Die US-amerikanische Cybersecurity and Infrastructure Security Agency hat am 26. Oktober 2026 zwei PHP2Shell-Schwachstellen in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen. Damit bestätigt sie die Ausnutzung von Fehlern, die es Angreifern erlauben können, auf betroffenen PHP-Installationen ohne Authentifizierung Code auszuführen.
CISAs Warnmeldung nennt CVE-2026-109618 und CVE-2026-109619. Beide tragen CVSS-v4.0-Bewertungen von jeweils 9,2. Laut Siemens wurden die Schwachstellen am 21. Oktober offengelegt. Die Aufnahme in den Katalog belegt jedoch nicht, wann die Ausnutzung begann.
The Hacker News berichtete, dass PHP am 21. Oktober Korrekturen in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht hat und US-Bundesbehörden bis zum 29. Oktober Zeit haben, sie einzuspielen. CISA erklärt, dass ihre verbindliche Richtlinie zum Schwachstellenmanagement für zivile Behörden der US-Bundesexekutive (Federal Civilian Executive Branch) gilt. Andere Organisationen ermutigt die Behörde, katalogisierte Schwachstellen vorrangig zu behandeln.
Was die Belege zur Ausnutzung zeigen
Die Schwachstellen betreffen die Art, wie PHP den Speicher für Webanfragen verarbeitet. Laut dem technischen Hinweis von Arista kann CVE-2026-109618 dazu führen, dass der Anfragespeicher nach einem Out-of-Memory-Fehler nicht initialisiert bleibt, sodass die Bereinigung der Anfrage darauf zugreifen oder darauf reagieren kann. CVE-2026-109619 betrifft einen internen Zustand, der nach der Freigabe des Anfragespeichers weiterhin auf diesen Speicher zeigen kann. Beide Zustände können zur Remote-Code-Ausführung führen.
The Hacker News zitierte Adel Karimi, Leiter für Erkennung und Reaktion bei Perplexity. Karimi bestätigte eine erfolgreiche Codeausführung auf Honeypot-Systemen am 24. Oktober. Er berichtete von einem dekodierten Cookie-Dump von 800 KiB und sagte, eine daraus mit den Offsets des öffentlichen Exploits abgeleitete Funktionsadresse sei in einer späteren Ausführungs-Payload aufgetaucht.
Dieser Befund hat eine klare Einschränkung: Karimi sagte, die demonstrierte Angriffskette habe eine absichtlich günstige Konfiguration mit einem einzigen Worker für mod_php verwendet. Damit wird nicht gemessen, wie zuverlässig der Exploit mit anderen Worker-Zahlen, anderen PHP-Builds oder anderen Anwendungen funktioniert. Die beobachtete Offenlegung von Speicherinhalten und die Ausführung zeigen also, was auf diesen Honeypots geschah. Daraus folgt aber nicht, dass dasselbe Ergebnis für jede betroffene Installation eintritt.
Produktspezifische Statusänderungen bestimmen die nötige Maßnahme
Aristas Hinweis, aktualisiert am 26. Oktober, erklärt, dass keine Arista-Softwareprodukte oder -Plattformen mehr betroffen sind. CloudVision CUE Cloud Service Delivery und Arista Edge Threat Management waren betroffen, haben aber bereits korrigierte PHP-Versionen erhalten. Arista zufolge sind die betroffenen Cloud-Dienste behoben, Kunden müssen also nichts unternehmen. Außerdem erklärt Arista, dass ihm keine böswillige Ausnutzung in Kundennetzen bekannt sei.
Siemens nennt in Sicherheitshinweis SSA-566512 einen anderen betroffenen Bereich: alle RUGGEDCOM-APE1808-Versionen, auf denen Palo Alto Networks PAN-OS in den Release-Linien 10.2, 11.1, 11.2, 12.1 und 12.2 läuft. Kunden sollten sich laut Siemens für Patch- und Update-Informationen an den Support wenden und die Workarounds aus den vorgelagerten Sicherheitsmeldungen von Palo Alto Networks umsetzen.
Diese Betroffenheit erstreckt sich nicht auf jedes Siemens-Produkt. Im separaten Softwarehinweis, aktualisiert am 26. Oktober, werden Produkte wie Teamcenter, Solid Edge, Capital und die genannten Opcenter-Produkte als nicht betroffen aufgeführt, da sie PHP nicht verwenden.
Separate Brotli-Fixes für Windows-Builds von PHP
The Hacker News berichtete außerdem, dass die Windows-Builds der PHP Foundation 8.5.12-1, 8.4.27-1, 8.3.36-1 und 8.2.35-1 bis zum 26. Oktober veröffentlicht wurden. Sie beheben einen separaten Out-of-Bounds-Write im Brotli-Decoder, CVE-2026-111497. Diese Builds schließen also eine weitere Schwachstelle neben den beiden ausgenutzten PHP2Shell-Fehlern.
Laut der im Bericht zitierten Stellungnahme der PHP Foundation ist der verwundbare Decoder über die cURL-Erweiterung von PHP erreichbar, sofern die automatische Dekomprimierung von HTTP-Antworten aktiviert ist. In cURL ist diese Einstellung standardmäßig deaktiviert. Anwendungen und HTTP-Client-Bibliotheken können sie jedoch aktivieren.
Microsofts Hinweis zu CVE-2026-111497 beschreibt die Auswirkung auf .NET als Rechteerweiterung über das Netzwerk. Zum Zeitpunkt der Erstveröffentlichung wurde die Schwachstelle als nicht ausgenutzt eingestuft. Auch bei .NET und ASP.NET Core ist die Brotli-Dekomprimierung standardmäßig deaktiviert. Anwendungen müssen die Dekomprimierung für Anfragen oder Antworten ausdrücklich aktivieren oder die Brotli-Dekomprimierungs-APIs direkt aufrufen. Die Bestätigung der Ausnutzung durch CISA betrifft die beiden PHP2Shell-Schwachstellen, nicht diese separate Brotli-Schwachstelle.
