{"id":99215,"date":"2026-10-21T10:24:39","date_gmt":"2026-10-21T08:24:39","guid":{"rendered":"https:\/\/locaterisk.com\/de\/?p=99215"},"modified":"2026-10-22T08:52:50","modified_gmt":"2026-10-22T06:52:50","slug":"php-rce-cve-2026-109618","status":"publish","type":"post","link":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/","title":{"rendered":"PHP2Shell: Exploit f\u00fcr kritische PHP-Schwachstelle \u2013 betroffene Software finden und schlie\u00dfen"},"content":{"rendered":"\n<div class=\"wp-block-lr-blog-article-header-module\">\n    <div class=\"content\">\n\t\t<div class=\"headline\">\n\t\t\t<a class=\"to-blog-button\" href=\"https:\/\/locaterisk.com\/de\/blog\/\">\n\t\t\t\t<span class=\"to-blog-arrow\" aria-hidden=\"true\">\u2190<\/span>\n\t\t\t\t<span>Zur\u00fcck zum Blog<\/span>\n\t\t\t<\/a>\n\t\t\t<div class=\"article-meta\">\n\t\t\t\t\t\t\t\t\t<p class=\"post-updated\">Zuletzt aktualisiert: 22. Oktober 2026<\/p>\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t<\/div>\n        <div class=\"main-content\">\n\t\t\t<h1 class=\"title\">PHP2Shell: Exploit f\u00fcr kritische PHP-Schwachstelle \u2013 betroffene Software finden und schlie\u00dfen<\/h1>\n\t\t\t\t\t\t\t<p class=\"paragraph\"><span class=\"lr-ai-disclosure\" style=\"display:block;margin:8px 0 28px;font-size:14px;line-height:1.4;color:#8b93a7;font-family:inherit;font-style:italic\">Dieser Text wurde mit k\u00fcnstlicher Intelligenz (KI) erstellt.<\/span><strong>Stand: 22. Oktober 2026, 09:00 Uhr MESZ \u2013 PHP2Shell wird aktiv ausgenutzt.<\/strong> Laut Amazon Threat Intelligence wird die Schwachstelle inzwischen breit angegriffen, ein Proof of Concept ist \u00f6ffentlich. Wer PHP-Software betreibt, sollte jetzt aktualisieren und pr\u00fcfen, ob es bereits Angriffe gab.<br><br>Das PHP-Projekt hat am 21. Oktober 2026 die Versionen <strong>PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35<\/strong> ver\u00f6ffentlicht. Sie schlie\u00dfen zwei kritische Schwachstellen, <strong>CVE-2026-109618<\/strong> und <strong>CVE-2026-109619<\/strong>, beide mit <strong>CVSS 9.2 nach CVSS v4.0<\/strong> bewertet. Beide erlauben Angriffe ohne Anmeldung: Remote Code Execution und das Auslesen von Arbeitsspeicher.<br><br>Das BSI hat zu den L\u00fccken einen IT-Sicherheitshinweis mit der <strong>Kritikalit\u00e4t 3 \/ Orange<\/strong> ver\u00f6ffentlicht. Das bedeutet nach BSI-Skala: Ma\u00dfnahmen m\u00fcssen unverz\u00fcglich ergriffen werden, eine massive Beeintr\u00e4chtigung des Regelbetriebs ist m\u00f6glich.<br><br><a href=\"#cve-check\" class=\"lr-cveqc-jump\" style=\"display:inline-block;font-weight:700;color:#26d9c3;text-decoration:none\">Sind meine Systeme betroffen? Jetzt pr\u00fcfen \u2192<\/a><\/p>\n\t\t\t        <\/div>\n    <\/div>\n<\/div>\n\n\n\n\n<div class=\"wp-block-image\">\n<figure class=\"aligncenter size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"400\" height=\"400\" src=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets.png\" alt=\"PHP2Shell: Exploit f\u00fcr kritische PHP-Schwachstelle \u2013 betroffene Software finden und schlie\u00dfen\" class=\"wp-image-9140\" srcset=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets.png 400w, https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets-300x300.png 300w, https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets-150x150.png 150w, https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets-12x12.png 12w\" sizes=\"auto, (max-width: 400px) 100vw, 400px\" \/><\/figure>\n<\/div>\n\n\n<p class=\"wp-block-paragraph\"><strong>Auf einen Blick:<\/strong><\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Produkt \/ Komponente<\/th><th>Betroffene Versionen<\/th><th>Gepatcht in<\/th><\/tr><\/thead><tbody><tr><td>PHP 8.5<\/td><td>vor 8.5.12<\/td><td>8.5.12<\/td><\/tr><tr><td>PHP 8.4<\/td><td>vor 8.4.27<\/td><td>8.4.27<\/td><\/tr><tr><td>PHP 8.3<\/td><td>vor 8.3.36<\/td><td>8.3.36<\/td><\/tr><tr><td>PHP 8.2<\/td><td>vor 8.2.35<\/td><td>8.2.35<\/td><\/tr><tr><td>PHP 8.1 und \u00e4lter<\/td><td>betroffen, kein offizieller Support mehr<\/td><td>kein offizielles Release; Quell-Backports f\u00fcr 7.4, 8.0 und 8.1<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Schwachstellen: <strong>CVE-2026-109618<\/strong> und <strong>CVE-2026-109619<\/strong> (je <strong>CVSS 9.2<\/strong>, kritisch)<\/li>\n\n\n\n<li>Exploit: Proof of Concept \u00f6ffentlich; laut Amazon breite Ausnutzung, ein erster Angriffsversuch schon am 17. Oktober<\/li>\n\n\n\n<li>Patch verf\u00fcgbar seit: 21.10.2026, Pakete f\u00fcr Debian und Ubuntu bereits verf\u00fcgbar<\/li>\n\n\n\n<li>BSI-Kritikalit\u00e4t: 3 \/ Orange (BITS-H 2026-297981-1132, Version 1.1)<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Zeitleiste: Was bisher passiert ist<\/strong><\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>17. Oktober 2026:<\/strong> Amazon registriert in seinen Honeypots (MadPot) einen ersten Ausnutzungsversuch, vier Tage vor der Ver\u00f6ffentlichung.<\/li>\n\n\n\n<li><strong>20. Oktober 2026:<\/strong> Details zu den Schwachstellen werden vorzeitig bekannt. Das PHP-Projekt k\u00fcndigt ein Notfall-Sicherheitsrelease an.<\/li>\n\n\n\n<li><strong>21. Oktober 2026, 16:00 Uhr MESZ:<\/strong> PHP ver\u00f6ffentlicht die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie die technischen Advisories. Die Entdecker von Wiz Research, OpenAI Codex Security und Calif stellen ihre Forschung auf php2shell.com vor.<\/li>\n\n\n\n<li><strong>21. Oktober 2026:<\/strong> CERT-EU und BSI warnen, das BSI stuft die Lage als Orange ein und meldet in Version 1.1 einen \u00f6ffentlichen Proof of Concept. Ubuntu ver\u00f6ffentlicht gepatchte Pakete (USN-8948-1), auch Debian stellt Pakete bereit. Einige Betreiber in Deutschland nehmen Webseiten vorsorglich vom Netz.<\/li>\n\n\n\n<li><strong>Seit 21. Oktober 2026:<\/strong> Laut Amazon wird PHP2Shell breit ausgenutzt. Das RUS-CERT der Universit\u00e4t Stuttgart hat einen \u00f6ffentlichen Exploit an einem Testsystem verifiziert.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Welche Software ist betroffen?<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die Schwachstelle sitzt in PHP selbst, nicht in einer bestimmten Anwendung. Betroffen ist deshalb jede Software, die auf einer verwundbaren PHP-Version l\u00e4uft: Content-Management-Systeme wie WordPress, Drupal, TYPO3 und Joomla, Shops wie Magento, Shopware und WooCommerce, Nextcloud, Moodle, MediaWiki und selbst entwickelte Anwendungen auf Laravel oder Symfony. Laut den Entdeckern reicht sogar eine einfache \u201eHello World\u201c-Seite auf einer verwundbaren PHP-Version. Ein Update der Anwendung allein schlie\u00dft die L\u00fccke nicht, entscheidend ist die PHP-Laufzeitumgebung darunter.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das BSI weist zudem darauf hin, dass PHP in Komponenten propriet\u00e4rer Produkte und Appliances steckt, etwa in den Firewall-Distributionen pfSense und OPNsense. Das niederl\u00e4ndische NCSC sammelt auf GitHub eine Liste betroffener Produkte, die laufend erweitert wird.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Gef\u00e4hrdet sind laut PHP-Advisory alle PHP-Installationen, die Web-Anfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am h\u00f6chsten sch\u00e4tzt das PHP-Projekt das Risiko bei <strong>mod_php<\/strong> ein: Dort gibt es einen demonstrierten Exploit, bei dem eine Anfrage ohne Anmeldung den Angriff ausl\u00f6st, bevor \u00fcberhaupt Anwendungscode l\u00e4uft.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>PHP-FPM ist ebenfalls betroffen.