/tags/cve-2026-109618/ Recent content in CVE-2026-109618 on blog.fahl-secure.de Hugo de presse@fahl.cc (Stefan Fahl) presse@fahl.cc (Stefan Fahl) Fri, 23 Oct 2026 00:00:00 +0000 /post/php2shell-webseiten-offline/ Fri, 23 Oct 2026 00:00:00 +0000presse@fahl.cc (Stefan Fahl) /post/php2shell-webseiten-offline/ <p>Wer am Mittwochabend eine Stadtverwaltung, ein Krankenhaus oder einen Stadtwerke-Auftritt aufrufen wollte, stand vielerorts vor verschlossenen Türen. Die Charité nahm ihre Webseite vom Netz, ebenso die Städte Mainz und Saarbrücken, in den Niederlanden fielen DigiD und MijnOverheid aus. Der Grund hat einen Namen, der nach Hacker-Film klingt, aber bitterer Ernst ist: <strong>PHP2Shell</strong>.</p> <h2 id="was-passiert-ist">Was passiert ist</h2> <p>Am 21. Oktober 2026 veröffentlichte das PHP-Team Notfall-Updates für zwei kritische Schwachstellen im Kern der Sprache selbst: CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 von 10 Punkten bewertet. Laut <a href="https://cert.europa.eu/publications/security-advisories/2026-018/">CERT-EU</a> können beide Lücken eine Codeausführung aus der Ferne ohne jede Anmeldung ermöglichen. Betroffen ist jede PHP-Installation, die Webanfragen bearbeitet, darunter Apache mit mod_php, PHP-FPM, php-cgi, FrankenPHP und LiteSpeed. Am gefährlichsten ist mod_php: Dort reicht laut <a href="https://www.php.net/archive/2026.php">PHP-Sicherheitshinweis</a> eine einzige unauthentifizierte Anfrage, noch bevor der Code der eigentlichen Webseite überhaupt läuft.</p>