Das Sicherheitszentrum von Tencent Cloud veröffentlichte am 21. Oktober eine Warnmeldung zur PHP-Sicherheitslücke zur Remote-Codeausführung php2shell. Betroffen sind die beiden Kennungen CVE-2026-109618 und CVE-2026-109619.
Tückisch an dieser Sicherheitslücke ist, dass ein Angreifer weder eine Anmeldung noch ein Konto benötigt. Eine speziell präparierte Multipart-POST-Anfrage könnte ausreichen, um Speicherbeschädigung auszulösen und die Ausführung von Code aus der Ferne zu ermöglichen. Theoretisch ließe sich dadurch der betroffene Server vollständig kontrollieren. Eine Sicherheitslücke auf Sprachebene wie diese kann für herkömmliche Anwendungen, die in der Cloud betrieben werden, erheblichen Druck bedeuten.
Das Weiße Haus in den USA wurde bereits am 16. Oktober über den Vorfall informiert. Es stimmt sich mit Bundesbehörden, Systemintegrationslaboren und Netzbetreibern ab, um die Veröffentlichung von Patches zu beschleunigen und die Auswirkungen auf Regierungssysteme und kritische Infrastrukturen zu bewerten. Dass sowohl Cloud-Anbieter als auch die Regierung eingeschaltet sind, zeigt, dass sich das Risiko von einem „gewöhnlichen Open-Source-Bug“ zu einer Bedrohung auf Infrastrukturebene entwickelt hat.
Derzeit fehlen noch öffentlich zugängliche Details dazu, welche Versionen betroffen sind und wann die offiziellen Patches bereitgestellt werden. Kurzfristig ist es daher sinnvoll, zunächst zu prüfen, ob die eigenen Anwendungen auf dem PHP-Stack basieren, und die Hinweise der Anbieter zur Fehlerbehebung aufmerksam zu verfolgen. Der Vorfall sollte als Sicherheitscheck für die eigene Infrastruktur verstanden werden – und nicht als bloße Nachricht, die man kurz überfliegt.
Tückisch an dieser Sicherheitslücke ist, dass ein Angreifer weder eine Anmeldung noch ein Konto benötigt. Eine speziell präparierte Multipart-POST-Anfrage könnte ausreichen, um Speicherbeschädigung auszulösen und die Ausführung von Code aus der Ferne zu ermöglichen. Theoretisch ließe sich dadurch der betroffene Server vollständig kontrollieren. Eine Sicherheitslücke auf Sprachebene wie diese kann für herkömmliche Anwendungen, die in der Cloud betrieben werden, erheblichen Druck bedeuten.
Das Weiße Haus in den USA wurde bereits am 16. Oktober über den Vorfall informiert. Es stimmt sich mit Bundesbehörden, Systemintegrationslaboren und Netzbetreibern ab, um die Veröffentlichung von Patches zu beschleunigen und die Auswirkungen auf Regierungssysteme und kritische Infrastrukturen zu bewerten. Dass sowohl Cloud-Anbieter als auch die Regierung eingeschaltet sind, zeigt, dass sich das Risiko von einem „gewöhnlichen Open-Source-Bug“ zu einer Bedrohung auf Infrastrukturebene entwickelt hat.
Derzeit fehlen noch öffentlich zugängliche Details dazu, welche Versionen betroffen sind und wann die offiziellen Patches bereitgestellt werden. Kurzfristig ist es daher sinnvoll, zunächst zu prüfen, ob die eigenen Anwendungen auf dem PHP-Stack basieren, und die Hinweise der Anbieter zur Fehlerbehebung aufmerksam zu verfolgen. Der Vorfall sollte als Sicherheitscheck für die eigene Infrastruktur verstanden werden – und nicht als bloße Nachricht, die man kurz überfliegt.