<\/strong> F\u00fcr CVE-2026-109619 wurde die Remote Code Execution laut GitHub-Advisory auch gegen PHP-FPM nachgewiesen, \u00fcber die standardm\u00e4\u00dfig aktive Funktion Session Upload Progress. Dieser Weg setzt allerdings eine passende Operation in der Anwendung voraus. Red Hat stuft die L\u00fccke f\u00fcr seine Distribution deshalb niedriger ein (\u201eImportant\u201c): Unter Red Hat Enterprise Linux l\u00e4uft standardm\u00e4\u00dfig PHP-FPM, und Codeausf\u00fchrung sei dort in der Praxis schwierig.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Was Angreifende mit dem Exploit erreichen k\u00f6nnen<\/strong><\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Code ausf\u00fchren:<\/strong> Bei erfolgreicher Ausnutzung f\u00fchren Angreifende Code mit den Rechten des Web-Worker-Kontos aus. Die Entdecker haben das ohne Anmeldung gegen aktuelle Container-Images von WordPress, Drupal und Joomla vorgef\u00fchrt.<\/li>\n\n\n\n<li><strong>Arbeitsspeicher auslesen:<\/strong> CVE-2026-109619 erlaubt auch das Auslesen von Speicher des PHP-Prozesses, ohne dass Code ausgef\u00fchrt wird. Darin k\u00f6nnen laut den Entdeckern Passw\u00f6rter, Authentifizierungs-Tokens, API-Schl\u00fcssel und Zertifikate anderer Anfragen oder des Servers stehen. Solche Angriffe sind schwerer zu erkennen.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Die beiden Schwachstellen im Einzelnen:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>CVE-2026-109618 \u2013 Remote Code Execution \u00fcber Out-of-Memory-Fehler<\/strong> (GHSA-w8hw-w9fx-j79w): Bricht PHP eine Anfrage wegen Speichermangels ab, w\u00e4hrend interne Request-Daten erst teilweise initialisiert sind, kann die Aufr\u00e4umroutine diese ung\u00fcltigen Daten als g\u00fcltig behandeln. Laut Advisory l\u00e4sst sich der Speichermangel unter anderem \u00fcber pr\u00e4parierte Multipart-Anfragen gezielt herbeif\u00fchren.<\/li>\n\n\n\n<li><strong>CVE-2026-109619 \u2013 Remote Code Execution \u00fcber veralteten globalen Zustand<\/strong> (GHSA-6wmf-4rv5-p3rp): Zustand, der zu einer Anfrage geh\u00f6rt, kann im Worker-Prozess \u00fcberleben, nachdem sein Speicher bereits freigegeben wurde. Eine sp\u00e4tere Anfrage im selben Worker kann diesen Zustand verwenden, bevor er zur\u00fcckgesetzt wird (Use-after-free).<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Die CVSS-Bewertung weist eine hohe Angriffskomplexit\u00e4t aus. Mit \u00f6ffentlichen Exploits und laufenden Angriffen spielt das in der Praxis aber kaum noch eine Rolle. Unit 42 von Palo Alto Networks z\u00e4hlt nach eigenen Telemetriedaten mehr als 22,6 Millionen aus dem Internet erreichbare Instanzen, die potenziell verwundbar sind.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Betroffene PHP-Systeme im Inventar finden<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Wer schnell patchen will, muss zuerst wissen, wo PHP \u00fcberhaupt l\u00e4uft. Ein vollst\u00e4ndiges Inventar umfasst nicht nur die bekannten Webserver, sondern auch Subdomains, Altsysteme, Testumgebungen, Docker-Container, Appliances mit eingebettetem PHP und Webseiten bei externen Hostern oder Dienstleistern.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Wie pr\u00fcfe ich die PHP-Version?<\/strong><\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Auf dem Server: <strong>php -v<\/strong> zeigt die Version der Kommandozeile. Der Webserver kann eine andere Version nutzen. Bei PHP-FPM deshalb zus\u00e4tzlich die FPM-Version pr\u00fcfen, je nach Distribution etwa mit <strong>php-fpm -v<\/strong> oder <strong>php-fpm8.3 -v<\/strong>.<\/li>\n\n\n\n<li>Installierte Pakete: unter Debian und Ubuntu mit <strong>dpkg -l | grep php<\/strong>, unter Red Hat und verwandten Systemen mit <strong>rpm -qa | grep php<\/strong>. Ausschlaggebend ist die Paketversion der Distribution, nicht die Versionsnummer von PHP selbst.<\/li>\n\n\n\n<li>Docker: Die PHP-Version steckt im Image. Images m\u00fcssen aktualisiert bzw. neu gebaut werden, ein Update auf dem Host reicht nicht.<\/li>\n\n\n\n<li>Von au\u00dfen: Manche Server verraten die PHP-Version im HTTP-Header <strong>X-Powered-By<\/strong>. Fehlt der Header, hei\u00dft das nicht, dass kein PHP l\u00e4uft.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>Gepatchte Pakete der Linux-Distributionen<\/strong><\/h3>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Distribution<\/th><th>Paket<\/th><th>Gepatcht in<\/th><\/tr><\/thead><tbody><tr><td>Debian 13 (trixie)<\/td><td>php8.4<\/td><td>8.4.27-1~deb13u1<\/td><\/tr><tr><td>Debian 12 (bookworm)<\/td><td>php8.2<\/td><td>8.2.35-1~deb12u1<\/td><\/tr><tr><td>Ubuntu 26.10<\/td><td>php8.5<\/td><td>8.5.9-0ubuntu2.1<\/td><\/tr><tr><td>Ubuntu 26.04 LTS<\/td><td>php8.5<\/td><td>8.5.4-0ubuntu1.5<\/td><\/tr><tr><td>Ubuntu 24.04 LTS<\/td><td>php8.3<\/td><td>8.3.6-0ubuntu0.24.04.13<\/td><\/tr><tr><td>Ubuntu 22.04 LTS<\/td><td>php8.1<\/td><td>8.1.2-1ubuntu2.28<\/td><\/tr><tr><td>Ubuntu 20.04 LTS und \u00e4lter<\/td><td>php7.4 und \u00e4lter<\/td><td>Korrektur nur \u00fcber Ubuntu Pro<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Distributionen portieren die Korrektur in ihre eigenen Pakete zur\u00fcck. Ein Ubuntu-Server mit \u201ePHP 8.3.6\u201c kann deshalb gepatcht sein, obwohl die Versionsnummer \u00e4lter aussieht als 8.3.36. F\u00fcr Red Hat Enterprise Linux gilt das Advisory von Red Hat.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Was Sie jetzt tun sollten<\/strong><\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Auf <strong>PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35<\/strong> aktualisieren bzw. die gepatchten Pakete der Distribution einspielen.<\/li>\n\n\n\n<li>Wer das freiwillig gepflegte Repository rpms.remirepo.net nutzt: Laut PHP-Projekt gab es dort am Release-Tag keine Updates. Das PHP-Projekt r\u00e4t, auf Distributionspakete umzusteigen oder aus dem Quellcode zu bauen.<\/li>\n\n\n\n<li>Nach dem Update alle PHP-Worker neu starten, etwa PHP-FPM-Pools und Apache.<\/li>\n\n\n\n<li>PHP in Docker-Containern und Appliances nicht vergessen: Images neu bauen, bei Appliances auf neue Firmware der Hersteller achten.<\/li>\n\n\n\n<li>Hosting-Dienstleister ansprechen, wenn Sie den Webserver nicht selbst betreiben, und um sofortiges Einspielen bitten.<\/li>\n\n\n\n<li>PHP 8.1 und \u00e4lter: Das PHP-Projekt liefert daf\u00fcr keine Updates mehr. F\u00fcr PHP 7.4, 8.0 und 8.1 hat es minimale Quellcode-Backports bereitgestellt. Laut BSI haben alle Versionen vor 8.2 ihr End-of-Life erreicht, PHP 8.2 erh\u00e4lt nur noch bis Jahresende Sicherheitsupdates. Betroffene Systeme sollten auf eine unterst\u00fctzte Version migriert werden.<\/li>\n\n\n\n<li>Nach Anzeichen eines Angriffs suchen, und zwar ab dem 17. Oktober 2026.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Wo nicht sofort aktualisiert werden kann, empfehlen RUS-CERT und BSI, betroffene Systeme vom Internet zu trennen oder ihre Erreichbarkeit einzuschr\u00e4nken, bis die Updates installiert sind.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Woran erkenne ich einen Angriff?<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ein einzelnes Merkmal, das jeden Angriff zuverl\u00e4ssig erkennt, gibt es laut den Entdeckern nicht. Als Hinweise f\u00fcr eine Untersuchung nennen sie:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>auff\u00e4llig gro\u00dfe oder fehlerhafte PHPSESSID-Cookies in Server-Antworten,<\/li>\n\n\n\n<li>ungew\u00f6hnliche Multipart-Anfragen, gefolgt von Speicherfehlern (\u201ememory limit\u201c) oder wiederholten HTTP-500-Antworten,<\/li>\n\n\n\n<li>unerkl\u00e4rliche Abst\u00fcrze oder Neustarts von PHP-Workern.