ncsc-nl/php2shellOperatives Beratungs-Repository zur Verfolgung der PHP-RCE-Schwachstellen CVE-2026-109618 und CVE-2026-109619 mit Anleitungen zur Erkennung und Schadensbegrenzung, Inventaren betroffener Software und Statusaktualisierungen der Hersteller.
Letzte wesentliche Änderung der operativen Informationen: 21. Oktober 2026 17:25 CEST Letzte Statusaktualisierung der Softwareliste: 22. Oktober 2026 17:23 CEST TLP:CLEAR
Dieses Repository enthält operative Informationen zu den kritischen PHP-Schwachstellen, die von CERT-EU als CVE-2026-109618 und CVE-2026-109619 geführt werden.
PHP ist eine weit verbreitete Open-Source-Skriptsprache für die Serverseite, daher können diese Schwachstellen eine breite Palette internetexponierter Webanwendungen und Produkte betreffen, die PHP einbetten oder von PHP abhängen.
Am 21. Oktober 2026 hat PHP korrigierte Versionen für CVE-2026-109618 und CVE-2026-109619 veröffentlicht: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP gibt an, dass beide Schwachstellen eine nicht authentifizierte Remote-Codeausführung ermöglichen können und dass alle PHP-Installationen, die Webanfragen bedienen, gefährdet sind, einschließlich PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. PHP schätzt das Risiko bei mod_php am höchsten ein, da dort eine nicht authentifizierte Anfrage die Ausnutzung auslösen kann, bevor Anwendungscode ausgeführt wird.
PHP beschreibt CVE-2026-109618 als Remote-Codeausführung durch Out-of-Memory-Korruption während der Bereinigung von Anfragen und CVE-2026-109619 als Remote-Codeausführung durch veralteten, anfrageeigenen globalen Zustand, der von einer späteren Anfrage auf demselben Worker wiederverwendet wird. PHP 8.1 und älter werden vom PHP-Projekt nicht mehr unterstützt; Distributionen und LTS-Anbieter stellen möglicherweise zurückportierte Pakete bereit, und PHP hat minimale Quellcode-Backports für PHP 7.4, 8.0 und 8.1 veröffentlicht.
Die Auswirkungen beschränken sich nicht auf Websites: PHP ist auch in Appliances, Netzwerkgeräten, Verwaltungsschnittstellen und anderen Herstellerprodukten eingebettet, bei denen Administratoren PHP möglicherweise nicht direkt aktualisieren können.
session.upload_progress, des Neustarts von Workern und der Prüfung der offiziellen Hinweise zu memory_limit, post_max_size und fatal_error_backtraces in PHP 8.5. PHP gibt an, dass diese Maßnahmen keine vollständigen Korrekturen sind.Weitere Informationen finden Sie unter:
| Verzeichnis | Zweck |
|---|---|
| detection_mitigation | Enthält Material zur Erkennung und Abschwächung der Schwachstellen. |
| software | Enthält Inventarlisten von Softwareprodukten mit einer PHP-Abhängigkeit, die potenziell von den Schwachstellen betroffen sind. |
| tools | Enthält Werkzeuge zur Verwendung/Erzeugung von Dateien innerhalb dieses Repositorys |
Bitte beachten Sie, dass dieses Repository nicht vollständig ist und derzeit erweitert wird.
| Datum und Uhrzeit | Anbieter | Produkt | Version (siehe Status) | Status CVE-2026-109618 | Status CVE-2026-109619 | Hinweise | Links |
|---|---|---|---|---|---|---|---|
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiADC Manager | Untersuchung | Untersuchung | CVE-Bewertung: Fortinet PSIRT FG-IR-26-186 führt das Produkt als in Untersuchung befindlich auf; betroffene/korrigierte Versionen noch nicht veröffentlicht Die Fortinet PSIRT-Mitteilung FG-IR-26-186 führt FortiADC Manager als in Untersuchung befindlich für CVE-2026-109618 und CVE-2026-109619 auf. | source | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiClient Cloud Services | Untersuchung | Untersuchung | CVE-Bewertung: Fortinet PSIRT FG-IR-26-186 führt das Produkt als in Untersuchung befindlich auf; betroffene/korrigierte Versionen noch nicht veröffentlicht Die Fortinet PSIRT-Mitteilung FG-IR-26-186 führt FortiClient Cloud Services als in Untersuchung befindlich für CVE-2026-109618 und CVE-2026-109619 auf. | source | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiDDoS | Untersuchung | Untersuchung | CVE-Bewertung: Fortinet PSIRT FG-IR-26-186 führt das Produkt als in Untersuchung befindlich auf; betroffene/korrigierte Versionen noch nicht veröffentlicht Die Fortinet PSIRT-Mitteilung FG-IR-26-186 führt FortiDDoS als in Untersuchung befindlich für CVE-2026-109618 und CVE-2026-109619 auf. | source | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiDDoS-F | Untersuchung | Untersuchung | CVE-Bewertung: Fortinet PSIRT FG-IR-26-186 führt das Produkt als in Untersuchung befindlich auf; betroffene/korrigierte Versionen noch nicht veröffentlicht Die Fortinet PSIRT-Mitteilung FG-IR-26-186 führt FortiDDoS-F als in Untersuchung befindlich für CVE-2026-109618 und CVE-2026-109619 auf. | source | |
| 2026-10-22 17:23:16 +0200 | Fortinet | FortiEndpoint | Untersuchung | Untersuchung | CVE-Bewertung: Fortinet PSIRT FG-IR-26-186 führt das Produkt als in Untersuchung befindlich auf; betroffene/korrigierte Versionen noch nicht veröffentlicht Die Fortinet PSIRT-Mitteilung FG-IR-26-186 führt FortiEndpoint als in Untersuchung befindlich für CVE-2026-109618 und CVE-2026-109619 auf. | source |
Siehe die vollständige Historie der Software-Statusaktualisierungen.
Wenn Sie zusätzliche Informationen zu diesen PHP-Schwachstellen mitteilen möchten, können Sie gerne einen Pull Request eröffnen. Neu dabei? Lesen Sie in der GitHub-Dokumentation, wie Sie einen Beitrag leisten können.
Für Aktualisierungen der Softwareliste: Unsere ausdrückliche Präferenz ist es, Änderungen in den SPDX-Quelldateien unter software/spdx/ zu erhalten. Die Markdown-Listenseiten werden automatisch aus diesen Dateien generiert. Sollte sich dies als zu schwierig erweisen: keine Sorge. Wir werden versuchen, Änderungen in den .md-Dateien in die SPDX-Quelldateien zu übernehmen, jedoch ohne Gewähr.