Version 1.0: PHP - Kritische Schwachstellen bedrohen Webanwendungen weltweit
In einer Vorab-Ankündigung informieren die Entwickler von PHP aktuell über die Veröffent-lichung von Details und Patches zu zwei Schwachstellen in der Programmiersprache am 21. Oktober 2026 ab 16 Uhr. Auch wenn zum aktuellen Zeitpunkt nur wenige Details verfügbar sind, legen die Bewertungen nach CVSS (Common Vulnerability Scoring System; Version 4.0) mit 9.2 von 10 nahe, dass es Angreifern auf Basis von CVE-2026-109618 und CVE-2026-109619 gelingen könnte, aus der Ferne schadhaften Code auf Webservern mit PHP-Anwendungen auszuführen.
Weiterhin kann aus den CVSS-Scores abgeleitet werden, dass für eine Ausnutzung weder eine Authentifizierung noch eine Nutzerinteraktion erforderlich sind. Die Schwachstellen werden in aktuellen Berichtserstattungen auch als "PHP2Shell" bezeichnet, um die Ähnlichkeit mit der Schwachstelle "Log4Shell" aufzuzeigen.
Zum aktuellen Zeitpunkt sind noch keine bestätigten Ausnutzungen der Schwachstellen bekannt, jedoch gibt es bereits unbestätigte Berichte über existierende Exploits.
Der Patch für die Schwachstelle ist heute 16 Uhr deutscher Zeit (14:00 UTC) angekündigt und sollte unverzüglich zu diesem Zeitpunkt installiert werden.
Quelle: © Bundesamt für Sicherheit in der Informationstechnik
Symbolbild: generiert mit künstlicher Intelligenz (ChatGPT / OpenAI)