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Amazon r\u00e4t, Untersuchungen nicht erst ab der Ver\u00f6ffentlichung, sondern mindestens ab dem 17. Oktober 2026 anzusetzen. Fehlen solche Spuren, ist ein System damit nicht entlastet: Ein Auslesen des Arbeitsspeichers hinterl\u00e4sst unter Umst\u00e4nden kaum Spuren in den Anwendungsprotokollen. Verbindliche Angriffsindikatoren hat das BSI bislang nicht ver\u00f6ffentlicht. Wer Anzeichen einer Ausnutzung findet, sollte davon ausgehen, dass Zugangsdaten, Tokens und Schl\u00fcssel aus dem PHP-Prozess betroffen sein k\u00f6nnen, und sie austauschen. Hilfe bei der Untersuchung bieten spezialisierte Incident-Response-Dienstleister; das BSI f\u00fchrt eine Liste qualifizierter Anbieter.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>\u00dcbergangsma\u00dfnahmen, wenn das Update noch nicht m\u00f6glich ist<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Das PHP-Projekt nennt Ma\u00dfnahmen, die einzelne Angriffswege erschweren. Es betont ausdr\u00fccklich, dass nur das Update eine vollst\u00e4ndige L\u00f6sung ist; auch RUS-CERT und BSI warnen, dass die Ma\u00dfnahmen umgangen werden k\u00f6nnen. Laut BSI m\u00fcssen alle Ma\u00dfnahmen gemeinsam umgesetzt werden, um eine Ausnutzung ma\u00dfgeblich zu erschweren.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Gegen CVE-2026-109618: <strong>memory_limit=-1<\/strong> so setzen, dass Anwendungen den Wert nicht \u00fcberschreiben k\u00f6nnen (etwa per <strong>php_admin_value<\/strong> im FPM-Pool oder in der Apache-Konfiguration), und <strong>post_max_size<\/strong> niedrig halten (8M ohne Datei-Uploads, sonst 32M). Zus\u00e4tzlich Gr\u00f6\u00dfen- und Anzahlgrenzen f\u00fcr Anfragen am Webserver oder Proxy setzen.<\/li>\n\n\n\n<li>Braucht die Anwendung keine Multipart-Formulare, r\u00e4t das PHP-Projekt, solche Anfragen schon am Frontend zu blockieren, bevor sie PHP erreichen.<\/li>\n\n\n\n<li>Gegen CVE-2026-109619: <strong>session.upload_progress.enabled=0<\/strong> in der <strong>php.ini<\/strong> oder im FPM-Pool setzen und alle Worker neu starten; <strong>ini_set()<\/strong> und <strong>.user.ini<\/strong> reichen nicht. Unter PHP 8.5 zus\u00e4tzlich <strong>fatal_error_backtraces=0<\/strong>. Wer Session Upload Progress nicht braucht, sollte die Funktion laut PHP-Projekt auch nach dem Update abgeschaltet lassen.<\/li>\n\n\n\n<li>Wenn Leistung keine Rolle spielt, nennt das PHP-Projekt <strong>pm.max_requests=1<\/strong> als weitere Option: Dann bearbeitet jeder FPM-Worker nur eine Anfrage, und veralteter Zustand kann nicht in die n\u00e4chste Anfrage gelangen.<\/li>\n\n\n\n<li>Fehlerprotokolle mit <strong>error_reporting=E_ALL<\/strong> auf Warnungen vor dem Skriptstart, Fatal Errors und \u201eMaximum execution time exceeded\u201c pr\u00fcfen und gefundene Fehler beheben. Ein unauff\u00e4lliges Protokoll ist laut PHP-Projekt aber kein Beweis, dass ein System sicher ist.<\/li>\n\n\n\n<li>Web Application Firewalls: Anbieter wie Cloudflare haben Regeln gegen bekannte Angriffswege ver\u00f6ffentlicht. Vollst\u00e4ndigen Schutz bieten laut BSI aber nur das Update oder die Trennung vom Internet.<\/li>\n\n\n\n<li>Unabh\u00e4ngig davon empfiehlt das BSI, SELinux oder AppArmor zu nutzen, um die Folgen einer erfolgreichen Codeausf\u00fchrung zu begrenzen.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>DACH- und EU-Kontext<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr Einrichtungen im Anwendungsbereich von NIS-2 gilt: F\u00fchrt eine Ausnutzung dieser Schwachstellen zu einem erheblichen Sicherheitsvorfall, greifen die Meldepflichten nach Art. 23 NIS-2-Richtlinie, in Deutschland nach \u00a7 32 BSIG. In \u00d6sterreich und der Schweiz gelten die jeweiligen nationalen Meldepflichten. Das BSI hat zu den L\u00fccken einen BSI-IT-Sicherheitshinweis (BITS-H 2026-297981-1132) mit Kritikalit\u00e4t Orange herausgegeben; dieser ist als TLP:CLEAR frei weitergebbar.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Wie LocateRisk bei exponierten Assets ansetzt<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">LocateRisk unterst\u00fctzt External Attack Surface Management durch die Sichtbarkeit extern erreichbarer Systeme und eingesetzter Software. Bei diesem Vorfall kann das helfen, \u00f6ffentlich erreichbare Webserver und PHP-Installationen im Asset-Inventar zu finden, auch solche, die in keiner internen Liste stehen, und die Update-Reihenfolge zu priorisieren.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">LocateRisk ersetzt kein Patch-Management und trifft keine Aussage dar\u00fcber, ob auf einem erkannten System eine verwundbare PHP-Version l\u00e4uft. Daf\u00fcr ist der Abgleich der eingesetzten Version mit dem PHP-Advisory bzw. dem Paketstand der Distribution n\u00f6tig.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr ausgelagerte Webanwendungen oder Kundenportale kann Vendor Risk Management erg\u00e4nzend helfen, R\u00fcckmeldungen der Dienstleister zum Patch-Stand nachvollziehbar zu dokumentieren.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Bin ich betroffen?<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Betroffen ist PHP vor 8.2.35, 8.3.36, 8.4.27 und 8.5.12 sowie jede \u00e4ltere PHP-Version; behoben ist die L\u00fccke in 8.5.12, 8.4.27, 8.3.36 und 8.2.35 bzw. in den gepatchten Paketen der Distributionen. Wer wissen will, ob PHP in der eigenen extern erreichbaren Infrastruktur \u00fcberhaupt sichtbar ist, kann den <a href=\"#cve-check\" target=\"_blank\" rel=\"noreferrer noopener\">CVE-Quick-Check<\/a> am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von au\u00dfen erkennbare Software.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die konkret installierte Version l\u00e4sst sich von au\u00dfen nicht in jedem Fall bestimmen \u2014 ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Quellen und weitere Infos<\/strong><\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>PHP \/ php.net:<\/strong> <a href=\"https:\/\/www.php.net\/archive\/2026.php#2026-10-21-5\" target=\"_blank\" rel=\"noreferrer noopener\">Security advisory: Critical remote code execution vulnerabilities, update now<\/a><\/li>\n\n\n\n<li><strong>PHP \/ GitHub:<\/strong> <a href=\"https:\/\/github.com\/php\/php-src\/security\/advisories\/GHSA-w8hw-w9fx-j79w\" target=\"_blank\" rel=\"noreferrer noopener\">GHSA-w8hw-w9fx-j79w: RCE via OOM corruption (CVE-2026-109618)<\/a><\/li>\n\n\n\n<li><strong>PHP \/ GitHub:<\/strong> <a href=\"https:\/\/github.com\/php\/php-src\/security\/advisories\/GHSA-6wmf-4rv5-p3rp\" target=\"_blank\" rel=\"noreferrer noopener\">GHSA-6wmf-4rv5-p3rp: RCE via stale global state (CVE-2026-109619)<\/a><\/li>\n\n\n\n<li><strong>Wiz, OpenAI, Calif:<\/strong> <a href=\"https:\/\/www.php2shell.com\/\" target=\"_blank\" rel=\"noreferrer noopener\">PHP2Shell \u2013 Forschungsseite der Entdecker<\/a><\/li>\n\n\n\n<li><strong>BSI:<\/strong> <a href=\"https:\/\/www.bsi.bund.de\/SharedDocs\/Cybersicherheitswarnungen\/DE\/2026\/2026-297981-1032.pdf?