Version 1.1: PHP - Kritische Schwachstellen bedrohen Webanwendungen weltweit

Kurzinfo

Metadaten

Original (extern): Link oeffnen
Veroeffentlicht: 2026-10-21 15:30 UTC
Importiert: 2026-10-21 17:32 UTC
Quelle-ID: bsi_csw
uid_hash: 4474f76b4a7c8b5f388f62a50048706682006b5f78af42c8c165d8fd5869c4cc

BSI CSW

Inhalt

BSI - Bundesamt für Sicherheit in der Informationstechnik - Version 1.1: PHP - Kritische Schwachstellen bedrohen Webanwendungen weltweit

  Navigation und Service
  
    
      Springe direkt zu:
   
    
      Inhalt
      Hauptmenü
      Suche
   
 

    
      Menü
      
        Menü
          
       
     
   

  
    
      
        
          Servicemenü
          Servicemenue

  
        
    Kontakt

    
        














































English






    
        
    Gebärdensprache

    
        
    Leichte Sprache

    
        
    Nutzungsbedingungen

    
        














    Login



    

        
     
      
        
          
           
              
  


            
         
            
             
                
                
                
              
           
        
     
      
       
          
  


        
     
      
        
          Hauptmenü
          

          
      Das BSI
  
        
        
        
        
          Das BSI
        
          
                
      Cybernation Deutschland
  
            
                
      Auftrag
  
            
                
      Organisation und Aufbau
  
            
                
      Leitbild
  
            
                
      Zeitstrahl
  
            
                
      BSI Standorte
  
            
                
      Umwelterklärung
  
            
      
    
  
          
      Themen
  
        
        
        
        
          Alle Themen
        
          
                
      Staat und Verwaltung
  
                  Unsere Top-Themen
                  
                    
                        
      Nationales IT-Lagezentrum
  
                    
                        
      CERT-Bund
  
                    
                        
      Zusammenarbeit mit Bund und Ländern
  
                    
                        
      Sicherheitsberatung
  
                    
                        
      Mindeststandards Bund
  
                    
                  Alle Themen
                
              
            
                
      Unternehmen und Organisationen
  
                  Unsere Top-Themen
                  
                    
                        
      Cyber Resilience Act
  
                    
                        
      Grundschutz in der Informationssicherheit
  
                    
                        
      Threat Intelligence
  
                    
                        
      IT-Sicherheitskennzeichen
  
                    
                        
      Zertifzierung, Kennzeichnung und Anerkennung
  
                    
                  Alle Themen
                
              
            
                
      Verbraucherinnen und Verbraucher
  
                  Unsere Top-Themen
                  
                    
                        
      Sicherheit beim Onlineshopping
  
                    
                        
      Online-Account absichern
  
                    
                        
      Bedrohungen durch Cyber-Kriminelle
  
                    
                        
      E-Mail, Social Media, Messenger und Co.
  
                    
                        
      Smart Metering &amp; Ladeinfrastruktur
  
                    
                  Alle Themen
                
              
            
                
      Regulierte Wirtschaft
  
                  Unsere Top-Themen
                  
                    
                        
      NIS-2-regulierte Unternehmen
  
                    
                        
      Kritische Infrastrukturen (KRITIS)
  
                    
                        
      KRITIS-FAQ
  
                    
                  Alle Themen
                
              
            
      
    
  
          
      IT-Sicherheitsvorfall
  
        
        
        
        
          IT-Sicherheitsvorfall
        
          
                
      Verbraucherinnen und Verbraucher
  
            
                
      Unternehmen
  
            
                
      Kritische Infrastrukturen und meldepflichtige Unternehmen
  
            
                
      CVD-Richtlinie des BSI
  
            
      
    
  
          
      Karriere
  
        
        
        
        
          Karriere
        
          
                
      Willkommen im #TeamBSI
  
            
                
      Warum BSI?
  
            
                
      Arbeiten im BSI
  
            
                
      Einstieg
  
            
                
      FAQ
  
            
                
      Stellenangebote
  
            
                
      Termine
  
            
                
      Kontakt Personalgewinnung
  
            
      
    
  
          
      Service
  
        
        
        
        
          Service
        
          
                
      Presse
  
            
                


























Mediathek






            
                
      Publikationen
  
            
                
      Newsletter und Social Media
  
            
                
      Veranstaltungen
  
            
                
      Vergaben an Externe
  
            
                
      Die E-Rechnung im BSI
  
            
                
      Kosten für Leistungen des BSI
  
            
                
      Kontakt
  
            
                
      Fragen &amp; Antworten
  
            
      
    
  
          


  BSI-Portal


        
        
        
        
          &lt;abbr title=&#034;Bundesamt für Sicherheit in der Informationstechnik&#034;&gt;BSI&lt;/abbr&gt;-Portal
        
