{"id":99215,"date":"2026-10-21T10:24:39","date_gmt":"2026-10-21T08:24:39","guid":{"rendered":"https:\/\/locaterisk.com\/de\/?p=99215"},"modified":"2026-10-21T16:31:33","modified_gmt":"2026-10-21T14:31:33","slug":"php-rce-cve-2026-109618","status":"publish","type":"post","link":"https:\/\/locaterisk.com\/en\/php-rce-cve-2026-109618\/","title":{"rendered":"PHP2Shell: Critical PHP Vulnerabilities CVE-2026-109618 and CVE-2026-109619"},"content":{"rendered":"\n<div class=\"wp-block-lr-blog-article-header-module\">\n    <div class=\"content\">\n\t\t<div class=\"headline\">\n\t\t\t<a class=\"to-blog-button\" href=\"https:\/\/locaterisk.com\/en\/blog\/\">\n\t\t\t\t<span class=\"to-blog-arrow\" aria-hidden=\"true\">\u2190<\/span>\n\t\t\t\t<span>Back to blog<\/span>\n\t\t\t<\/a>\n\t\t\t<div class=\"article-meta\">\n\t\t\t\t\t\t\t\t\t<p class=\"post-updated\">Published: October 21, 2026<\/p>\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t<\/div>\n        <div class=\"main-content\">\n\t\t\t<h1 class=\"title\">PHP2Shell: Kritische PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619<\/h1>\n\t\t\t\t\t\t\t<p class=\"paragraph\"><span class=\"lr-ai-disclosure\" style=\"display:block;margin:8px 0 28px;font-size:14px;line-height:1.4;color:#8b93a7;font-family:inherit;font-style:italic\">Dieser Text wurde mit k\u00fcnstlicher Intelligenz (KI) erstellt.<\/span><strong>Stand: 21. Oktober 2026, 16:30 Uhr MESZ \u2013 Patches sind verf\u00fcgbar.<\/strong> Das PHP-Projekt hat die Sicherheitsupdates ver\u00f6ffentlicht. \u00d6ffentliche Exploits existieren, erste Angriffe wurden laut RUS-CERT der Universit\u00e4t Stuttgart bereits beobachtet. Wer PHP-Webserver betreibt, sollte jetzt aktualisieren.<br><br>Das PHP-Projekt hat am 21. Oktober 2026 die Versionen <strong>PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35<\/strong> ver\u00f6ffentlicht. Sie schlie\u00dfen zwei kritische Schwachstellen, <strong>CVE-2026-109618<\/strong> und <strong>CVE-2026-109619<\/strong>, beide mit <strong>CVSS 9.2 nach CVSS v4.0<\/strong> bewertet. Beide erlauben unauthentifizierte Remote Code Execution. Vorab waren Informationen zu den L\u00fccken am 20. Oktober 2026 \u00f6ffentlich geworden.<br><br>Das BSI hat zu den L\u00fccken einen IT-Sicherheitshinweis mit der <strong>Kritikalit\u00e4t 3 \/ Orange<\/strong> ver\u00f6ffentlicht. Das bedeutet nach BSI-Skala: Ma\u00dfnahmen m\u00fcssen unverz\u00fcglich ergriffen werden, eine massive Beeintr\u00e4chtigung des Regelbetriebs ist m\u00f6glich.<br><br><a href=\"#cve-check\" class=\"lr-cveqc-jump\" style=\"display:inline-block;font-weight:700;color:#26d9c3;text-decoration:none\">Sind meine Systeme betroffen? Jetzt pr\u00fcfen \u2192<\/a><\/p>\n\t\t\t        <\/div>\n    <\/div>\n<\/div>\n\n\n\n\n<div class=\"wp-block-image\">\n<figure class=\"aligncenter size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"400\" height=\"400\" src=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets.png\" alt=\"PHP2Shell: Kritische PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619\" class=\"wp-image-9140\" srcset=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets.png 400w, https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets-300x300.png 300w, https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets-150x150.png 150w, https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets-12x12.png 12w\" sizes=\"auto, (max-width: 400px) 100vw, 400px\" \/><\/figure>\n<\/div>\n\n\n<p class=\"wp-block-paragraph\"><strong>Auf einen Blick:<\/strong><\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Produkt \/ Komponente<\/th><th>Betroffene Versionen<\/th><th>Gepatcht in<\/th><\/tr><\/thead><tbody><tr><td>PHP 8.5<\/td><td>vor 8.5.12<\/td><td>8.5.12<\/td><\/tr><tr><td>PHP 8.4<\/td><td>vor 8.4.27<\/td><td>8.4.27<\/td><\/tr><tr><td>PHP 8.3<\/td><td>vor 8.3.36<\/td><td>8.3.36<\/td><\/tr><tr><td>PHP 8.2<\/td><td>vor 8.2.35<\/td><td>8.2.35<\/td><\/tr><tr><td>PHP 8.1 und \u00e4lter<\/td><td>betroffen, kein offizieller Support mehr<\/td><td>kein offizielles Release; Quell-Backports f\u00fcr 7.4, 8.0 und 8.1<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Schwachstellen: <strong>CVE-2026-109618<\/strong> und <strong>CVE-2026-109619<\/strong> (je <strong>CVSS 9.2<\/strong>, kritisch)<\/li>\n\n\n\n<li>Status: \u00f6ffentliche Exploits verf\u00fcgbar; laut RUS-CERT erste Angriffe beobachtet<\/li>\n\n\n\n<li>Patch verf\u00fcgbar seit: 21.10.2026<\/li>\n\n\n\n<li>BSI-Kritikalit\u00e4t: 3 \/ Orange (BITS-H 2026-297981-1032)<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Was das PHP-Projekt best\u00e4tigt<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Laut PHP-Advisory sind alle PHP-Installationen gef\u00e4hrdet, die Web-Anfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am h\u00f6chsten sch\u00e4tzt das PHP-Projekt das Risiko bei <strong>mod_php<\/strong> ein: Dort gibt es einen demonstrierten Exploit, bei dem eine Anfrage ohne Anmeldung den Angriff ausl\u00f6st, bevor \u00fcberhaupt Anwendungscode l\u00e4uft.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>PHP-FPM ist ebenfalls betroffen.<\/strong> F\u00fcr CVE-2026-109619 wurde die Remote Code Execution laut GitHub-Advisory auch gegen PHP-FPM nachgewiesen, \u00fcber die standardm\u00e4\u00dfig aktive Funktion Session Upload Progress. Dieser Weg setzt allerdings eine passende Operation in der Anwendung voraus. F\u00fcr CVE-2026-109618 h\u00e4lt das PHP-Projekt FPM nach Analyse des Quellcodes f\u00fcr anf\u00e4llig, einen vollst\u00e4ndigen FPM-Exploit hat es daf\u00fcr aber nicht gezeigt; FrankenPHP gilt als wahrscheinlich anf\u00e4llig. Bei erfolgreicher Ausnutzung f\u00fchren Angreifende Code mit den Rechten des Web-Worker-Kontos aus.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die beiden Schwachstellen im Einzelnen:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>CVE-2026-109618 \u2013 Remote Code Execution \u00fcber Out-of-Memory-Fehler<\/strong> (GHSA-w8hw-w9fx-j79w): Bricht PHP eine Anfrage wegen Speichermangels ab, w\u00e4hrend interne Request-Daten erst teilweise initialisiert sind, kann die Aufr\u00e4umroutine diese ung\u00fcltigen Daten als g\u00fcltig behandeln. Laut Advisory l\u00e4sst sich der Speichermangel unter anderem \u00fcber pr\u00e4parierte Multipart-Anfragen gezielt herbeif\u00fchren.<\/li>\n\n\n\n<li><strong>CVE-2026-109619 \u2013 Remote Code Execution \u00fcber veralteten globalen Zustand<\/strong> (GHSA-6wmf-4rv5-p3rp): Zustand, der zu einer Anfrage geh\u00f6rt, kann im Worker-Prozess \u00fcberleben, nachdem sein Speicher bereits freigegeben wurde. Eine sp\u00e4tere Anfrage im selben Worker kann diesen Zustand verwenden, bevor er zur\u00fcckgesetzt wird (Use-after-free).