__blob=publicationFile&#038;v=1\" target=\"_blank\" rel=\"noreferrer noopener\">BSI-IT-Sicherheitshinweis 2026-297981-1132: PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit<\/a><\/li>\n\n\n\n<li><strong>Amazon Threat Intelligence:<\/strong> <a href=\"https:\/\/aws.amazon.com\/blogs\/security\/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot\/\" target=\"_blank\" rel=\"noreferrer noopener\">PHP2Shell exploitation prior to public disclosure in MadPot<\/a><\/li>\n\n\n\n<li><strong>RUS-CERT Universit\u00e4t Stuttgart:<\/strong> <a href=\"https:\/\/cert.uni-stuttgart.de\/blog\/2026-10-21-php\" target=\"_blank\" rel=\"noreferrer noopener\">Kritische Schwachstellen in PHP (CVE-2026-109618 und CVE-2026-109619)<\/a><\/li>\n\n\n\n<li><strong>NCSC-NL:<\/strong> <a href=\"https:\/\/github.com\/NCSC-NL\/php2shell\" target=\"_blank\" rel=\"noreferrer noopener\">php2shell \u2013 Liste betroffener Produkte<\/a><\/li>\n\n\n\n<li><strong>Debian:<\/strong> <a href=\"https:\/\/security-tracker.debian.org\/tracker\/CVE-2026-109618\" target=\"_blank\" rel=\"noreferrer noopener\">Security Tracker CVE-2026-109618<\/a><\/li>\n\n\n\n<li><strong>Ubuntu:<\/strong> <a href=\"https:\/\/ubuntu.com\/security\/notices\/USN-8948-1\" target=\"_blank\" rel=\"noreferrer noopener\">USN-8948-1: PHP vulnerabilities<\/a><\/li>\n\n\n\n<li><strong>Red Hat:<\/strong> <a href=\"https:\/\/access.redhat.com\/security\/cve\/cve-2026-109618\" target=\"_blank\" rel=\"noreferrer noopener\">CVE-2026-109618<\/a><\/li>\n\n\n\n<li><strong>Unit 42:<\/strong> <a href=\"https:\/\/unit42.paloaltonetworks.com\/cve-2026-109618-cve-2026-109619\/\" target=\"_blank\" rel=\"noreferrer noopener\">CVE-2026-109618 und CVE-2026-109619<\/a><\/li>\n\n\n\n<li><strong>CERT-EU:<\/strong> <a href=\"https:\/\/cert.europa.eu\/publications\/security-advisories\/2026-018\/\" target=\"_blank\" rel=\"noreferrer noopener\">Security Advisory 2026-018: Critical Vulnerabilities in PHP<\/a><\/li>\n<\/ul>\n\n\n\n<div class=\"wp-block-lr-faq-module\"><div class=\"content\"><h3><strong>H\u00e4ufige Fragen<\/strong><\/h3><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\"><strong>Gibt es einen Exploit f\u00fcr PHP2Shell?<\/strong><\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Ja. Laut BSI ist ein Proof of Concept \u00f6ffentlich, das RUS-CERT der Universit\u00e4t Stuttgart hat einen \u00f6ffentlichen Exploit an einem Testsystem verifiziert, und laut Amazon wird PHP2Shell inzwischen breit ausgenutzt. Einen ersten Angriffsversuch registrierte Amazon bereits am 17. Oktober 2026.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\"><strong>Welche Software ist von der PHP-Schwachstelle betroffen?<\/strong><\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Jede Software, die auf einer verwundbaren PHP-Version l\u00e4uft, etwa WordPress, Drupal, TYPO3, Joomla, Magento, Shopware, Nextcloud oder selbst entwickelte Anwendungen. Die L\u00fccke sitzt in PHP selbst; ein Update der Anwendung allein reicht nicht.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\"><strong>Wie finde ich betroffene PHP-Systeme in meinem Inventar?<\/strong><\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Intern \u00fcber die Paketverwaltung (<strong>dpkg -l | grep php<\/strong> bzw. <strong>rpm -qa | grep php<\/strong>) und die PHP-Version auf jedem Server, auch in Containern und Appliances. Extern hilft ein Blick auf alle \u00f6ffentlich erreichbaren Webserver und Subdomains, denn gerade vergessene Systeme fehlen oft in internen Listen.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\"><strong>Welche Versionen beheben die Schwachstelle?<\/strong><\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, alle ver\u00f6ffentlicht am 21. Oktober 2026, sowie die gepatchten Pakete der Linux-Distributionen. F\u00fcr PHP 7.4, 8.0 und 8.1 gibt es nur minimale Quellcode-Backports des PHP-Projekts.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\"><strong>Was kann ich tun, wenn ich nicht sofort aktualisieren kann?<\/strong><\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Betroffene Systeme vom Internet trennen oder ihre Erreichbarkeit einschr\u00e4nken, bis das Update installiert ist. Die \u00dcbergangsma\u00dfnahmen des PHP-Projekts, etwa <strong>session.upload_progress.enabled=0<\/strong>, erschweren einzelne Angriffswege, machen eine Installation laut PHP-Projekt aber nicht sicher.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\"><strong>Wo finde ich Hilfe und weitere Informationen?<\/strong><\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Erste Anlaufstellen sind das Advisory des PHP-Projekts, die Upgrade-Hinweise auf php2shell.com, der BSI-IT-Sicherheitshinweis und die Produktliste des niederl\u00e4ndischen NCSC. Wer seine Webseiten nicht selbst betreibt, sollte sich direkt an den Hosting-Dienstleister wenden.<\/p><\/div><\/div><\/div><\/div>\n\n\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"@id\":\"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/#faq\",\"url\":\"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/\"},\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Gibt es einen Exploit f\u00fcr PHP2Shell?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Ja. Laut BSI ist ein Proof of Concept \u00f6ffentlich, das RUS-CERT der Universit\u00e4t Stuttgart hat einen \u00f6ffentlichen Exploit an einem Testsystem verifiziert, und laut Amazon wird PHP2Shell inzwischen breit ausgenutzt. Einen ersten Angriffsversuch registrierte Amazon bereits am 17. Oktober 2026.\"}},{\"@type\":\"Question\",\"name\":\"Welche Software ist von der PHP-Schwachstelle betroffen?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Jede Software, die auf einer verwundbaren PHP-Version l\u00e4uft, etwa WordPress, Drupal, TYPO3, Joomla, Magento, Shopware, Nextcloud oder selbst entwickelte Anwendungen. Die L\u00fccke sitzt in PHP selbst; ein Update der Anwendung allein reicht nicht.\"}},{\"@type\":\"Question\",\"name\":\"Wie finde ich betroffene PHP-Systeme in meinem Inventar?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Intern \u00fcber die Paketverwaltung (dpkg -l | grep php bzw. rpm -qa | grep php) und die PHP-Version auf jedem Server, auch in Containern und Appliances. Extern hilft ein Blick auf alle \u00f6ffentlich erreichbaren Webserver und Subdomains, denn gerade vergessene Systeme fehlen oft in internen Listen.\"}},{\"@type\":\"Question\",\"name\":\"Welche Versionen beheben die Schwachstelle?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, alle ver\u00f6ffentlicht am 21. Oktober 2026, sowie die gepatchten Pakete der Linux-Distributionen. F\u00fcr PHP 7.4, 8.0 und 8.1 gibt es nur minimale Quellcode-Backports des PHP-Projekts.\"}},{\"@type\":\"Question\",\"name\":\"Was kann ich tun, wenn ich nicht sofort aktualisieren kann?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Betroffene Systeme vom Internet trennen oder ihre Erreichbarkeit einschr\u00e4nken, bis das Update installiert ist. Die \u00dcbergangsma\u00dfnahmen des PHP-Projekts, etwa session.upload_progress.enabled=0, erschweren einzelne Angriffswege, machen eine Installation laut PHP-Projekt aber nicht sicher.\"}},{\"@type\":\"Question\",\"name\":\"Wo finde ich Hilfe und weitere Informationen?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Erste Anlaufstellen sind das Advisory des PHP-Projekts, die Upgrade-Hinweise auf php2shell.com, der BSI-IT-Sicherheitshinweis und die Produktliste des niederl\u00e4ndischen NCSC. Wer seine Webseiten nicht selbst betreibt, sollte sich direkt an den Hosting-Dienstleister wenden.\"}}]}<\/script>\n\n\n<p class=\"lr-legal-note\" style=\"margin:32px 0 0;padding-top:16px;border-top:1px solid #e5e7eb;font-size:13px;line-height:1.55;color:#8b93a7;font-style:italic;\">Stand: 22.10.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verf\u00fcgbarkeit k\u00f6nnen sich seit der Ver\u00f6ffentlichung ge\u00e4ndert haben; ma\u00dfgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgf\u00e4ltiger Recherche \u00fcbernehmen wir keine Gew\u00e4hr f\u00fcr Aktualit\u00e4t, Richtigkeit und Vollst\u00e4ndigkeit.