LinkCalif ResearchForschung
Da PHP den Großteil des Webs antreibt und zahlreiche populäre CMS und Frameworks standardmäßig unauthentifiziert angreifbar waren, zählt PHP2Shell zu den schwerwiegendsten PHP-Sicherheitslücken der letzten Jahre. Ein zeitnahes Einspielen der Patches vom Oktober 2026 ist für Serverbetreiber essenziell.
Die Untersuchung zeigt, wie scheinbar harmlose Out-of-Memory-Zustände (OOM) bei genauer Betrachtung der Aufräumroutinen (ZendMM / Teardown) zu gravierenden Use-After-Free- und Memory-Corruption-Szenarien führen. Calif nutzte LLM-gestützte Code-Audits, um das Muster inkonsistenter State-Updates vor fehlschlagenden Speicherallokationen systematisch aufzudecken. Besonders anfällig zeigt sich Apache mod_php, da fehlerhafte POST- und Upload-Tabellen beim Herunterfahren des Requests prozessintern freigegeben werden.
Zusammenfassung von KI erstellt (Gemini 3.8 Flash, 27. Oktober 2026). Sie kann Fehler enthalten – maßgeblich ist die Originalquelle.
Inhaltlich ähnlich, ermittelt über die KI-Suche.
Link:watchTowr
Unter dem Namen PHP2Shell wurden zwei kritische Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619) in PHP bekannt. Die Schwachstellen erlauben unauthentifizierten Angreifern das Ausführen von Schadcode und werden laut watchTowr bereits aktiv im Netz ausgenutzt.
Artikel:Wiz Research
Sicherheitsforscher von Wiz haben unter dem Namen PHP2Shell mehrere kritische Speicherfehler im PHP-Kern aufgedeckt, die bis zu Version 5.4 zurückreichen. Die Lücken (CVSS bis 9.2) ermöglichen unauthentifizierte Remote Code Execution sowie das Auslesen sensibler Daten aus dem Prozessspeicher. Mithilfe von Frontier-KI-Modellen konnten komplexe Exploit-Ketten innerhalb weniger Stunden entwickelt werden.
VideoVideo:CURT
Unter dem Namen PHP2Shell wurden zwei kritische Schwachstellen im PHP-Interpreter (CVE-2026-109618 und CVE-2026-109619) geschlossen. Sie erlauben Remote Code Execution ohne Authentifizierung, noch bevor Anwendungscode ausgeführt wird.
Artikel:Daniele Molteni, Dan Jones, and Kuber Nandwani
Cloudflare hat Managed Rules für seine Web Application Firewall bereitgestellt, um Angriffe auf die unter dem Namen php2shell bekannten Schwachstellen in PHP abzuwehren. Betroffen sind Server ab PHP 5.4 sowie eine verwandte Schwachstelle im Session-Upload-Feature.
Link:The PHP team
Das PHP-Team hat aktualisierte Windows-Builds für mehrere PHP-Versionen veröffentlicht. Sie enthalten Brotli 1.2.1 zur Behebung einer Out-of-bounds-Write-Schwachstelle.
Link:OpenAI
OpenAI hat die System Card für GPT-6 Astra vorgestellt. Das Modell erreicht als erstes System des Herstellers die Einstufung „Critical“ im Bereich Cybersicherheit, zeigt Fortschritte bei Robustheit und Alignment gegenüber GPT-5.6 Sol, weist jedoch eine verringerte Überwachbarkeit seiner Chain of Thought auf.
Ein Teil von diesem Inhalt wurde mit KI gemacht.