<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Die CVSS-Bewertung weist eine hohe Angriffskomplexit\u00e4t aus. Mit den \u00f6ffentlichen Exploits spielt das in der Praxis aber kaum noch eine Rolle.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Wie gro\u00df das Risiko ist<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">PHP l\u00e4uft auf einem gro\u00dfen Teil der Webserver: unter WordPress, Drupal, TYPO3, Joomla, Magento, Shopware, WooCommerce und Nextcloud ebenso wie auf Shared-Hosting-Plattformen und in Control-Panels. Das BSI weist zudem darauf hin, dass PHP auch in Komponenten propriet\u00e4rer Produkte und etwa in den Firewall-Distributionen pfSense und OPNsense steckt. Die L\u00fccken sitzen in PHP selbst und m\u00fcssen auf Ebene der Server-Infrastruktur behoben werden; \u00c4nderungen im Anwendungscode reichen nicht.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das RUS-CERT der Universit\u00e4t Stuttgart meldet, dass \u00f6ffentlich verf\u00fcgbare Exploits existieren. Es hat einen davon nach eigenen Angaben an einem Testsystem erfolgreich verifiziert und berichtet, dass Angriffe im Internet bereits beobachtet wurden. Das BSI h\u00e4lt eine breite Ausnutzung innerhalb weniger Stunden nach Erscheinen der Patches f\u00fcr wahrscheinlich, weil sich Patches mit KI-gest\u00fctzten Werkzeugen schnell analysieren und in Exploits \u00fcbersetzen lassen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Was Sie jetzt tun sollten<\/strong><\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Auf <strong>PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35<\/strong> aktualisieren.<\/li>\n\n\n\n<li>Wer PHP \u00fcber die Paketverwaltung der Linux-Distribution bezieht, braucht die gepatchten Pakete seiner Distribution. Laut PHP-Projekt haben Distributionen und LTS-Anbieter die Patches vorab erhalten; bis die Pakete \u00fcberall in den Repositories stehen, kann es laut RUS-CERT aber noch etwas dauern. Den Patch-Stand mit <strong>php -v<\/strong> bzw. gegen die Backport-Version der Distribution pr\u00fcfen (Advisories bei Ubuntu, Debian und Red Hat).<\/li>\n\n\n\n<li>Wer das freiwillig gepflegte Repository rpms.remirepo.net nutzt: Laut PHP-Projekt gibt es dort heute keine Updates. Das PHP-Projekt r\u00e4t, auf Distributionspakete umzusteigen oder aus dem Quellcode zu bauen.<\/li>\n\n\n\n<li>Nach dem Update alle PHP-Worker neu starten, etwa PHP-FPM-Pools und Apache.<\/li>\n\n\n\n<li>PHP in Docker-Containern nicht vergessen: Images m\u00fcssen aktualisiert bzw. neu gebaut werden. Bei Appliances mit eingebettetem PHP sind neue Firmware-Versionen der Hersteller n\u00f6tig.<\/li>\n\n\n\n<li>Hosting-Dienstleister ansprechen, wenn Sie den Webserver nicht selbst betreiben, und um sofortiges Einspielen bitten.<\/li>\n\n\n\n<li>PHP 8.1 und \u00e4lter: Das PHP-Projekt liefert daf\u00fcr keine Updates mehr. F\u00fcr PHP 7.4, 8.0 und 8.1 hat es minimale Quellcode-Backports bereitgestellt. Laut BSI haben alle Versionen vor 8.2 ihr End-of-Life erreicht, PHP 8.2 erh\u00e4lt nur noch bis Jahresende Sicherheitsupdates. Betroffene Systeme sollten auf eine unterst\u00fctzte Version migriert werden.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Wo nicht sofort aktualisiert werden kann, empfehlen RUS-CERT und BSI, betroffene Systeme vom Internet zu trennen oder ihre Erreichbarkeit einzuschr\u00e4nken, bis die Updates installiert sind.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>\u00dcbergangsma\u00dfnahmen, wenn das Update noch nicht m\u00f6glich ist<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Das PHP-Projekt nennt Ma\u00dfnahmen, die einzelne Angriffswege erschweren. Es betont ausdr\u00fccklich, dass nur das Update eine vollst\u00e4ndige L\u00f6sung ist; auch RUS-CERT warnt, dass die Ma\u00dfnahmen umgangen werden k\u00f6nnen und f\u00fcr den Betrieb einer \u00f6ffentlich erreichbaren PHP-Anwendung nicht ausreichen.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Gegen CVE-2026-109618: <strong>memory_limit=-1<\/strong> so setzen, dass Anwendungen den Wert nicht \u00fcberschreiben k\u00f6nnen (etwa per <strong>php_admin_value<\/strong> im FPM-Pool oder in der Apache-Konfiguration), und <strong>post_max_size<\/strong> niedrig halten (8M ohne Datei-Uploads, sonst 32M). Zus\u00e4tzlich Gr\u00f6\u00dfen- und Anzahlgrenzen f\u00fcr Anfragen am Webserver oder Proxy setzen.<\/li>\n\n\n\n<li>Braucht die Anwendung keine Multipart-Formulare, r\u00e4t das PHP-Projekt, solche Anfragen schon am Frontend zu blockieren, bevor sie PHP erreichen.<\/li>\n\n\n\n<li>Gegen CVE-2026-109619: <strong>session.upload_progress.enabled=0<\/strong> in der <strong>php.ini<\/strong> oder im FPM-Pool setzen und alle Worker neu starten; <strong>ini_set()<\/strong> und <strong>.user.ini<\/strong> reichen nicht. Unter PHP 8.5 zus\u00e4tzlich <strong>fatal_error_backtraces=0<\/strong>. Wer Session Upload Progress nicht braucht, sollte die Funktion laut PHP-Projekt auch nach dem Update abgeschaltet lassen.<\/li>\n\n\n\n<li>Wenn Leistung keine Rolle spielt, nennt das PHP-Projekt <strong>pm.max_requests=1<\/strong> als weitere Option: Dann bearbeitet jeder FPM-Worker nur eine Anfrage, und veralteter Zustand kann nicht in die n\u00e4chste Anfrage gelangen.<\/li>\n\n\n\n<li>Fehlerprotokolle mit <strong>error_reporting=E_ALL<\/strong> auf Warnungen vor dem Skriptstart, Fatal Errors und \u201eMaximum execution time exceeded\u201c pr\u00fcfen und gefundene Fehler beheben. Ein unauff\u00e4lliges Protokoll ist laut PHP-Projekt aber kein Beweis, dass ein System sicher ist.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>DACH- und EU-Kontext<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr Einrichtungen im Anwendungsbereich von NIS-2 gilt: F\u00fchrt eine Ausnutzung dieser Schwachstellen zu einem erheblichen Sicherheitsvorfall, greifen die Meldepflichten nach Art. 23 NIS-2-Richtlinie, in Deutschland nach \u00a7 32 BSIG. In \u00d6sterreich und der Schweiz gelten die jeweiligen nationalen Meldepflichten. Das BSI hat zu den L\u00fccken einen BSI-IT-Sicherheitshinweis (BITS-H 2026-297981-1032) mit Kritikalit\u00e4t Orange herausgegeben; dieser ist als TLP:CLEAR frei weitergebbar.