<\/p>\n\n\n<div id=\"cve-check\" style=\"scroll-margin-top:100px\"><\/div>\n\n\n\n\t<div class=\"wp-block-lr-cve-quick-check lr-cveqc\">\n\t\t<div class=\"lr-cveqc-inner\">\n\n\t\t\t<div class=\"lr-cveqc-story\">\n\t\t\t\t<h2 class=\"lr-cveqc-headline\">CVE Quick Check<\/h2>\n\t\t\t\t<p class=\"lr-cveqc-text\">Pr\u00fcfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfl\u00e4che erkennbar sind.<\/p>\n\n\t\t\t\t<ul class=\"lr-cveqc-bullets\">\n\t\t\t\t\t<li><svg viewBox=\"0 0 26 26\" fill=\"none\" aria-hidden=\"true\"><circle cx=\"13\" cy=\"13\" r=\"12\" stroke=\"#00051d\" stroke-width=\"1.6\"\/><path d=\"M7.5 13.4l3.7 3.6L18.5 9\" stroke=\"#00051d\" stroke-width=\"2\" stroke-linecap=\"round\" stroke-linejoin=\"round\"\/><\/svg><span>Erste Einsch\u00e4tzung in wenigen Minuten per E-Mail.<\/span><\/li>\t\t\t\t\t<li><svg viewBox=\"0 0 26 26\" fill=\"none\" aria-hidden=\"true\"><circle cx=\"13\" cy=\"13\" r=\"12\" stroke=\"#00051d\" stroke-width=\"1.6\"\/><path d=\"M7.5 13.4l3.7 3.6L18.5 9\" stroke=\"#00051d\" stroke-width=\"2\" stroke-linecap=\"round\" stroke-linejoin=\"round\"\/><\/svg><span>Details im kostenlosen Gespr\u00e4ch mit einem LocateRisk Consultant.<\/span><\/li>\t\t\t\t<\/ul>\n\n\t\t\t\t\t\t\t\t<div class=\"lr-cveqc-teaser\" aria-hidden=\"true\">\n\t\t\t\t\t<h4>Das erhalten Sie per E-Mail<\/h4>\n\t\t\t\t\t<div class=\"lr-cveqc-trow\"><span class=\"k\">Unternehmen<\/span><span class=\"v\">Ihre Firma GmbH<\/span><\/div>\n\t\t\t\t\t\t\t\t\t\t<div class=\"lr-cveqc-trow\"><span class=\"k\">Gepr\u00fcfte CVE<\/span><span class=\"v\">CVE-2026-109618<\/span><\/div>\n\t\t\t\t\t<div class=\"lr-cveqc-trow\"><span class=\"k\">Passive Bewertung<\/span><span class=\"lr-cveqc-lamp\"><i class=\"r\"><\/i><i class=\"y\"><\/i><i class=\"g\"><\/i><\/span><\/div>\t\t\t\t\t<div class=\"lr-cveqc-trow\"><span class=\"k\">Hinweise zur CVE<\/span><span class=\"lr-cveqc-pill\">gefunden oder nicht gefunden<\/span><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t<\/div>\n\n\t\t\t<div class=\"lr-cveqc-form-col\">\n\t\t\t\t<form id=\"lr-cveqc-1\" class=\"lr-cveqc-form\" method=\"post\" novalidate\n\t\t\t\t\tdata-ajax-url=\"https:\/\/locaterisk.com\/wp-admin\/admin-ajax.php\">\n\n\t\t\t\t\t<input type=\"text\" name=\"cveId\" required maxlength=\"40\"\n\t\t\t\t\t\tpattern=\"^[Cc][Vv][Ee]-\\d{4}-\\d{4,7}$\"\n\t\t\t\t\t\tvalue=\"CVE-2026-109618\"\n\t\t\t\t\t\tplaceholder=\"CVE-ID, z. B. CVE-2024-3094\" \/>\n\n\t\t\t\t\t<input type=\"email\" name=\"email\" required maxlength=\"320\"\n\t\t\t\t\t\tplaceholder=\"Gesch\u00e4ftliche E-Mail-Adresse\" \/>\n\t\t\t\t\t<p class=\"lr-cveqc-hint\">Bitte verwenden Sie Ihre gesch\u00e4ftliche E-Mail-Adresse. Die Pr\u00fcfung bezieht sich auf das Unternehmen hinter Ihrer E-Mail-Domain; Free-Mail-Adressen (z. B. Gmail) k\u00f6nnen keinem Unternehmen zugeordnet werden.<\/p>\n\n\t\t\t\t\t<!-- Optionale Telefonnummer: nur wer sie angibt, willigt laut Consent-Text\n\t\t\t\t\t     auch in eine telefonische Rueckmeldung ein. autocomplete=\"tel\" ist\n\t\t\t\t\t     gewollt (echtes Feld, kein Honeypot). -->\n\t\t\t\t\t<input type=\"tel\" name=\"phone\" maxlength=\"64\" autocomplete=\"tel\"\n\t\t\t\t\t\tplaceholder=\"Telefon (optional)\" \/>\n\t\t\t\t\t<p class=\"lr-cveqc-hint\">Nur n\u00f6tig, wenn Sie eine kurze telefonische Einordnung m\u00f6chten.<\/p>\n\n\t\t\t\t\t<!-- Honeypot: f\u00fcr Menschen unsichtbar, Bots f\u00fcllen es aus.\n\t\t\t\t\t     Neutraler Feldname (NICHT \"website\"\/\"url\"\/\"email\"), sonst f\u00fcllen\n\t\t\t\t\t     Passwort-Manager und Browser-Autofill das Feld beim echten Nutzer\n\t\t\t\t\t     und blocken ihn faelschlich. -->\n\t\t\t\t\t<div class=\"lr-cveqc-hp\" aria-hidden=\"true\">\n\t\t\t\t\t\t<label>Dieses Feld bitte leer lassen\n\t\t\t\t\t\t\t<input type=\"text\" name=\"lr_hp_check\" tabindex=\"-1\" autocomplete=\"off\" \/>\n\t\t\t\t\t\t<\/label>\n\t\t\t\t\t<\/div>\n\n\t\t\t\t\t<label class=\"lr-cveqc-check\">\n\t\t\t\t\t\t<input type=\"checkbox\" name=\"consentProcessingAccepted\" value=\"1\" required \/>\n\t\t\t\t\t\t<span>Ich stimme zu, dass LocateRisk meine Angaben f\u00fcr den Quick Check verarbeitet, mir das Ergebnis per E-Mail schickt und sich dazu per E-Mail bei mir meldet. Es gelten die <a href=\"\/files\/agb.pdf\" target=\"_blank\" rel=\"noopener\">AGB<\/a> und die <a href=\"\/datenschutz\/\" target=\"_blank\" rel=\"noopener\">Datenschutzerkl\u00e4rung<\/a>.<\/span>\n\t\t\t\t\t<\/label>\n\n\t\t\t\t\t<label class=\"lr-cveqc-check\">\n\t\t\t\t\t\t<input type=\"checkbox\" name=\"cveNotifyOptIn\" value=\"1\" \/>\n\t\t\t\t\t\t<span>Benachrichtigt mich, wenn f\u00fcr extern erkennbare Software neue kritische Schwachstellen (CVSS ab 9) ver\u00f6ffentlicht werden. Jederzeit abbestellbar. (optional)<\/span>\n\t\t\t\t\t<\/label>\n\n\t\t\t\t\t<label class=\"lr-cveqc-check\">\n\t\t\t\t\t\t<input type=\"checkbox\" name=\"marketingOptIn\" value=\"1\" \/>\n\t\t\t\t\t\t<span>Infos zu LocateRisk Produkten und Security-Themen per E-Mail. Jederzeit widerrufbar. (optional)<\/span>\n\t\t\t\t\t<\/label>\n\n\t\t\t\t\t\t\t\t\t\t<input type=\"hidden\" name=\"consentTextVerbatim\" value=\"Ich stimme zu, dass LocateRisk meine Angaben f\u00fcr den Quick Check verarbeitet, mir das Ergebnis per E-Mail schickt und sich dazu per E-Mail bei mir meldet. Es gelten die AGB und die Datenschutzerkl\u00e4rung.\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"consentTextVersion\" value=\"qc_consent_fd4a0945\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"marketingTextVerbatim\" value=\"Infos zu LocateRisk Produkten und Security-Themen per E-Mail. Jederzeit widerrufbar. (optional)\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"marketingTextVersion\" value=\"qc_marketing_cee62603\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"locale\" value=\"de\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"blogPostUrl\" value=\"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"utmSource\" value=\"\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"utmCampaign\" value=\"\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"invalidCveMessage\" value=\"Bitte geben Sie eine g\u00fcltige CVE-ID an (z. B. CVE-2024-3094).\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"consentRequiredMessage\" value=\"Bitte stimmen Sie der Verarbeitung zu, damit wir den Quick Check durchf\u00fchren k\u00f6nnen.\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"captchaMessage\" value=\"Bitte best\u00e4tigen Sie das reCAPTCHA und versuchen Sie es erneut.\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"successMessage\" value=\"Vielen Dank! Bitte best\u00e4tigen Sie Ihre E-Mail-Adresse \u00fcber den Link, den wir Ihnen soeben geschickt haben. Danach starten wir den Quick Check.\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"errorMessage\" value=\"Das hat leider nicht geklappt. Bitte pr\u00fcfen Sie Ihre Angaben und versuchen Sie es erneut.