PHP2Shell.help
Deutsch
Menü
Gepatchte Versionen für PHP 8.2–8.5 verfügbar Unabhängiges Community-Angebot · Fakten geprüft am 22. Oktober 2026

PHP2Shell-Checker / cve 2026 109618

CVE-2026-109618: Remote Code Execution in PHP durch Speicherkorruption bei Out-of-Memory

CVE-2026-109618 (GHSA-w8hw-w9fx-j79w) ist eine kritische PHP-Sicherheitslücke mit CVSS-4.0-Score 9.2: Geht PHP beim Vorbereiten einer Anfrage der Speicher aus, kann das anschließende Aufräumen halb initialisierte Daten verwenden und den Speicher beschädigen. Das kann zur Ausführung von Schadcode aus der Ferne führen. Behoben ist die Lücke in 8.2.35, 8.3.36, 8.4.27 und 8.5.12.

Redaktion von PHP2Shell.helpGeprüft Offizielle Quellen ↓

Steckbrief der Sicherheitslücke

CVE
CVE-2026-109618
GitHub-Advisory
GHSA-w8hw-w9fx-j79w
Offizieller Titel
RCE via OOM corruption
Schweregrad
Kritisch · CVSS 4.0 9.2CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Veröffentlicht
Geprüft
Betroffene Versionen
  • PHP 8.2: unter 8.2.35
  • PHP 8.3: unter 8.3.36
  • PHP 8.4: unter 8.4.27
  • PHP 8.5: unter 8.5.12
  • 8.1 und älter (ab 5.4): Keine neue Version; offizielle Quellcode-Patches für 7.4, 8.0, 8.1
Behoben in
8.2.358.3.368.4.278.5.12
Betroffene Setups
PHP-FPM · Apache mod_php · CGI / FastCGI · FrankenPHP · LiteSpeed — Nur Kommandozeile: nicht festgelegt
Übergangsmaßnahmen (kein Fix)
  • memory_limit = -1
  • post_max_size = 8M (32M if uploads are needed)
Alle Übergangsmaßnahmen und ihre Grenzen →
Ausnutzung
Angriffsversuche beobachtet; erfolgreiche Kompromittierung nicht bestätigt (Stand: 22. Oktober 2026)
Gepatchte Pakete der Distributionen
  • Ubuntu 22.04 · php8.1 · 8.1.2-1ubuntu2.28
  • Ubuntu 24.04 · php8.3 · 8.3.6-0ubuntu0.24.04.13
  • Ubuntu 26.04 · php8.5 · 8.5.4-0ubuntu1.5
  • Ubuntu 26.10 · php8.5 · 8.5.9-0ubuntu2.1
  • Debian 13 · php8.4 · 8.4.27-1~deb13u1
  • 宝塔 / aaPanel · PHP 7.4 · 7.4.34
  • 宝塔 / aaPanel · PHP 8.0 · 8.0.27
  • 宝塔 / aaPanel · PHP 8.1 · 8.1.35
  • 宝塔 / aaPanel · PHP 8.2–8.5 · 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12
  • 1Panel · 1panel/php · 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (-fpm)
Offizielle Quellen

Was ist CVE-2026-109618?

CVE-2026-109618 ist eine der beiden PHP2Shell-Sicherheitslücken. Der offizielle Titel von PHP lautet „RCE via OOM corruption“. Schlägt eine Speicherreservierung fehl, während PHP die Daten einer Anfrage vorbereitet, kann der Aufräumpfad auf Daten zugreifen, die nie vollständig angelegt wurden. Die so entstehende Speicherkorruption kann ein Angreifer nutzen, um über ganz normale Web-Anfragen Code auszuführen.

Das GitHub-Advisory stuft CVE-2026-109618 als kritisch ein, mit CVSS-4.0-Score 9.2 und dem Vektor CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N: Die Lücke ist über das Netzwerk erreichbar, ohne Login und ohne Zutun eines Nutzers. Die Angriffskomplexität gilt allerdings als hoch, und bestimmte Voraussetzungen müssen erfüllt sein.

Welche PHP-Versionen sind von CVE-2026-109618 betroffen?

Betroffen ist jeder unterstützte Branch unterhalb seiner gepatchten Version. Ältere Branches ebenfalls: Für 7.4, 8.0 und 8.1 hat PHP Quellcode-Patches veröffentlicht, aber keine neuen Releases, und laut der ursprünglichen Forschung reicht mindestens eine PHP2Shell-Lücke bis PHP 5.4 zurück.