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Exponierte PHP-Systeme identifizieren<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Bei einer Remote Code Execution ohne Anmeldung z\u00e4hlt vor allem, welche Systeme von au\u00dfen erreichbar sind. Zu pr\u00fcfen sind Webserver, Subdomains und weitere Dienste unter eigenen Domains, auf denen PHP l\u00e4uft. Gerade vergessene Altsysteme und separate Webumgebungen fallen bei einer kurzfristigen Patch-Aktion leicht durch das Raster.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Wie LocateRisk bei exponierten Assets ansetzt<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">LocateRisk unterst\u00fctzt External Attack Surface Management durch die Sichtbarkeit extern erreichbarer Systeme und eingesetzter Software. Bei diesem Vorfall kann das helfen, \u00f6ffentlich erreichbare Webserver und PHP-Installationen im Asset-Inventar zu finden und die Update-Reihenfolge zu priorisieren.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">LocateRisk ersetzt kein Patch-Management und trifft keine Aussage dar\u00fcber, ob auf einem erkannten System eine verwundbare PHP-Version l\u00e4uft. Daf\u00fcr ist der Abgleich der eingesetzten Version mit dem PHP-Advisory n\u00f6tig.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr ausgelagerte Webanwendungen oder Kundenportale kann Vendor Risk Management erg\u00e4nzend helfen, R\u00fcckmeldungen der Dienstleister zum Patch-Stand nachvollziehbar zu dokumentieren.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Bin ich betroffen?<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Betroffen ist PHP vor 8.2.35, 8.3.36, 8.4.27 und 8.5.12 sowie jede \u00e4ltere PHP-Version; behoben ist die L\u00fccke in 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Wer wissen will, ob PHP in der eigenen extern erreichbaren Infrastruktur \u00fcberhaupt sichtbar ist, kann den <a href=\"#cve-check\" target=\"_blank\" rel=\"noreferrer noopener\">CVE-Quick-Check<\/a> am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von au\u00dfen erkennbare Software.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die konkret installierte Version l\u00e4sst sich von au\u00dfen nicht in jedem Fall bestimmen \u2014 ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Quellen und weitere Infos<\/strong><\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>PHP \/ php.net:<\/strong> <a href=\"https:\/\/www.php.net\/archive\/2026.php#2026-10-21-5\" target=\"_blank\" rel=\"noreferrer noopener\">Security advisory: Critical remote code execution vulnerabilities, update now<\/a><\/li>\n\n\n\n<li><strong>PHP \/ GitHub:<\/strong> <a href=\"https:\/\/github.com\/php\/php-src\/security\/advisories\/GHSA-w8hw-w9fx-j79w\" target=\"_blank\" rel=\"noreferrer noopener\">GHSA-w8hw-w9fx-j79w: RCE via OOM corruption (CVE-2026-109618)<\/a><\/li>\n\n\n\n<li><strong>PHP \/ GitHub:<\/strong> <a href=\"https:\/\/github.com\/php\/php-src\/security\/advisories\/GHSA-6wmf-4rv5-p3rp\" target=\"_blank\" rel=\"noreferrer noopener\">GHSA-6wmf-4rv5-p3rp: RCE via stale global state (CVE-2026-109619)<\/a><\/li>\n\n\n\n<li><strong>BSI:<\/strong> <a href=\"https:\/\/www.bsi.bund.de\/SharedDocs\/Cybersicherheitswarnungen\/DE\/2026\/2026-297981-1032.pdf?__blob=publicationFile&#038;v=1\" target=\"_blank\" rel=\"noreferrer noopener\">BSI-IT-Sicherheitshinweis 2026-297981-1032: PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit<\/a><\/li>\n\n\n\n<li><strong>RUS-CERT Universit\u00e4t Stuttgart:<\/strong> <a href=\"https:\/\/cert.uni-stuttgart.de\/blog\/2026-10-21-php\" target=\"_blank\" rel=\"noreferrer noopener\">Kritische Schwachstellen in PHP (CVE-2026-109618 und CVE-2026-109619)<\/a><\/li>\n\n\n\n<li><strong>CERT-EU:<\/strong> <a href=\"https:\/\/cert.europa.eu\/publications\/security-advisories\/2026-018\/\" target=\"_blank\" rel=\"noreferrer noopener\">Security Advisory 2026-018: Critical Vulnerabilities in PHP<\/a><\/li>\n\n\n\n<li><strong>Sansec:<\/strong> <a href=\"https:\/\/sansec.io\/research\/php2shell\" target=\"_blank\" rel=\"noreferrer noopener\">PHP2Shell: CVE-2026-109618 und CVE-2026-109619<\/a><\/li>\n\n\n\n<li><strong>Huntress:<\/strong> <a href=\"https:\/\/www.huntress.com\/blog\/php2shell-leaked-critical-php-vulnerabilities\" target=\"_blank\" rel=\"noreferrer noopener\">php2shell: Leaked Critical PHP Vulnerabilities<\/a><\/li>\n<\/ul>\n\n\n\n<div class=\"wp-block-lr-faq-module\"><div class=\"content\"><h3><strong>H\u00e4ufige Fragen<\/strong><\/h3><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\"><strong>Welche PHP-Versionen sind von CVE-2026-109618 und CVE-2026-109619 betroffen?<\/strong><\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Betroffen sind alle PHP-Versionen vor 8.2.35, 8.3.36, 8.4.27 und 8.5.12, einschlie\u00dflich der nicht mehr unterst\u00fctzten Zweige 8.1 und \u00e4lter. Gef\u00e4hrdet sind laut PHP-Projekt alle Installationen, die Web-Anfragen verarbeiten, etwa PHP-FPM, mod_php, php-cgi, FrankenPHP und LiteSpeed.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\"><strong>Welche Versionen beheben die Schwachstellen?<\/strong><\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, alle ver\u00f6ffentlicht am 21. Oktober 2026. Wer PHP aus der Linux-Distribution bezieht, braucht die gepatchten Distributionspakete. F\u00fcr PHP 7.4, 8.0 und 8.1 gibt es nur minimale Quellcode-Backports des PHP-Projekts.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\"><strong>Was ist PHP2Shell?<\/strong><\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">PHP2Shell ist der Name eines Exploit-Tools, von dem mit dem Leak am 20. Oktober 2026 ein Screenshot auftauchte; der Begriff wird inzwischen f\u00fcr beide Schwachstellen verwendet. Inzwischen existieren laut RUS-CERT \u00f6ffentlich verf\u00fcgbare Exploits.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\"><strong>Was kann ich tun, wenn ich nicht sofort aktualisieren kann?<\/strong><\/a><img class=\"collapse-toggle\" srcset=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Betroffene Systeme vom Internet trennen oder ihre Erreichbarkeit einschr\u00e4nken, bis das Update installiert ist. Die \u00dcbergangsma\u00dfnahmen des PHP-Projekts, etwa <strong>session.upload_progress.enabled=0<\/strong>, erschweren einzelne Angriffswege, machen eine Installation laut PHP-Projekt aber nicht sicher.<\/p><\/div><\/div><\/div><\/div>\n\n\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"@id\":\"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/#faq\",\"url\":\"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/\"},\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Welche PHP-Versionen sind von CVE-2026-109618 und CVE-2026-109619 betroffen?