\" \/>\n\n\t\t\t\t\t\t\t\t\t\t\t<div class=\"g-recaptcha\" data-sitekey=\"6LdErNoZAAAAAD1Re2jNxtDFfcDaL9iED5MRBzjR\"\n\t\t\t\t\t\t\tdata-callback=\"verifyRecaptchaCallback\" data-expired-callback=\"expiredRecaptchaCallback\"><\/div>\n\t\t\t\t\t\t<input type=\"hidden\" name=\"g-recaptcha-response\" data-recaptcha \/>\n\t\t\t\t\t\n\t\t\t\t\t<p class=\"lr-cveqc-message\" hidden><\/p>\n\n\t\t\t\t\t<button class=\"lr-button-link\" type=\"submit\">Quick Check starten<\/button>\n\t\t\t\t<\/form>\n\t\t\t<\/div>\n\n\t\t<\/div>\n\t<\/div>\n\n\t\t<style>\n\t\t\/* CVE Quick Check im Stil der bestehenden Anfrage-Formulare:\n\t\t   wei\u00dfer Grund, zweispaltig, graue Felder, t\u00fcrkiser Button. *\/\n\t\t.lr-cveqc {\n\t\t\tbackground: #ffffff; color: #00051d; box-sizing: border-box; padding: 64px 32px;\n\t\t\tfont-family: Roboto, -apple-system, BlinkMacSystemFont, \"Segoe UI\", Helvetica, Arial, sans-serif;\n\t\t}\n\t\t.lr-cveqc * { box-sizing: border-box; }\n\t\t.lr-cveqc-inner {\n\t\t\tmax-width: 1160px; margin: 0 auto;\n\t\t\tdisplay: flex; flex-direction: row; gap: 6%; align-items: flex-start;\n\t\t}\n\t\t.lr-cveqc-story { flex: 1 1 54%; min-width: 0; }\n\t\t.lr-cveqc-form-col { flex: 0 0 38%; max-width: 420px; }\n\n\t\t.lr-cveqc-headline { color: #26d9c3; margin: 0 0 20px; }\n\t\t.lr-cveqc-text { font-size: 16px; line-height: 1.62; color: #00051d; margin: 0 0 28px; max-width: 46ch; }\n\n\t\t.lr-cveqc-bullets { list-style: none; margin: 0 0 30px; padding: 0; display: flex; flex-direction: column; gap: 16px; }\n\t\t.lr-cveqc-bullets li { display: flex; gap: 13px; align-items: flex-start; }\n\t\t.lr-cveqc-bullets svg { flex: none; width: 25px; height: 25px; margin-top: 1px; }\n\t\t.lr-cveqc-bullets span { font-size: 15px; line-height: 1.5; color: #00051d; }\n\n\t\t.lr-cveqc-teaser { border: 1px solid #e2e8e6; border-radius: 12px; padding: 18px 20px; background: linear-gradient(180deg,#fbfdfc,#f2f8f6); max-width: 430px; }\n\t\t.lr-cveqc-teaser h4 { margin: 0 0 6px; font-size: 11px; letter-spacing: .15em; text-transform: uppercase; color: #58616f; font-family: inherit; font-weight: 700; }\n\t\t.lr-cveqc-trow { display: flex; align-items: center; justify-content: space-between; gap: 10px; padding: 7px 0; font-size: 13.5px; }\n\t\t.lr-cveqc-trow + .lr-cveqc-trow { border-top: 1px dashed #dbe4e1; }\n\t\t.lr-cveqc-trow .k { color: #58616f; }\n\t\t.lr-cveqc-trow .v { font-weight: 600; color: #00051d; }\n\t\t.lr-cveqc-lamp { display: inline-flex; gap: 6px; align-items: center; }\n\t\t.lr-cveqc-lamp i { width: 13px; height: 13px; border-radius: 50%; opacity: .28; display: inline-block; }\n\t\t.lr-cveqc-lamp i.r { background: #f6105f; }\n\t\t.lr-cveqc-lamp i.y { background: #f6bf28; }\n\t\t.lr-cveqc-lamp i.g { background: #23c39a; }\n\t\t.lr-cveqc-pill { font-size: 12px; font-weight: 700; padding: 3px 10px; border-radius: 999px; background: #eef0f4; color: #00051d; white-space: nowrap; }\n\n\t\t.lr-cveqc-form input[type=text], .lr-cveqc-form input[type=email], .lr-cveqc-form input[type=tel] {\n\t\t\tdisplay: block; width: 100%; height: 50px; margin: 0 0 10px;\n\t\t\tborder: 0; border-radius: 0; background: #dedede; color: #00051d;\n\t\t\tfont-size: 16px; padding: 0 18px; font-family: inherit;\n\t\t}\n\t\t.lr-cveqc-form input::placeholder { color: #6d7580; }\n\t\t.lr-cveqc-form input.lr-invalid { border-bottom: 2px solid #f6105f; }\n\t\t.lr-cveqc-hint { font-size: 12.5px; line-height: 1.5; color: #58616f; margin: 2px 0 16px; }\n\t\t.lr-cveqc-hp { position: absolute !important; left: -9999px !important; height: 0; overflow: hidden; }\n\t\t.lr-cveqc-check { display: flex; gap: 12px; align-items: flex-start; margin: 0 0 12px; font-size: 12.5px; line-height: 1.5; color: #00051d; }\n\t\t.lr-cveqc-check span { color: #00051d; }\n\t\t.lr-cveqc-check input { margin-top: 2px; flex: none; width: 18px; height: 18px; accent-color: #26d9c3; }\n\t\t.lr-cveqc-check a { color: inherit; text-decoration: underline; }\n\t\t.lr-cveqc .g-recaptcha { margin: 8px 0 16px; }\n\t\t.lr-cveqc-message { font-size: 14px; padding: 12px 14px; border-radius: 6px; margin: 0 0 12px; }\n\t\t.lr-cveqc-message.lr-success { background: #e2f7ef; color: #0c6b4d; }\n\t\t.lr-cveqc-message.lr-error { background: #fdeaee; color: #9b0e3f; }\n\t\t.lr-cveqc .lr-button-link, .lr-cveqc button[type=submit] {\n\t\t\tdisplay: flex; align-items: center; justify-content: center;\n\t\t\twidth: 100%; height: 50px; padding: 0 20px; box-sizing: border-box;\n\t\t\tborder: 0; cursor: pointer;\n\t\t\tbackground: #26d9c3; color: #00051d; font-weight: 700; font-size: 14px;\n\t\t\tfont-family: inherit; text-align: center; line-height: 1.2; text-decoration: none;\n\t\t\ttransition: background .15s ease;\n\t\t}\n\t\t.lr-cveqc button[type=submit]:hover { background: #0fb5a2; }\n\t\t.lr-cveqc button[disabled] { opacity: .6; cursor: default; }\n\n\t\t@media (max-width: 820px) {\n\t\t\t.lr-cveqc { padding: 40px 22px; }\n\t\t\t.lr-cveqc-inner { flex-direction: column; gap: 34px; }\n\t\t\t.lr-cveqc-story, .lr-cveqc-form-col { flex-basis: auto; max-width: 520px; width: 100%; }\n\t\t}\n\t<\/style>\n\t<script>\n\t(function () {\n\t\t\/\/ Token-Callbacks f\u00fcrs globale reCAPTCHA (identisch zum Theme, defensiv)\n\t\tif (!window.verifyRecaptchaCallback) {\n\t\t\twindow.verifyRecaptchaCallback = function (response) {\n\t\t\t\tdocument.querySelectorAll('input[data-recaptcha]').forEach(function (el) { el.value = response })\n\t\t\t}\n\t\t}\n\t\tif (!window.expiredRecaptchaCallback) {\n\t\t\twindow.expiredRecaptchaCallback = function () {\n\t\t\t\tdocument.querySelectorAll('input[data-recaptcha]').forEach(function (el) { el.value = '' })\n\t\t\t}\n\t\t}\n\n\t\tfunction showMessage(form, text, isSuccess) {\n\t\t\tvar box = form.querySelector('.lr-cveqc-message')\n\t\t\tbox.textContent = text\n\t\t\tbox.classList.remove('lr-success', 'lr-error')\n\t\t\tbox.classList.add(isSuccess ? 'lr-success' : 'lr-error')\n\t\t\tbox.hidden = false\n\t\t}\n\n\t\tfunction init() {\n\t\t\tdocument.querySelectorAll('.lr-cveqc-form').forEach(function (form) {\n\t\t\t\tform.addEventListener('submit', function (e) {\n\t\t\t\t\te.preventDefault()\n\n\t\t\t\t\tvar cve = form.querySelector('input[name=cveId]')\n\t\t\t\t\tvar email = form.querySelector('input[name=email]')\n\t\t\t\t\tvar consent = form.querySelector('input[name=consentProcessingAccepted]')\n\t\t\t\t\tvar cvePattern = \/^CVE-\\d{4}-\\d{4,7}$\/i\n\n\t\t\t\t\tcve.classList.toggle('lr-invalid', !cvePattern.test(cve.value.trim()))\n\t\t\t\t\temail.classList.toggle('lr-invalid', !email.checkValidity())\n\n\t\t\t\t\tif (!cvePattern.test(cve.value.trim())) {\n\t\t\t\t\t\tshowMessage(form, form.querySelector('input[name=invalidCveMessage]').value, false)\n\t\t\t\t\t\treturn\n\t\t\t\t\t}\n\t\t\t\t\tif (!email.checkValidity()) {\n\t\t\t\t\t\temail.reportValidity()\n\t\t\t\t\t\treturn\n\t\t\t\t\t}\n\t\t\t\t\tif (!consent.checked) {\n\t\t\t\t\t\tshowMessage(form, form.querySelector('input[name=consentRequiredMessage]').value, false)\n\t\t\t\t\t\treturn\n\t\t\t\t\t}\n\n\t\t\t\t\tvar button = form.querySelector('button[type=submit]')\n\t\t\t\t\tbutton.disabled = true\n\n\t\t\t\t\tvar data = new FormData(form)\n\t\t\t\t\tdata.append('action', 'lr_cve_quick_check')\n\n\t\t\t\t\tfetch(form.getAttribute('data-ajax-url'), { method: 'POST', body: data })\n\t\t\t\t\t\t.then(function (res) { return res.json() })\n\t\t\t\t\t\t.then(function (json) {\n\t\t\t\t\t\t\tif (json && json.success) {\n\t\t\t\t\t\t\t\tshowMessage(form, form.querySelector('input[name=successMessage]').value, true)\n\t\t\t\t\t\t\t\tform.querySelectorAll('input, button').forEach(function (el) { el.disabled = true })\n\t\t\t\t\t\t\t} else {\n\t\t\t\t\t\t\t\t\/\/ Interne Codes nie roh anzeigen, nur bekannte Codes auf\n\t\t\t\t\t\t\t\t\/\/ konfigurierte Texte mappen, sonst generische Fehlermeldung\n\t\t\t\t\t\t\t\tvar code = json && json.data && (json.data.code || json.data.message)\n\t\t\t\t\t\t\t\tvar msg = form.querySelector('input[name=errorMessage]').value\n\t\t\t\t\t\t\t\tif (code === 'invalid_cve' || code === 'invalid') {\n\t\t\t\t\t\t\t\t\tmsg = form.querySelector('input[name=invalidCveMessage]').value\n\t\t\t\t\t\t\t\t} else if (code === 'captcha') {\n\t\t\t\t\t\t\t\t\tmsg = form.querySelector('input[name=captchaMessage]').value\n\t\t\t\t\t\t\t\t}\n\t\t\t\t\t\t\t\tshowMessage(form, msg, false)\n\t\t\t\t\t\t\t\tbutton.disabled = false\n\t\t\t\t\t\t\t\tif (window.grecaptcha && form.querySelector('.g-recaptcha')) {\n\t\t\t\t\t\t\t\t\ttry { window.grecaptcha.reset() } catch (err) { \/* noop *\/ }\n\t\t\t\t\t\t\t\t}\n\t\t\t\t\t\t\t}\n\t\t\t\t\t\t})\n\t\t\t\t\t\t.catch(function () {\n\t\t\t\t\t\t\tshowMessage(form, form.querySelector('input[name=errorMessage]').value, false)\n\t\t\t\t\t\t\tbutton.disabled = false\n\t\t\t\t\t\t})\n\t\t\t\t})\n\t\t\t})\n\t\t}\n\n\t\tif (document.readyState === 'loading') {\n\t\t\tdocument.addEventListener('DOMContentLoaded', init)\n\t\t} else {\n\t\t\tinit()\n\t\t}\n\t})()\n\t<\/script>\n\t\n\n\n\n<hr class=\"wp-block-separator has-css-opacity is-style-wide\"\/>\n\n\n\n<div class=\"wp-block-lr-contact-module\"><div class=\"content\"><h2>Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!