          
      
    
  
    
      
      
      SucheOeffnen

Suche

Suche 



          
          
          


        
            



        
          Häufig gesucht
        
          
                
                  
                    Regulierung nach NIS-2 
                
              
            
                
                  
                    Gefährdungen durch Ransomware
                
              
            
                
                  
                    Zertifizierung Produkte &amp; Personen (FAQ)
                
              
            
                
                  
                    Zertifizierung Common Criteria
                
              
            
                
                  
                    Elektronische Identitäten
                
              
            
                
                  
                    Digitaler Verbraucherschutz
                
              
            
                
                  
                    Technische Richtlinien
                
              
            
                
                  
                    Kritische Infrastrukturen
                
              
            
                
                  
                    Künstliche Intelligenz
                
              
            
      
    
      
        
        
    
  





  
  
    
      
        
          Sie sind hier:
          



  
  Zur Startseite

Version 1.1: PHP - Kritische Schwachstellen bedrohen Webanwendungen weltweit

Kritikalität 3

BeschreibungIn einer Vorab-Ankündigung informieren die Entwickler von PHP aktuell über die Veröffentlichung von Details und Patches zu zwei Schwachstellen in der Programmiersprache am 21. Oktober 2026 ab 16 Uhr. Auch wenn zum aktuellen Zeitpunkt nur wenige Details verfügbar sind, legen die Bewertungen nach CVSS (Common Vulnerability Scoring System; Version 4.0) mit 9.2 von 10 nahe, dass es Angreifern auf Basis von CVE-2026-109618 und CVE-2026-109619 gelingen könnte, aus der Ferne schadhaften Code auf Webservern mit PHP-Anwendungen auszuführen.

Weiterhin kann aus den CVSS-Scores abgeleitet werden, dass für eine Ausnutzung weder eine Authentifizierung noch eine Nutzerinteraktion erforderlich sind. Die Schwachstellen werden in aktuellen Berichtserstattungen auch als "PHP2Shell" bezeichnet, um die Ähnlichkeit mit der Schwachstelle "Log4Shell" aufzuzeigen.

Zum aktuellen Zeitpunkt sind noch keine bestätigten Ausnutzungen der Schwachstellen bekannt, jedoch gibt es bereits unbestätigte Berichte über existierende Exploits.

Der Patch für die Schwachstelle ist heute 16 Uhr deutscher Zeit (14:00 UTC) angekündigt und sollte unverzüglich zu diesem Zeitpunkt installiert werden.

Update 1 (21.10.2026): Entsprechend der Vorankündigung haben die Entwickler inzwischen Patches für verschiedene PHP-Versionen bereitgestellt. Weiterhin wurden weitere Details zu den Schwachstellen veröffentlicht. Diese finden sich unter anderem in den entsprechenden GitHub Advisories zu den CVEs und in den Blogartikeln von Wiz.io sowie Calif.io, die zusammen mit OpenAI an der Entdeckung der Schwachstellen beteiligt waren.

    Publikationen
        
          
                
                      Download Version 1.1: PHP - Kritische Schwachstellen bedrohen Webanwendungen weltweit (PDF)
                  
            
      





  
  





  Fußbereich
   
    
      
        Seite drucken
     
   
 





  Unternavigation aller Website-Bereiche
      
      
      
        Themen
      
      
                

    Verbraucherinnen und Verbraucher

                

    Unternehmen und Organisationen

                

    Staat und Verwaltung

                

    Regulierte Wirtschaft

      
      
        Das BSI
      
      
                

    Leitbild

                

    Organisation und Aufbau

                

    BSI Standorte

                

    Auftrag

                

    Kontakt

      
                 

      
      
      
        Karriere
      
      
                

    Arbeiten im BSI

                

    Stellenangebote

                

    Studium und Ausbildung

      
                 

      
      
      
        IT-Sicherheitsvorfall
      
      
                

    IT-Sicherheitsvorfall

      
                 

  
    
      Folgen Sie uns
      
            
                
                  Das BSI auf Bluesky
                
            
            
                
                  BSI-Instagram
                
            
            
                
                  Das BSI auf LinkedIn
                
            
            
                
                  Das BSI auf Mastodon
                
            
            
                
                  Newsletterverwaltung
                
            
            
                
                  Das BSI auf YouTube
                
            
            
                
                  Das BSI auf Xing
                
            
            
                
                  RSS
                
            
      


    
  

    
    
      
        
          

      Impressum
                
          

      Datenschutz
                
          

      Nutzungsbedingungen
                
          

      Barrierefreiheit
                
       
     
      
       
          &#169; Bundesamt für Sicherheit in der Informationstechnik
        
     
   
 
  
    
      
       
          Top
          Top
       
     
   
 










  
    
      
        Hinweis zur Verwendung von Cookies
      
    
    