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Betroffen sind alle PHP-Versionen vor 8.2.35, 8.3.36, 8.4.27 und 8.5.12, einschlie\u00dflich der nicht mehr unterst\u00fctzten Zweige 8.1 und \u00e4lter. Gef\u00e4hrdet sind laut PHP-Projekt alle Installationen, die Web-Anfragen verarbeiten, etwa PHP-FPM, mod_php, php-cgi, FrankenPHP und LiteSpeed.\"}},{\"@type\":\"Question\",\"name\":\"Welche Versionen beheben die Schwachstellen?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, alle ver\u00f6ffentlicht am 21. Oktober 2026. Wer PHP aus der Linux-Distribution bezieht, braucht die gepatchten Distributionspakete. F\u00fcr PHP 7.4, 8.0 und 8.1 gibt es nur minimale Quellcode-Backports des PHP-Projekts.\"}},{\"@type\":\"Question\",\"name\":\"Was ist PHP2Shell?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"PHP2Shell ist der Name eines Exploit-Tools, von dem mit dem Leak am 20. Oktober 2026 ein Screenshot auftauchte; der Begriff wird inzwischen f\u00fcr beide Schwachstellen verwendet. Inzwischen existieren laut RUS-CERT \u00f6ffentlich verf\u00fcgbare Exploits.\"}},{\"@type\":\"Question\",\"name\":\"Was kann ich tun, wenn ich nicht sofort aktualisieren kann?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Betroffene Systeme vom Internet trennen oder ihre Erreichbarkeit einschr\u00e4nken, bis das Update installiert ist. Die \u00dcbergangsma\u00dfnahmen des PHP-Projekts, etwa session.upload_progress.enabled=0, erschweren einzelne Angriffswege, machen eine Installation laut PHP-Projekt aber nicht sicher.\"}}]}<\/script>\n\n\n<p class=\"lr-legal-note\" style=\"margin:32px 0 0;padding-top:16px;border-top:1px solid #e5e7eb;font-size:13px;line-height:1.55;color:#8b93a7;font-style:italic;\">Stand: 21.10.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verf\u00fcgbarkeit k\u00f6nnen sich seit der Ver\u00f6ffentlichung ge\u00e4ndert haben; ma\u00dfgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgf\u00e4ltiger Recherche \u00fcbernehmen wir keine Gew\u00e4hr f\u00fcr Aktualit\u00e4t, Richtigkeit und Vollst\u00e4ndigkeit.<\/p>\n\n\n<div id=\"cve-check\" style=\"scroll-margin-top:100px\"><\/div>\n\n\n\n\t<div class=\"wp-block-lr-cve-quick-check lr-cveqc\">\n\t\t<div class=\"lr-cveqc-inner\">\n\n\t\t\t<div class=\"lr-cveqc-story\">\n\t\t\t\t<h2 class=\"lr-cveqc-headline\">CVE Quick Check<\/h2>\n\t\t\t\t<p class=\"lr-cveqc-text\">Pr\u00fcfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfl\u00e4che erkennbar sind.<\/p>\n\n\t\t\t\t<ul class=\"lr-cveqc-bullets\">\n\t\t\t\t\t<li><svg viewBox=\"0 0 26 26\" fill=\"none\" aria-hidden=\"true\"><circle cx=\"13\" cy=\"13\" r=\"12\" stroke=\"#00051d\" stroke-width=\"1.6\"\/><path d=\"M7.5 13.4l3.7 3.6L18.5 9\" stroke=\"#00051d\" stroke-width=\"2\" stroke-linecap=\"round\" stroke-linejoin=\"round\"\/><\/svg><span>Grobe Einsch\u00e4tzung in wenigen Minuten per E-Mail.<\/span><\/li>\t\t\t\t\t<li><svg viewBox=\"0 0 26 26\" fill=\"none\" aria-hidden=\"true\"><circle cx=\"13\" cy=\"13\" r=\"12\" stroke=\"#00051d\" stroke-width=\"1.6\"\/><path d=\"M7.5 13.4l3.7 3.6L18.5 9\" stroke=\"#00051d\" stroke-width=\"2\" stroke-linecap=\"round\" stroke-linejoin=\"round\"\/><\/svg><span>Details im kostenlosen Gespr\u00e4ch mit einem LocateRisk Consultant.<\/span><\/li>\t\t\t\t<\/ul>\n\n\t\t\t\t\t\t\t\t<div class=\"lr-cveqc-teaser\" aria-hidden=\"true\">\n\t\t\t\t\t<h4>Das erhalten Sie per E-Mail<\/h4>\n\t\t\t\t\t<div class=\"lr-cveqc-trow\"><span class=\"k\">Unternehmen<\/span><span class=\"v\">Ihre Firma GmbH<\/span><\/div>\n\t\t\t\t\t\t\t\t\t\t<div class=\"lr-cveqc-trow\"><span class=\"k\">Gepr\u00fcfte CVE<\/span><span class=\"v\">CVE-2026-109618<\/span><\/div>\n\t\t\t\t\t<div class=\"lr-cveqc-trow\"><span class=\"k\">Passive Bewertung<\/span><span class=\"lr-cveqc-lamp\"><i class=\"r\"><\/i><i class=\"y\"><\/i><i class=\"g\"><\/i><\/span><\/div>\t\t\t\t\t<div class=\"lr-cveqc-trow\"><span class=\"k\">Hinweise zur CVE<\/span><span class=\"lr-cveqc-pill\">gefunden oder nicht gefunden<\/span><\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t<\/div>\n\n\t\t\t<div class=\"lr-cveqc-form-col\">\n\t\t\t\t<form id=\"lr-cveqc-1\" class=\"lr-cveqc-form\" method=\"post\" novalidate\n\t\t\t\t\tdata-ajax-url=\"https:\/\/locaterisk.com\/wp-admin\/admin-ajax.php\">\n\n\t\t\t\t\t<input type=\"text\" name=\"cveId\" required maxlength=\"40\"\n\t\t\t\t\t\tpattern=\"^[Cc][Vv][Ee]-\\d{4}-\\d{4,7}$\"\n\t\t\t\t\t\tvalue=\"CVE-2026-109618\"\n\t\t\t\t\t\tplaceholder=\"CVE-ID, z. B. CVE-2024-3094\" \/>\n\n\t\t\t\t\t<input type=\"email\" name=\"email\" required maxlength=\"320\"\n\t\t\t\t\t\tplaceholder=\"Gesch\u00e4ftliche E-Mail-Adresse\" \/>\n\t\t\t\t\t<p class=\"lr-cveqc-hint\">Bitte verwenden Sie Ihre gesch\u00e4ftliche E-Mail-Adresse. Die Pr\u00fcfung bezieht sich auf das Unternehmen hinter Ihrer E-Mail-Domain; Free-Mail-Adressen (z. B. Gmail) k\u00f6nnen keinem Unternehmen zugeordnet werden.<\/p>\n\n\t\t\t\t\t<!-- Optionale Telefonnummer: nur wer sie angibt, willigt laut Consent-Text\n\t\t\t\t\t     auch in eine telefonische Rueckmeldung ein. autocomplete=\"tel\" ist\n\t\t\t\t\t     gewollt (echtes Feld, kein Honeypot). -->\n\t\t\t\t\t<input type=\"tel\" name=\"phone\" maxlength=\"64\" autocomplete=\"tel\"\n\t\t\t\t\t\tplaceholder=\"Telefon (optional)\" \/>\n\t\t\t\t\t<p class=\"lr-cveqc-hint\">Nur n\u00f6tig, wenn Sie eine kurze telefonische Einordnung m\u00f6chten.<\/p>\n\n\t\t\t\t\t<!-- Honeypot: f\u00fcr Menschen unsichtbar, Bots f\u00fcllen es aus.\n\t\t\t\t\t     Neutraler Feldname (NICHT \"website\"\/\"url\"\/\"email\"), sonst f\u00fcllen\n\t\t\t\t\t     Passwort-Manager und Browser-Autofill das Feld beim echten Nutzer\n\t\t\t\t\t     und blocken ihn faelschlich. -->\n\t\t\t\t\t<div class=\"lr-cveqc-hp\" aria-hidden=\"true\">\n\t\t\t\t\t\t<label>Dieses Feld bitte leer lassen\n\t\t\t\t\t\t\t<input type=\"text\" name=\"lr_hp_check\" tabindex=\"-1\" autocomplete=\"off\" \/>\n\t\t\t\t\t\t<\/label>\n\t\t\t\t\t<\/div>\n\n\t\t\t\t\t<label class=\"lr-cveqc-check\">\n\t\t\t\t\t\t<input type=\"checkbox\" name=\"consentProcessingAccepted\" value=\"1\" required \/>\n\t\t\t\t\t\t<span>Ich stimme zu, dass LocateRisk meine Angaben f\u00fcr den Quick Check verarbeitet, mir das Ergebnis per E-Mail schickt und sich dazu per E-Mail bei mir meldet. Es gelten die <a href=\"\/files\/agb.pdf\" target=\"_blank\" rel=\"noopener\">AGB<\/a> und die <a href=\"\/datenschutz\/\" target=\"_blank\" rel=\"noopener\">Datenschutzerkl\u00e4rung<\/a>.