<\/h2><div class=\"contact-info-row\"><div class=\"contact-person-info\"><div class=\"avatar\"><img decoding=\"async\" src=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2025\/06\/Lukas_Baumann_LocateRisk-300.png\"><\/div><p><span class=\"text before\">Ihr Ansprechpartner<\/span><span class=\"bold name\"><strong>Lukas<\/strong><\/span> <span class=\"lastname\"><strong>Baumann<strong><\/strong><\/strong><\/span><strong><strong><span class=\"separator\"><\/span><span class=\"role\">CEO<\/span><\/strong><\/strong><\/p><\/div><p class=\"bold phone\"><strong><strong>+49 6151 6290246<\/strong><\/strong><\/p><strong><strong><a class=\"pr-1\" href=\"mailto:%20sales@locaterisk.com\">Jetzt Kontakt aufnehmen<\/a><\/strong><\/strong><\/div><\/div><\/div>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n\n<div class=\"wp-block-lr-footer-module lr-footer-block\"><div class=\"content\"><div class=\"column0\"><img decoding=\"async\" src=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/assets\/img\/lr-logo.svg\"\/><\/div><div class=\"categories\"><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/de\/\">Home<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/de\/blog\/\">Blog<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/de\/wissen\/\">Wissen<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/de\/about\/\">\u00dcber uns<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/de\/kontakt\/\">Kontakt<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/de\/impressum\/\">Impressum<\/a><\/div><div class=\"categories-break\"><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/de\/datenschutz\/\">Datenschutz<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/files\/agb.pdf\">AGB<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/de\/jobs\/\">Jobs<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/app.secfix.com\/trust\/locaterisk\/d1e7d433b33643aea1880bfbfeab9f60\">Trust Center<\/a><\/div><\/div><div class=\"social\"><div class=\"social-element\"><a target=\"_blank\" href=\"https:\/\/www.linkedin.com\/company\/locaterisk\/\"><img decoding=\"async\" src=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/10\/gruppe-230@3x.png\"\/><\/a><\/div><div class=\"social-element\"><a target=\"_blank\" href=\"https:\/\/www.instagram.com\/locaterisk\/\"><img decoding=\"async\" src=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Instagram.png\"\/><\/a><\/div><div class=\"social-element\"><a target=\"_blank\" href=\"https:\/\/twitter.com\/locaterisk\"><img decoding=\"async\" src=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/twitter.png\"\/><\/a><\/div><\/div><div class=\"description\"><h6>\u00a9 LocateRisk 2026<\/h6><\/div><\/div><\/div>\n","protected":false},"excerpt":{"rendered":"<p>PHP2Shell wird ausgenutzt. So finden Sie betroffene PHP-Software im Inventar und schlie\u00dfen CVE-2026-109618 und CVE-2026-109619 per Update.<\/p>\n","protected":false},"author":13,"featured_media":9140,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[632],"tags":[977,980,978,981,979,111],"lr_blog_topic":[837],"class_list":["post-99215","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersecurity-news","tag-cve-2026-109618","tag-cve-2026-109619","tag-php-sicherheitsluecke","tag-php-update","tag-php2shell","tag-remote-code-execution","lr_blog_topic-schwachstellen-advisories"],"yoast_head":"<title>PHP2Shell-Exploit: PHP-Schwachstelle finden und schlie\u00dfen<\/title>\n<meta name=\"description\" content=\"PHP2Shell wird ausgenutzt. So finden Sie betroffene PHP-Software im Inventar und schlie\u00dfen CVE-2026-109618 und CVE-2026-109619 per Update.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/\" \/>\n<meta property=\"og:locale\" content=\"de_DE\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"PHP2Shell-Exploit: PHP-Schwachstelle finden und schlie\u00dfen\" \/>\n<meta property=\"og:description\" content=\"PHP2Shell wird ausgenutzt. So finden Sie betroffene PHP-Software im Inventar und schlie\u00dfen CVE-2026-109618 und CVE-2026-109619 per Update.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/\" \/>\n<meta property=\"og:site_name\" content=\"LocateRisk\" \/>\n<meta property=\"article:published_time\" content=\"2026-10-21T08:24:39+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-10-22T06:52:50+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets.png\" \/>\n\t<meta property=\"og:image:width\" content=\"400\" \/>\n\t<meta property=\"og:image:height\" content=\"400\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Kristina Hoinkis\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Verfasst von\" \/>\n\t<meta name=\"twitter:data1\" content=\"Kristina Hoinkis\" \/>\n\t<meta name=\"twitter:label2\" content=\"Gesch\u00e4tzte Lesezeit\" \/>\n\t<meta name=\"twitter:data2\" content=\"11\u00a0Minuten\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/\"},\"author\":{\"name\":\"Kristina Hoinkis\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/person\\\/68f3857c15afa8ff59c545848dddcc32\"},\"headline\":\"PHP2Shell: Exploit f\u00fcr kritische PHP-Schwachstelle \u2013 betroffene Software finden und schlie\u00dfen\",\"datePublished\":\"2026-10-21T08:24:39+00:00\",\"dateModified\":\"2026-10-22T06:52:50+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/\"},\"wordCount\":2313,\"publisher\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#organization\"},\"image\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/exposed-assets.png\",\"keywords\":[\"CVE-2026-109618\",\"CVE-2026-109619\",\"PHP Sicherheitsl\u00fccke\",\"PHP Update\",\"PHP2Shell\",\"Remote Code Execution\"],\"articleSection\":[\"Cybersecurity News\"],\"inLanguage\":\"de\"},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/\",\"name\":\"PHP2Shell-Exploit: PHP-Schwachstelle finden und schlie\u00dfen\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/#primaryimage\"},\"image\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/exposed-assets.png\",\"datePublished\":\"2026-10-21T08:24:39+00:00\",\"dateModified\":\"2026-10-22T06:52:50+00:00\",\"description\":\"PHP2Shell wird ausgenutzt. So finden Sie betroffene PHP-Software im Inventar und schlie\u00dfen CVE-2026-109618 und CVE-2026-109619 per Update.