrohungsaktualisierungen und Erkennungsregeln (YARA / Sigma) sind willkommen!

1. Forke das Repository
2. Erstelle einen Feature-Branch (git checkout -b feature/sigma-rule)
3. Committe deine Änderungen (git commit -m 'Add Sigma detection rule')
4. Pushe den Branch (git push origin feature/sigma-rule)
5. Öffne einen Pull Request

---

📜 Haftungsausschluss

Dieses Repository wurde ausschließlich zu Bildungs-, Verteidigungs- und Forschungszwecken erstellt. Die Maintainer sind nicht verantwortlich für Missbrauch oder illegale Aktivitäten, die mit den hierin bereitgestellten Informationen durchgeführt werden.