LinkThe PHP teamAnkündigung
Entwickler und Administratoren, die PHP unter Windows einsetzen und cURL für HTTP-Anfragen nutzen, sollten die Rebuilds einspielen, um Speicherfehler durch manipulierte Brotli-Antworten zu verhindern.
Da viele moderne HTTP-Clients automatische Dekomprimierung standardmäßig aktivieren, kann die Schwachstelle auch ohne direkte PHP-Konfigurationsänderung relevant sein. Die Rebuilds erlauben ein schnelles Sicherheitsupdate von Drittanbieter-Bibliotheken ohne Versionssprung im PHP-Core.
Zusammenfassung von KI erstellt (Gemini 3.8 Flash, 27. Oktober 2026). Sie kann Fehler enthalten – maßgeblich ist die Originalquelle.
Inhaltlich ähnlich, ermittelt über die KI-Suche.
Link:Calif Research
Calif Research stellt mit PHP2Shell zwei kritische Sicherheitslücken in PHP vor (CVE-2026-109618 und CVE-2026-109619), die über Speicherbegrenzungen und Out-of-Memory-Abbrüche eine vorauthentifizierte Remote Code Execution ermöglichen.
Link:watchTowr
Unter dem Namen PHP2Shell wurden zwei kritische Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619) in PHP bekannt. Die Schwachstellen erlauben unauthentifizierten Angreifern das Ausführen von Schadcode und werden laut watchTowr bereits aktiv im Netz ausgenutzt.
Artikel:Wiz Research
Sicherheitsforscher von Wiz haben unter dem Namen PHP2Shell mehrere kritische Speicherfehler im PHP-Kern aufgedeckt, die bis zu Version 5.4 zurückreichen. Die Lücken (CVSS bis 9.2) ermöglichen unauthentifizierte Remote Code Execution sowie das Auslesen sensibler Daten aus dem Prozessspeicher. Mithilfe von Frontier-KI-Modellen konnten komplexe Exploit-Ketten innerhalb weniger Stunden entwickelt werden.
Artikel:Daniele Molteni, Dan Jones, and Kuber Nandwani
Cloudflare hat Managed Rules für seine Web Application Firewall bereitgestellt, um Angriffe auf die unter dem Namen php2shell bekannten Schwachstellen in PHP abzuwehren. Betroffen sind Server ab PHP 5.4 sowie eine verwandte Schwachstelle im Session-Upload-Feature.
VideoVideo:CURT
Unter dem Namen PHP2Shell wurden zwei kritische Schwachstellen im PHP-Interpreter (CVE-2026-109618 und CVE-2026-109619) geschlossen. Sie erlauben Remote Code Execution ohne Authentifizierung, noch bevor Anwendungscode ausgeführt wird.
Link:The PostgreSQL Global Development Group
Die PostgreSQL Global Development Group hat Updates für alle unterstützten Versionen sowie PostgreSQL 19 Beta 3 bereitgestellt. Die Releases beheben 28 Sicherheitslücken und zahlreiche Fehler. Zudem endet der Support für PostgreSQL 14 im November 2026.
Ein Teil von diesem Inhalt wurde mit KI gemacht.