\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/#breadcrumb\"},\"inLanguage\":\"de\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"de\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/#primaryimage\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/exposed-assets.png\",\"contentUrl\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/exposed-assets.png\",\"width\":400,\"height\":400,\"caption\":\"exposed-assets\"},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\\\/\\\/locaterisk.com\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"PHP2Shell: Exploit f\u00fcr kritische PHP-Schwachstelle \u2013 betroffene Software finden und schlie\u00dfen\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#website\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/\",\"name\":\"LocateRisk\",\"description\":\"IT-Sicherheit messen und vergleichen\",\"publisher\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"de\"},{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#organization\",\"name\":\"LocateRisk\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"de\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2020\\\/11\\\/Kettenglieder_V0216-9.jpg\",\"contentUrl\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2020\\\/11\\\/Kettenglieder_V0216-9.jpg\",\"width\":1920,\"height\":1080,\"caption\":\"LocateRisk\"},\"image\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\"},\"sameAs\":[\"https:\\\/\\\/www.linkedin.com\\\/company\\\/locaterisk\\\/\"]},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/person\\\/68f3857c15afa8ff59c545848dddcc32\",\"name\":\"Kristina Hoinkis\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"de\",\"@id\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/7756f96249844e60ceb218f17e06217dcbed4993bcd2124e3f59bb8675324f0d?s=96&d=mm&r=g\",\"url\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/7756f96249844e60ceb218f17e06217dcbed4993bcd2124e3f59bb8675324f0d?s=96&d=mm&r=g\",\"contentUrl\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/7756f96249844e60ceb218f17e06217dcbed4993bcd2124e3f59bb8675324f0d?s=96&d=mm&r=g\",\"caption\":\"Kristina Hoinkis\"}}]}<\/script>","yoast_head_json":{"title":"PHP2Shell-Exploit: PHP-Schwachstelle finden und schlie\u00dfen","description":"PHP2Shell wird ausgenutzt. So finden Sie betroffene PHP-Software im Inventar und schlie\u00dfen CVE-2026-109618 und CVE-2026-109619 per Update.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/","og_locale":"de_DE","og_type":"article","og_title":"PHP2Shell-Exploit: PHP-Schwachstelle finden und schlie\u00dfen","og_description":"PHP2Shell wird ausgenutzt. So finden Sie betroffene PHP-Software im Inventar und schlie\u00dfen CVE-2026-109618 und CVE-2026-109619 per Update.","og_url":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/","og_site_name":"LocateRisk","article_published_time":"2026-10-21T08:24:39+00:00","article_modified_time":"2026-10-22T06:52:50+00:00","og_image":[{"width":400,"height":400,"url":"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets.png","type":"image\/png"}],"author":"Kristina Hoinkis","twitter_card":"summary_large_image","twitter_misc":{"Verfasst von":"Kristina Hoinkis","Gesch\u00e4tzte Lesezeit":"11\u00a0Minuten"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/#article","isPartOf":{"@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/"},"author":{"name":"Kristina Hoinkis","@id":"https:\/\/locaterisk.com\/de\/#\/schema\/person\/68f3857c15afa8ff59c545848dddcc32"},"headline":"PHP2Shell: Exploit f\u00fcr kritische PHP-Schwachstelle \u2013 betroffene Software finden und schlie\u00dfen","datePublished":"2026-10-21T08:24:39+00:00","dateModified":"2026-10-22T06:52:50+00:00","mainEntityOfPage":{"@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/"},"wordCount":2313,"publisher":{"@id":"https:\/\/locaterisk.com\/de\/#organization"},"image":{"@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/#primaryimage"},"thumbnailUrl":"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets.png","keywords":["CVE-2026-109618","CVE-2026-109619","PHP Sicherheitsl\u00fccke","PHP Update","PHP2Shell","Remote Code Execution"],"articleSection":["Cybersecurity News"],"inLanguage":"de"},{"@type":"WebPage","@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/","url":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/","name":"PHP2Shell-Exploit: PHP-Schwachstelle finden und schlie\u00dfen","isPartOf":{"@id":"https:\/\/locaterisk.com\/de\/#website"},"primaryImageOfPage":{"@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/#primaryimage"},"image":{"@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/#primaryimage"},"thumbnailUrl":"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets.png","datePublished":"2026-10-21T08:24:39+00:00","dateModified":"2026-10-22T06:52:50+00:00","description":"PHP2Shell wird ausgenutzt. So finden Sie betroffene PHP-Software im Inventar und schlie\u00dfen CVE-2026-109618 und CVE-2026-109619 per Update.","breadcrumb":{"@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/#breadcrumb"},"inLanguage":"de","potentialAction":[{"@type":"ReadAction","target":["https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/"]}]},{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/#primaryimage","url":"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets.png","contentUrl":"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets.png","width":400,"height":400,"caption":"exposed-assets"},{"@type":"BreadcrumbList","@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/locaterisk.com\/"},{"@type":"ListItem","position":2,"name":"PHP2Shell: Exploit f\u00fcr kritische PHP-Schwachstelle \u2013 betroffene Software finden und schlie\u00dfen"}]},{"@type":"WebSite","@id":"https:\/\/locaterisk.com\/de\/#website","url":"https:\/\/locaterisk.com\/de\/","name":"LocateRisk","description":"IT-Sicherheit messen und vergleichen","publisher":{"@id":"https:\/\/locaterisk.com\/de\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/locaterisk.com\/de\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"de"},{"@type":"Organization","@id":"https:\/\/locaterisk.com\/de\/#organization","name":"LocateRisk","url":"https:\/\/locaterisk.com\/de\/","logo":{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/locaterisk.com\/de\/#\/schema\/logo\/image\/","url":"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_V0216-9.jpg","contentUrl":"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_V0216-9.jpg","width":1920,"height":1080,"caption":"LocateRisk"},"image":{"@id":"https:\/\/locaterisk.com\/de\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.linkedin.com\/company\/locaterisk\/"]},{"@type":"Person","@id":"https:\/\/locaterisk.com\/de\/#\/schema\/person\/68f3857c15afa8ff59c545848dddcc32","name":"Kristina Hoinkis","image":{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/secure.gravatar.com\/avatar\/7756f96249844e60ceb218f17e06217dcbed4993bcd2124e3f59bb8675324f0d?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/7756f96249844e60ceb218f17e06217dcbed4993bcd2124e3f59bb8675324f0d?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/7756f96249844e60ceb218f17e06217dcbed4993bcd2124e3f59bb8675324f0d?s=96&d=mm&r=g","caption":"Kristina Hoinkis"}}]}},"_links":{"self":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/posts\/99215","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/users\/13"}],"replies":[{"embeddable":true,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/comments?post=99215"}],"version-history":[{"count":5,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/posts\/99215\/revisions"}],"predecessor-version":[{"id":99223,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/posts\/99215\/revisions\/99223"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/media\/9140"}],"wp:attachment":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/media?parent=99215"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/categories?post=99215"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/tags?post=99215"},{"taxonomy":"lr_blog_topic","embeddable":true,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/lr_blog_topic?post=99215"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}