<\/span>\n\t\t\t\t\t<\/label>\n\n\t\t\t\t\t<label class=\"lr-cveqc-check\">\n\t\t\t\t\t\t<input type=\"checkbox\" name=\"cveNotifyOptIn\" value=\"1\" \/>\n\t\t\t\t\t\t<span>Benachrichtigt mich, wenn f\u00fcr extern erkennbare Software neue kritische Schwachstellen (CVSS ab 9) ver\u00f6ffentlicht werden. Jederzeit abbestellbar. (optional)<\/span>\n\t\t\t\t\t<\/label>\n\n\t\t\t\t\t<label class=\"lr-cveqc-check\">\n\t\t\t\t\t\t<input type=\"checkbox\" name=\"marketingOptIn\" value=\"1\" \/>\n\t\t\t\t\t\t<span>Infos zu LocateRisk Produkten und Security-Themen per E-Mail. Jederzeit widerrufbar. (optional)<\/span>\n\t\t\t\t\t<\/label>\n\n\t\t\t\t\t\t\t\t\t\t<input type=\"hidden\" name=\"consentTextVerbatim\" value=\"Ich stimme zu, dass LocateRisk meine Angaben f\u00fcr den Quick Check verarbeitet, mir das Ergebnis per E-Mail schickt und sich dazu per E-Mail bei mir meldet. Es gelten die AGB und die Datenschutzerkl\u00e4rung.\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"consentTextVersion\" value=\"qc_consent_fd4a0945\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"marketingTextVerbatim\" value=\"Infos zu LocateRisk Produkten und Security-Themen per E-Mail. Jederzeit widerrufbar. (optional)\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"marketingTextVersion\" value=\"qc_marketing_cee62603\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"locale\" value=\"en\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"blogPostUrl\" value=\"https:\/\/locaterisk.com\/en\/php-rce-cve-2026-109618\/\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"utmSource\" value=\"\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"utmCampaign\" value=\"\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"invalidCveMessage\" value=\"Bitte geben Sie eine g\u00fcltige CVE-ID an (z. B. CVE-2024-3094).\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"consentRequiredMessage\" value=\"Bitte stimmen Sie der Verarbeitung zu, damit wir den Quick Check durchf\u00fchren k\u00f6nnen.\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"captchaMessage\" value=\"Bitte best\u00e4tigen Sie das reCAPTCHA und versuchen Sie es erneut.\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"successMessage\" value=\"Vielen Dank! Bitte best\u00e4tigen Sie Ihre E-Mail-Adresse \u00fcber den Link, den wir Ihnen soeben geschickt haben. Danach starten wir den Quick Check.\" \/>\n\t\t\t\t\t<input type=\"hidden\" name=\"errorMessage\" value=\"Das hat leider nicht geklappt. Bitte pr\u00fcfen Sie Ihre Angaben und versuchen Sie es erneut.\" \/>\n\n\t\t\t\t\t\t\t\t\t\t\t<div class=\"g-recaptcha\" data-sitekey=\"6LdErNoZAAAAAD1Re2jNxtDFfcDaL9iED5MRBzjR\"\n\t\t\t\t\t\t\tdata-callback=\"verifyRecaptchaCallback\" data-expired-callback=\"expiredRecaptchaCallback\"><\/div>\n\t\t\t\t\t\t<input type=\"hidden\" name=\"g-recaptcha-response\" data-recaptcha \/>\n\t\t\t\t\t\n\t\t\t\t\t<p class=\"lr-cveqc-message\" hidden><\/p>\n\n\t\t\t\t\t<button class=\"lr-button-link\" type=\"submit\">Quick Check starten<\/button>\n\t\t\t\t<\/form>\n\t\t\t<\/div>\n\n\t\t<\/div>\n\t<\/div>\n\n\t\t<style>\n\t\t\/* CVE Quick Check im Stil der bestehenden Anfrage-Formulare:\n\t\t   wei\u00dfer Grund, zweispaltig, graue Felder, t\u00fcrkiser Button. *\/\n\t\t.lr-cveqc {\n\t\t\tbackground: #ffffff; color: #00051d; box-sizing: border-box; padding: 64px 32px;\n\t\t\tfont-family: Roboto, -apple-system, BlinkMacSystemFont, \"Segoe UI\", Helvetica, Arial, sans-serif;\n\t\t}\n\t\t.lr-cveqc * { box-sizing: border-box; }\n\t\t.lr-cveqc-inner {\n\t\t\tmax-width: 1160px; margin: 0 auto;\n\t\t\tdisplay: flex; flex-direction: row; gap: 6%; align-items: flex-start;\n\t\t}\n\t\t.lr-cveqc-story { flex: 1 1 54%; min-width: 0; }\n\t\t.lr-cveqc-form-col { flex: 0 0 38%; max-width: 420px; }\n\n\t\t.lr-cveqc-headline { color: #26d9c3; margin: 0 0 20px; }\n\t\t.lr-cveqc-text { font-size: 16px; line-height: 1.62; color: #00051d; margin: 0 0 28px; max-width: 46ch; }\n\n\t\t.lr-cveqc-bullets { list-style: none; margin: 0 0 30px; padding: 0; display: flex; flex-direction: column; gap: 16px; }\n\t\t.lr-cveqc-bullets li { display: flex; gap: 13px; align-items: flex-start; }\n\t\t.lr-cveqc-bullets svg { flex: none; width: 25px; height: 25px; margin-top: 1px; }\n\t\t.lr-cveqc-bullets span { font-size: 15px; line-height: 1.5; color: #00051d; }\n\n\t\t.lr-cveqc-teaser { border: 1px solid #e2e8e6; border-radius: 12px; padding: 18px 20px; background: linear-gradient(180deg,#fbfdfc,#f2f8f6); max-width: 430px; }\n\t\t.lr-cveqc-teaser h4 { margin: 0 0 6px; font-size: 11px; letter-spacing: .15em; text-transform: uppercase; color: #58616f; font-family: inherit; font-weight: 700; }\n\t\t.lr-cveqc-trow { display: flex; align-items: center; justify-content: space-between; gap: 10px; padding: 7px 0; font-size: 13.5px; }\n\t\t.lr-cveqc-trow + .lr-cveqc-trow { border-top: 1px dashed #dbe4e1; }\n\t\t.lr-cveqc-trow .k { color: #58616f; }\n\t\t.lr-cveqc-trow .v { font-weight: 600; color: #00051d; }\n\t\t.lr-cveqc-lamp { display: inline-flex; gap: 6px; align-items: center; }\n\t\t.lr-cveqc-lamp i { width: 13px; height: 13px; border-radius: 50%; opacity: .28; display: inline-block; }\n\t\t.lr-cveqc-lamp i.r { background: #f6105f; }\n\t\t.lr-cveqc-lamp i.y { background: #f6bf28; }\n\t\t.lr-cveqc-lamp i.g { background: #23c39a; }\n\t\t.lr-cveqc-pill { font-size: 12px; font-weight: 700; padding: 3px 10px; border-radius: 999px; background: #eef0f4; color: #00051d; white-space: nowrap; }\n\n\t\t.lr-cveqc-form input[type=text], .lr-cveqc-form input[type=email], .lr-cveqc-form input[type=tel] {\n\t\t\tdisplay: block; width: 100%; height: 50px; margin: 0 0 10px;\n\t\t\tborder: 0; border-radius: 0; background: #dedede; color: #00051d;\n\t\t\tfont-size: 16px; padding: 0 18px; font-family: inherit;\n\t\t}\n\t\t.lr-cveqc-form input::placeholder { color: #6d7580; }\n\t\t.lr-cveqc-form input.lr-invalid { border-bottom: 2px solid #f6105f; }\n\t\t.lr-cveqc-hint { font-size: 12.5px; line-height: 1.5; color: #58616f; margin: 2px 0 16px; }\n\t\t.lr-cveqc-hp { position: absolute !important; left: -9999px !important; height: 0; overflow: hidden; }\n\t\t.lr-cveqc-check { display: flex; gap: 12px; align-items: flex-start; margin: 0 0 12px; font-size: 12.5px; line-height: 1.5; color: #00051d; }\n\t\t.lr-cveqc-check span { color: #00051d; }\n\t\t.lr-cveqc-check input { margin-top: 2px; flex: none; width: 18px; height: 18px; accent-color: #26d9c3; }\n\t\t.lr-cveqc-check a { color: inherit; text-decoration: underline; }\n\t\t.lr-cveqc .g-recaptcha { margin: 8px 0 16px; }\n\t\t.lr-cveqc-message { font-size: 14px; padding: 12px 14px; border-radius: 6px; margin: 0 0 12px; }\n\t\t.lr-cveqc-message.lr-success { background: #e2f7ef; color: #0c6b4d; }\n\t\t.lr-cveqc-message.lr-error { background: #fdeaee; color: #9b0e3f; }\n\t\t.lr-cveqc .lr-button-link, .lr-cveqc button[type=submit] {\n\t\t\tdisplay: flex; align-items: center; justify-content: center;\n\t\t\twidth: 100%; height: 50px; padding: 0 20px; box-sizing: border-box;\n\t\t\tborder: 0; cursor: pointer;\n\t\t\tbackground: #26d9c3; color: #00051d; font-weight: 700; font-size: 14px;\n\t\t\tfont-family: inherit; text-align: center; line-height: 1.2; text-decoration: none;\n\t\t\ttransition: background .15s ease;\n\t\t}\n\t\t.lr-cveqc button[type=submit]:hover { background: #0fb5a2; }\n\t\t.lr-cveqc button[disabled] { opacity: .6; cursor: default; }\n\n\t\t@media (max-width: 820px) {\n\t\t\t.lr-cveqc { padding: 40px 22px; }\n\t\t\t.lr-cveqc-inner { flex-direction: column; gap: 34px; }\n\t\t\t.lr-cveqc-story, .lr-cveqc-form-col { flex-basis: auto; max-width: 520px; width: 100%; }\n\t\t}\n\t<\/style>\n\t<script>\n\t(function () {\n\t\t\/\/ Token-Callbacks f\u00fcrs globale reCAPTCHA (identisch zum Theme, defensiv)\n\t\tif (!window.verifyRecaptchaCallback) {\n\t\t\twindow.verifyRecaptchaCallback = function (response) {\n\t\t\t\tdocument.querySelectorAll('input[data-recaptcha]').forEach(function (el) { el.value = response })\n\t\t\t}\n\t\t}\n\t\tif (!window.expiredRecaptchaCallback) {\n\t\t\twindow.expiredRecaptchaCallback = function () {\n\t\t\t\tdocument.querySelectorAll('input[data-recaptcha]').forEach(function (el) { el.value = '' })\n\t\t\t}\n\t\t}\n\n\t\tfunction showMessage(form, text, isSuccess) {\n\t\t\tvar box = form.querySelector('.lr-cveqc-message')\n\t\t\tbox.textContent = text\n\t\t\tbox.classList.remove('lr-success', 'lr-error')\n\t\t\tbox.classList.add(isSuccess ? 'lr-success' : 'lr-error')\n\t\t\tbox.hidden = false\n\t\t}\n\n\t\tfunction init() {\n\t\t\tdocument.querySelectorAll('.lr-cveqc-form').forEach(function (form) {\n\t\t\t\tform.addEventListener('submit', function (e) {\n\t\t\t\t\te.preventDefault()\n\n\t\t\t\t\tvar cve = form.querySelector('input[name=cveId]')\n\t\t\t\t\tvar email = form.querySelector('input[name=email]')\n\t\t\t\t\tvar consent = form.querySelector('input[name=consentProcessingAccepted]')\n\t\t\t\t\tvar cvePattern = \/^CVE-\\d{4}-\\d{4,7}$\/i\n\n\t\t\t\t\tcve.classList.toggle('lr-invalid', !cvePattern.test(cve.value.trim()))\n\t\t\t\t\temail.classList.toggle('lr-invalid', !email.checkValidity())\n\n\t\t\t\t\tif (!cvePattern.test(cve.value.trim())) {\n\t\t\t\t\t\tshowMessage(form, form.querySelector('input[name=invalidCveMessage]').value, false)\n\t\t\t\t\t\treturn\n\t\t\t\t\t}\n\t\t\t\t\tif (!email.checkValidity()) {\n\t\t\t\t\t\temail.reportValidity()\n\t\t\t\t\t\treturn\n\t\t\t\t\t}\n\t\t\t\t\tif (!consent.checked) {\n\t\t\t\t\t\tshowMessage(form, form.querySelector('input[name=consentRequiredMessage]').value, false)\n\t\t\t\t\t\treturn\n\t\t\t\t\t}\n\n\t\t\t\t\tvar button = form.querySelector('button[type=submit]')\n\t\t\t\t\tbutton.disabled = true\n\n\t\t\t\t\tvar data = new FormData(form)\n\t\t\t\t\tdata.append('action', 'lr_cve_quick_check')\n\n\t\t\t\t\tfetch(form.getAttribute('data-ajax-url'), { method: 'POST', body: data })\n\t\t\t\t\t\t.then(function (res) { return res.json() })\n\t\t\t\t\t\t.then(function (json) {\n\t\t\t\t\t\t\tif (json && json.success) {\n\t\t\t\t\t\t\t\tshowMessage(form, form.querySelector('input[name=successMessage]').value, true)\n\t\t\t\t\t\t\t\tform.querySelectorAll('input, button').forEach(function (el) { el.disabled = true })\n\t\t\t\t\t\t\t} else {\n\t\t\t\t\t\t\t\t\/\/ Interne Codes nie roh anzeigen, nur bekannte Codes auf\n\t\t\t\t\t\t\t\t\/\/ konfigurierte Texte mappen, sonst generische Fehlermeldung\n\t\t\t\t\t\t\t\tvar code = json && json.data && (json.data.code || json.data.message)\n\t\t\t\t\t\t\t\tvar msg = form.querySelector('input[name=errorMessage]').value\n\t\t\t\t\t\t\t\tif (code === 'invalid_cve' || code === 'invalid') {\n\t\t\t\t\t\t\t\t\tmsg = form.querySelector('input[name=invalidCveMessage]').value\n\t\t\t\t\t\t\t\t} else if (code === 'captcha') {\n\t\t\t\t\t\t\t\t\tmsg = form.querySelector('input[name=captchaMessage]').value\n\t\t\t\t\t\t\t\t}\n\t\t\t\t\t\t\t\tshowMessage(form, msg, false)\n\t\t\t\t\t\t\t\tbutton.disabled = false\n\t\t\t\t\t\t\t\tif (window.grecaptcha && form.querySelector('.g-recaptcha')) {\n\t\t\t\t\t\t\t\t\ttry { window.grecaptcha.reset() } catch (err) { \/* noop *\/ }\n\t\t\t\t\t\t\t\t}\n\t\t\t\t\t\t\t}\n\t\t\t\t\t\t})\n\t\t\t\t\t\t.catch(function () {\n\t\t\t\t\t\t\tshowMessage(form, form.querySelector('input[name=errorMessage]').value, false)\n\t\t\t\t\t\t\tbutton.disabled = false\n\t\t\t\t\t\t})\n\t\t\t\t})\n\t\t\t})\n\t\t}\n\n\t\tif (document.readyState === 'loading') {\n\t\t\tdocument.addEventListener('DOMContentLoaded', init)\n\t\t} else {\n\t\t\tinit()\n\t\t}\n\t})()\n\t<\/script>\n\t\n\n\n\n<hr class=\"wp-block-separator has-css-opacity is-style-wide\"\/>\n\n\n\n<div class=\"wp-block-lr-contact-module\"><div class=\"content\"><h2>Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!<\/h2><div class=\"contact-info-row\"><div class=\"contact-person-info\"><div class=\"avatar\"><img decoding=\"async\" src=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2025\/06\/Lukas_Baumann_LocateRisk-300.png\"><\/div><p><span class=\"text before\">Ihr Ansprechpartner<\/span><span class=\"bold name\"><strong>Lukas<\/strong><\/span> <span class=\"lastname\"><strong>Baumann<strong><\/strong><\/strong><\/span><strong><strong><span class=\"separator\"><\/span><span class=\"role\">CEO<\/span><\/strong><\/strong><\/p><\/div><p class=\"bold phone\"><strong><strong>+49 6151 6290246<\/strong><\/strong><\/p><strong><strong><a class=\"pr-1\" href=\"mailto:%20sales@locaterisk.com\">Jetzt Kontakt aufnehmen<\/a><\/strong><\/strong><\/div><\/div><\/div>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n\n\n\n<div class=\"wp-block-lr-footer-module lr-footer-block\"><div class=\"content\"><div class=\"column0\"><img decoding=\"async\" src=\"https:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/assets\/img\/lr-logo.svg\"\/><\/div><div class=\"categories\"><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/en\/\">Home<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/en\/blog\/\">Blog<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/en\/know\/\">Wissen<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/en\/about\/\">\u00dcber uns<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/en\/contact\/\">Kontakt<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/en\/legal-notice\/\">Impressum<\/a><\/div><div