      Das BSI speichert keine personenbezogenen Daten der Webseitenbesucher. Details in unserer Datenschutzerklärung

    
    
      OK

Verknuepfte CVEs

CVE-ID	Severity (Quelle)	CVSS (Quelle)	Severity (CVE.org)	CVSS (CVE.org)	EPSS	EPSS-Pctl	Veroeffentlicht (CVE.org)
CVE-2026-109618	HIGH
CVE-2026-109619	HIGH

Externe Referenzen

Bezeichnung	Typ	CVE	Quelle
GitHub AbelLykens/php2shell-checker: PHP2SHELL.site CHECK	POC	CVE-2026-109618	github_poc
GitHub Amsozzer1/php2shell-repo-audit: Lists every PHP version your repos declare and sorts them by what needs the php2shell fix (CVE-2026-109618, CVE-2026-109	POC	CVE-2026-109618	github_poc
GitHub CYB3RW07F/PHP2Shell: CVE-2026-109618 and CVE-2026-109619	POC	CVE-2026-109618	github_poc
GitHub Cqsi/php2shell-atlas	POC	CVE-2026-109619	github_poc
GitHub DandanLLab/PHP-5.6.40-CVE-2026-109618-109619: php5 修复补CVE-2026-109618-109619	POC	CVE-2026-109619	github_poc
GitHub Felix3322/PHP-uniDoS: PHP CVE-2026-109618/CVE-2026-109619 universal DoS attack toolkit	POC	CVE-2026-109618	github_poc
GitHub Ghxstsec/PHP2SHELL-POC	POC	CVE-2026-109618	github_poc
GitHub JohnHansonTheDev/phpreaper: PhpReaper — GUI vulnerability scanner for CVE-2026-109618 / CVE-2026-109619 (PHP session upload progress RCE)	POC	CVE-2026-109618	github_poc
GitHub Kirari04/nextcloud-php2shell-fix: Temporary Nextcloud 34.0.4 drop-in image with PHP2Shell fixes; built and verified by GitHub Actions.	POC	CVE-2026-109618	github_poc
GitHub KnickLighter/p2selfcheck: Checker script for the PHP2Shell vulnerabilities	POC	CVE-2026-109618	github_poc
GitHub Liam-G/php2shell-audit: Non-destructive scanner for CVE-2026-109618 and CVE-2026-109619	POC	CVE-2026-109618	github_poc
GitHub MakFly/php2shell-check: Check and apply the php2shell fix (CVE-2026-109618, CVE-2026-109619) on hosts, SSH servers and Docker images	POC	CVE-2026-109618	github_poc
GitHub Masriyan/php2shell: A single-file Python tool that fingerprints a target, verifies the confirmed session.upload_progress session-file poison	POC	CVE-2026-109618	github_poc
GitHub NCSC-NL/php2shell: Operational information regarding the 2026 php2shell vulnerabilities	POC	CVE-2026-109618	github_poc
GitHub NullAura/php2shell-poc	POC	CVE-2026-109618	github_poc
GitHub Opathedane/php2shell: Soon (TM)	POC	CVE-2026-109618	github_poc
GitHub Qbix/proxy: Simple web server proxy to protect PHP code bases from known vulnerabilities.	POC	CVE-2026-109618	github_poc
GitHub VKKKV/php2shell-test: PHP session-poisoning lab: verified LFI RCE, handler-mismatch object injection and unserialize UAF on stock php:8.2.34-f	POC	CVE-2026-109618	github_poc
GitHub WoYinDao/CVE-2026-109618-CVSS-9.2-Critical: PHP session.upload_progress RCE pair (CVSS v4.0 9.2 Critical x2) — full analysis, verified primitives, RCE chain, UAF we	POC	CVE-2026-109618	github_poc
GitHub andi-ommsen/krawallbruder	POC	CVE-2026-109618	github_poc
GitHub antiburen/PHP2Shell-Probe: Defensive probe for the PHP multipart parser vulnerability CVE-2026-109618 · CVSS 9.2 CVE-2026-109619 PHP < 8.3.36 / 8.	POC	CVE-2026-109618	github_poc
GitHub cereZ23/php-up-2026: PHP session.upload_progress UAF validation bundle (presumed CVE-2026-109618 / CVE-2026-109619) — authorized defensive-re	POC	CVE-2026-109618	github_poc
GitHub devpets/php2shell-patch	POC	CVE-2026-109618	github_poc
GitHub fabwebbr/scripts: Scripts de apoio para clientes	POC	CVE-2026-109619	github_poc
GitHub g-kari/php-image	POC	CVE-2026-109619	github_poc
GitHub grupooruss/php2shell-assessment-global: Non-intrusive PHP2Shell assessment for CVE-2026-109618 and CVE-2026-109619	POC	CVE-2026-109618	github_poc