VersionszweigErste gepatchte Version
PHP 8.28.2.35
PHP 8.38.3.36
PHP 8.48.4.27
PHP 8.58.5.12
8.1 und älterKeine neue Version; offizielle Quellcode-Patches für 7.4, 8.0 und 8.1

Linux-Distributionen veröffentlichen eigene gepatchte Pakete, oft mit älter wirkenden Versionsnummern. Die folgende Tabelle führt außerdem Images, Control Panels und Hoster auf, deren Status wir noch nicht geprüft haben:

AnbieterReleasePaketGepatchte PaketversionStatus
Ubuntu22.04php8.18.1.2-1ubuntu2.28Gepatcht
Ubuntu24.04php8.38.3.6-0ubuntu0.24.04.13Gepatcht
Ubuntu26.04php8.58.5.4-0ubuntu1.5Gepatcht
Ubuntu26.10php8.58.5.9-0ubuntu2.1Gepatcht
Debian13php8.48.4.27-1~deb13u1Gepatcht
Docker Official Images—php—Nicht verifiziert
宝塔 / aaPanel—PHP 7.47.4.34Gepatcht
宝塔 / aaPanel—PHP 8.08.0.27Gepatcht
宝塔 / aaPanel—PHP 8.18.1.35Gepatcht
宝塔 / aaPanel—PHP 8.2–8.58.2.35 / 8.3.36 / 8.4.27 / 8.5.12Gepatcht
XServer—PHP—Nicht verifiziert
ConoHa WING—PHP—Nicht verifiziert
ロリポップ！—PHP—Nicht verifiziert
1Panel—1panel/php8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (-fpm)Gepatcht

Geprüft zwischen dem 21. Oktober 2026 und dem 22. Oktober 2026.

Wie behebe ich CVE-2026-109618?

Aktualisieren Sie das PHP, das Ihre Website ausliefert, auf die gepatchte Version seines Branches (oder neuer), oder installieren Sie das gepatchte Paket Ihrer Distribution. Starten Sie danach alle PHP-Worker neu (PHP-FPM-Pools oder Apache). Der Fix für CVE-2026-109618 steckt in denselben Releases wie der für CVE-2026-109619, ein Update deckt also beide ab. Eine Schritt-für-Schritt-Anleitung finden Sie im PHP2Shell-Patch-Leitfaden.

Für PHP 7.4, 8.0 und 8.1 gibt es minimale Quellcode-Patches, aber keine neuen Releases; noch ältere Branches haben gar keinen offiziellen Patch. Mehr dazu unter PHP End of Life.

Warum lässt sich ein Speichermangel ausnutzen?

Normalerweise ist es nur ein Fehler, wenn PHP eine Anfrage abbricht, weil das Speicherlimit erreicht ist. Bei CVE-2026-109618 kann ein Angreifer diesen Abbruch genau dann auslösen, wenn die internen Daten von PHP erst zur Hälfte angelegt sind. Das folgende Aufräumen arbeitet dann mit inkonsistenten Daten, und der beschädigte Speicher lässt sich in Richtung Codeausführung lenken. Fehlermeldungen zu unterdrücken hilft nicht: Laut PHP ändern error_reporting, display_errors und @ nichts daran.

Gibt es einen Workaround für CVE-2026-109618?

Keinen vollständigen. PHP nennt Übergangsmaßnahmen, die die Angriffsfläche verkleinern, etwa das Aufheben des PHP-Speicherlimits und ein niedrigeres post_max_size. PHP betont aber, dass eine Installation dadurch nicht sicher wird: Ein Speicherfehler auf tieferer Ebene kann den verwundbaren Code trotzdem erreichen. Details und Grenzen: Workaround für CVE-2026-109618.

Wie erkenne ich, ob mein Server von CVE-2026-109618 betroffen ist?

Ermitteln Sie die PHP-Version und das Setup, das Ihre Website tatsächlich nutzt, und geben Sie beides in den PHP-Versions-Checker ein. Ein php -v auf der Kommandozeile kann ein anderes PHP anzeigen als das der Website; wo Sie nachsehen sollten, erklärt die Anleitung PHP-Version prüfen.

Wird CVE-2026-109618 bereits aktiv ausgenutzt?

Angriffsversuche wurden gemeldet, erfolgreiche Kompromittierungen sind nicht bestätigt. Cloudflare hat schon vor Veröffentlichung des Fixes PHP2Shell-Angriffsverkehr gegen seine Kunden beobachtet. Keine der Quellen, die wir bis zum 22. Oktober 2026 geprüft haben, bestätigt eine erfolgreiche Übernahme, und wir verlinken keinen Exploit-Code. Behandeln Sie ungepatchtes, aus dem Internet erreichbares PHP als gefährdet und aktualisieren Sie.

Was unterscheidet CVE-2026-109618 von CVE-2026-109619?

Bei CVE-2026-109618 geht es um Speicherkorruption, wenn während der Vorbereitung einer Anfrage eine Speicherreservierung fehlschlägt. Bei CVE-2026-109619 geht es um veralteten Zustand einer beendeten Anfrage, den eine spätere Anfrage wiederverwendet. Beide sind in denselben Releases behoben und werden zusammen PHP2Shell genannt. Überblick: PHP2Shell-Sicherheitslücke · PHP2Shell-Checker.

Welche Quellen belegen diese Seite?

Prüfen Sie Ihr PHP auf PHP2Shell

Geben Sie die Version ein, die Ihre Website meldet. Wir vergleichen sie mit der ersten gepatchten Version ihres Versionszweigs und sagen Ihnen, was als Nächstes zu tun ist.

PHP2Shell-Checker →

Quellen

Die Kernfakten dieser Seite (gepatchte Versionen, CVE-Details, Pakete der Anbieter und Warnungen von Behörden) stammen aus offiziellen Quellen. Forschung, Nachrichten und Community-Beiträge sind als solche gekennzeichnet.