class=\"categories-break\"><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/en\/privacy-policy\/\">Datenschutz<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/files\/agb.pdf\">AGB<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/locaterisk.com\/en\/jobs\/\">Jobs<\/a><\/div><div class=\"categories-element\"><a class=\"pr-4\" href=\"https:\/\/app.secfix.com\/trust\/locaterisk\/d1e7d433b33643aea1880bfbfeab9f60\">Trust Center<\/a><\/div><\/div><div class=\"social\"><div class=\"social-element\"><a target=\"_blank\" href=\"https:\/\/www.linkedin.com\/company\/locaterisk\/\"><img decoding=\"async\" src=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/10\/gruppe-230@3x.png\"\/><\/a><\/div><div class=\"social-element\"><a target=\"_blank\" href=\"https:\/\/www.instagram.com\/locaterisk\/\"><img decoding=\"async\" src=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Instagram.png\"\/><\/a><\/div><div class=\"social-element\"><a target=\"_blank\" href=\"https:\/\/twitter.com\/locaterisk\"><img decoding=\"async\" src=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/twitter.png\"\/><\/a><\/div><\/div><div class=\"description\"><h6>\u00a9 LocateRisk 2026<\/h6><\/div><\/div><\/div>\n","protected":false},"excerpt":{"rendered":"<p>PHP2Shell: Two critical PHP vulnerabilities (CVSS 9.2) have been closed. Patched in 8.5.12, 8.4.27, 8.3.36, and 8.2.35. Exploits are public.<\/p>","protected":false},"author":13,"featured_media":9140,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[632],"tags":[977,980,978,981,979,111],"lr_blog_topic":[837],"class_list":["post-99215","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersecurity-news","tag-cve-2026-109618","tag-cve-2026-109619","tag-php-sicherheitsluecke","tag-php-update","tag-php2shell","tag-remote-code-execution","lr_blog_topic-schwachstellen-advisories"],"yoast_head":"<title>PHP2Shell: Kritische PHP-Sicherheitsl\u00fccke CVE-2026-109618<\/title>\n<meta name=\"description\" content=\"PHP2Shell: Zwei kritische PHP-L\u00fccken (CVSS 9.2) sind geschlossen. Gepatcht in 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Exploits sind \u00f6ffentlich.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/locaterisk.com\/en\/php-rce-cve-2026-109618\/\" \/>\n<meta property=\"og:locale\" content=\"en_US\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"PHP2Shell: Kritische PHP-Sicherheitsl\u00fccke CVE-2026-109618\" \/>\n<meta property=\"og:description\" content=\"PHP2Shell: Zwei kritische PHP-L\u00fccken (CVSS 9.2) sind geschlossen. Gepatcht in 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Exploits sind \u00f6ffentlich.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/locaterisk.com\/en\/php-rce-cve-2026-109618\/\" \/>\n<meta property=\"og:site_name\" content=\"LocateRisk\" \/>\n<meta property=\"article:published_time\" content=\"2026-10-21T08:24:39+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-10-21T14:31:33+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets.png\" \/>\n\t<meta property=\"og:image:width\" content=\"400\" \/>\n\t<meta property=\"og:image:height\" content=\"400\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Kristina Hoinkis\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data1\" content=\"Kristina Hoinkis\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data2\" content=\"8 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/\"},\"author\":{\"name\":\"Kristina Hoinkis\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/person\\\/68f3857c15afa8ff59c545848dddcc32\"},\"headline\":\"PHP2Shell: Kritische PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619\",\"datePublished\":\"2026-10-21T08:24:39+00:00\",\"dateModified\":\"2026-10-21T14:31:33+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/\"},\"wordCount\":1585,\"publisher\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#organization\"},\"image\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/exposed-assets.png\",\"keywords\":[\"CVE-2026-109618\",\"CVE-2026-109619\",\"PHP Sicherheitsl\u00fccke\",\"PHP Update\",\"PHP2Shell\",\"Remote Code Execution\"],\"articleSection\":[\"Cybersecurity News\"],\"inLanguage\":\"en-US\"},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/\",\"name\":\"PHP2Shell: Kritische PHP-Sicherheitsl\u00fccke CVE-2026-109618\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/#primaryimage\"},\"image\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/exposed-assets.png\",\"datePublished\":\"2026-10-21T08:24:39+00:00\",\"dateModified\":\"2026-10-21T14:31:33+00:00\",\"description\":\"PHP2Shell: Zwei kritische PHP-L\u00fccken (CVSS 9.2) sind geschlossen. Gepatcht in 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Exploits sind \u00f6ffentlich.\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/#breadcrumb\"},\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/#primaryimage\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/exposed-assets.png\",\"contentUrl\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/exposed-assets.png\",\"width\":400,\"height\":400,\"caption\":\"exposed-assets\"},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/php-rce-cve-2026-109618\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\\\/\\\/locaterisk.com\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"PHP2Shell: Kritische PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#website\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/\",\"name\":\"LocateRisk\",\"description\":\"IT-Sicherheit messen und vergleichen\",\"publisher\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"en-US\"},{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#organization\",\"name\":\"LocateRisk\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2020\\\/11\\\/Kettenglieder_V0216-9.jpg\",\"contentUrl\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2020\\\/11\\\/Kettenglieder_V0216-9.jpg\",\"width\":1920,\"height\":1080,\"caption\":\"LocateRisk\"},\"image\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\"},\"sameAs\":[\"https:\\\/\\\/www.linkedin.com\\\/company\\\/locaterisk\\\/\"]},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/person\\\/68f3857c15afa8ff59c545848dddcc32\",\"name\":\"Kristina Hoinkis\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/7756f96249844e60ceb218f17e06217dcbed4993bcd2124e3f59bb8675324f0d?s=96&d=mm&r=g\",\"url\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/7756f96249844e60ceb218f17e06217dcbed4993bcd2124e3f59bb8675324f0d?s=96&d=mm&r=g\",\"contentUrl\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/7756f96249844e60ceb218f17e06217dcbed4993bcd2124e3f59bb8675324f0d?s=96&d=mm&r=g\",\"caption\":\"Kristina Hoinkis\"}}]}<\/script>","yoast_head_json":{"title":"PHP2Shell: Critical PHP Security Vulnerability CVE-2026-109618","description":"PHP2Shell: Two critical PHP vulnerabilities (CVSS 9.2) have been closed. Patched in 8.5.12, 8.4.27, 8.3.36, and 8.2.35. Exploits are public.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/locaterisk.com\/en\/php-rce-cve-2026-109618\/","og_locale":"en_US","og_type":"article","og_title":"PHP2Shell: Kritische PHP-Sicherheitsl\u00fccke CVE-2026-109618","og_description":"PHP2Shell: Zwei kritische PHP-L\u00fccken (CVSS 9.2) sind geschlossen. Gepatcht in 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Exploits sind \u00f6ffentlich.","og_url":"https:\/\/locaterisk.com\/en\/php-rce-cve-2026-109618\/","og_site_name":"LocateRisk","article_published_time":"2026-10-21T08:24:39+00:00","article_modified_time":"2026-10-21T14:31:33+00:00","og_image":[{"width":400,"height":400,"url":"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets.png","type":"image\/png"}],"author":"Kristina Hoinkis","twitter_card":"summary_large_image","twitter_misc":{"Written by":"Kristina Hoinkis","Est. reading time":"8 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/#article","isPartOf":{"@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/"},"author":{"name":"Kristina Hoinkis","@id":"https:\/\/locaterisk.com\/de\/#\/schema\/person\/68f3857c15afa8ff59c545848dddcc32"},"headline":"PHP2Shell: Kritische PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619","datePublished":"2026-10-21T08:24:39+00:00","dateModified":"2026-10-21T14:31:33+00:00","mainEntityOfPage":{"@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/"},"wordCount":1585,"publisher":{"@id":"https:\/\/locaterisk.com\/de\/#organization"},"image":{"@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/#primaryimage"},"thumbnailUrl":"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets.png","keywords":["CVE-2026-109618","CVE-2026-109619","PHP Sicherheitsl\u00fccke","PHP Update","PHP2Shell","Remote Code Execution"],"articleSection":["Cybersecurity News"],"inLanguage":"en-US"},{"@type":"WebPage","@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/","url":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/","name":"PHP2Shell: Critical PHP Security Vulnerability CVE-2026-109618","isPartOf":{"@id":"https:\/\/locaterisk.com\/de\/#website"},"primaryImageOfPage":{"@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/#primaryimage"},"image":{"@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/#primaryimage"},"thumbnailUrl":"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets.png","datePublished":"2026-10-21T08:24:39+00:00","dateModified":"2026-10-21T14:31:33+00:00","description":"PHP2Shell: Two critical PHP vulnerabilities (CVSS 9.2) have been closed. Patched in 8.5.12, 8.4.27, 8.3.36, and 8.2.35. Exploits are public.","breadcrumb":{"@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/#breadcrumb"},"inLanguage":"en-US","potentialAction":[{"@type":"ReadAction","target":["https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/"]}]},{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/#primaryimage","url":"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets.png","contentUrl":"https:\/\/locaterisk.com\/wp-content\/uploads\/2026\/07\/exposed-assets.png","width":400,"height":400,"caption":"exposed-assets"},{"@type":"BreadcrumbList","@id":"https:\/\/locaterisk.com\/de\/php-rce-cve-2026-109618\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/locaterisk.com\/"},{"@type":"ListItem","position":2,"name":"PHP2Shell: Kritische PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619"}]},{"@type":"WebSite","@id":"https:\/\/locaterisk.com\/de\/#website","url":"https:\/\/locaterisk.com\/de\/","name":"LocateRisk","description":"Measure and compare IT security","publisher":{"@id":"https:\/\/locaterisk.com\/de\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/locaterisk.com\/de\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"en-US"},{"@type":"Organization","@id":"https:\/\/locaterisk.com\/de\/#organization","name":"LocateRisk","url":"https:\/\/locaterisk.com\/de\/","logo":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/locaterisk.com\/de\/#\/schema\/logo\/image\/","url":"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_V0216-9.jpg","contentUrl":"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_V0216-9.jpg","width":1920,"height":1080,"caption":"LocateRisk"},"image":{"@id":"https:\/\/locaterisk.com\/de\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.linkedin.com\/company\/locaterisk\/"]},{"@type":"Person","@id":"https:\/\/locaterisk.com\/de\/#\/schema\/person\/68f3857c15afa8ff59c545848dddcc32","name":"Kristina Hoinkis","image":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/secure.gravatar.com\/avatar\/7756f96249844e60ceb218f17e06217dcbed4993bcd2124e3f59bb8675324f0d?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/7756f96249844e60ceb218f17e06217dcbed4993bcd2124e3f59bb8675324f0d?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/7756f96249844e60ceb218f17e06217dcbed4993bcd2124e3f59bb8675324f0d?s=96&d=mm&r=g","caption":"Kristina Hoinkis"}}]}},"_links":{"self":[{"href":"https:\/\/locaterisk.com\/en\/wp-json\/wp\/v2\/posts\/99215","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/locaterisk.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/locaterisk.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/locaterisk.com\/en\/wp-json\/wp\/v2\/users\/13"}],"replies":[{"embeddable":true,"href":"https:\/\/locaterisk.com\/en\/wp-json\/wp\/v2\/comments?post=99215"}],"version-history":[{"count":4,"href":"https:\/\/locaterisk.com\/en\/wp-json\/wp\/v2\/posts\/99215\/revisions"}],"predecessor-version":[{"id":99219,"href":"https:\/\/locaterisk.com\/en\/wp-json\/wp\/v2\/posts\/99215\/revisions\/99219"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/locaterisk.com\/en\/wp-json\/wp\/v2\/media\/9140"}],"wp:attachment":[{"href":"https:\/\/locaterisk.com\/en\/wp-json\/wp\/v2\/media?parent=99215"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/locaterisk.com\/en\/wp-json\/wp\/v2\/categories?post=99215"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/locaterisk.com\/en\/wp-json\/wp\/v2\/tags?post=99215"},{"taxonomy":"lr_blog_topic","embeddable":true,"href":"https:\/\/locaterisk.com\/en\/wp-json\/wp\/v2\/lr_blog_topic?post=99215"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}