GitHub guoziyu415/php2shell-check: Paste a Dockerfile, docker-compose, php -v or a package list and see whether your PHP needs the October 2026 fix for CVE	POC	CVE-2026-109619	github_poc
GitHub izdir/php-security-patcher: Script para parchear PHP y verificar versión antes/después — nacido del incidente CVE-2026-109618/109619	POC	CVE-2026-109618	github_poc
GitHub jaiswalakshansh/Reversing-Vulnerabilities: Reversing Vulnerabilities for Fun	POC	CVE-2026-109618	github_poc
GitHub kherrick/hacker-news: Hacker News	POC	CVE-2026-109618	github_poc
GitHub lechu77/simple-php2shell-checker	POC	CVE-2026-109618	github_poc
GitHub lizhipay/php: Community-maintained PHP 5.4–5.6 and 7.0–7.3 branches, providing ongoing security patches, vulnerability fixes, and comp	POC	CVE-2026-109618	github_poc
GitHub luivc1/php-vuln-responder: Agent plugin to scan, patch, verify and check for compromise after critical PHP vulnerabilities (PHP2Shell CVE-2026-1096	POC	CVE-2026-109618	github_poc
GitHub m16a4666/php2shell-fix: Ubuntu PHP2Shell (CVE-2026-109618 / CVE-2026-109619) package updater and patch verification	POC	CVE-2026-109619	github_poc
GitHub mikensec/php2shell-lab: Offline, reproducible lab to safely analyse an untrusted PoC for CVE-2026-109618/109619 and build detection rules. No ex	POC	CVE-2026-109618	github_poc
GitHub mnk-works/php2shell-verify: Independent verification lab + PoCs: PHP session.upload_progress pre-auth RCE chains (CVE-2026-109618/109619)	POC	CVE-2026-109618	github_poc
GitHub orbitron-ai/php2shell-response-kit: php2shell response kit. (CVE-2026-109618 / CVE-2026-109619)	POC	CVE-2026-109618	github_poc
GitHub pete-builds/php-security-release-2026-10: Tracking PHP CVE-2026-109618 / CVE-2026-109619: official status, patches, mitigations	POC	CVE-2026-109618	github_poc
GitHub rjmendez/phpup-2026: IOCs and detection rules for CVE-2026-109618 / CVE-2026-109619 (PHP session.upload_progress UAF)	POC	CVE-2026-109618	github_poc
GitHub scadastrangelove/php2shell: php2shell defece tools. safechecks, suricata/snort rules, mod_sec	POC	CVE-2026-109618	github_poc
GitHub slabbdev/php2shell-cve-2026-109618-109619: Local-only PoC lab for CVE-2026-109618 / CVE-2026-109619 (php2shell) — two critical RCEs in PHP core, session.upload_pro	POC	CVE-2026-109618	github_poc
GitHub theatsgroup/PHP-package-discovery-by-ATS: A Zabbix template to collect and alert on your php run times (package manager)	POC	CVE-2026-109619	github_poc
GitHub windshock/php2shell: PHP security analysis lab with Linux FPM, ASAN builds, PHPT, and evidence collection	POC	CVE-2026-109619	github_poc
Sploitus: Exploit for CVE-2026-109618	EXPLOIT	CVE-2026-109618	sploitus
Sploitus: Exploit for CVE-2026-109618	EXPLOIT	CVE-2026-109618	sploitus
Sploitus: Exploit for CVE-2026-109618	EXPLOIT	CVE-2026-109618	sploitus
Sploitus: Exploit for CVE-2026-109618	EXPLOIT	CVE-2026-109619	sploitus
Sploitus: Exploit for CVE-2026-109618	EXPLOIT	CVE-2026-109618	sploitus
Sploitus: Exploit for CVE-2026-109618	EXPLOIT	CVE-2026-109618	sploitus
Sploitus: Exploit for CVE-2026-109618	EXPLOIT	CVE-2026-109618	sploitus
Sploitus: Exploit for CVE-2026-109619	EXPLOIT	CVE-2026-109619	sploitus
Sploitus: Exploit for CVE-2026-109618	EXPLOIT	CVE-2026-109618	sploitus
Sploitus: Exploit for CVE-2026-109618	EXPLOIT	CVE-2026-109619	sploitus
Sploitus: Exploit for CVE-2026-109619	EXPLOIT	CVE-2026-109619	sploitus
Sploitus: Exploit for CVE-2026-109618	EXPLOIT	CVE-2026-109618	sploitus
Sploitus: Exploit for CVE-2026-109618	EXPLOIT	CVE-2026-109619	sploitus

Quellen-Details

Bezeichnung	Name	Kategorie	Tags	Zielgruppe	Sprache	Feed-URL
BSI CSW	bsi_csw	government_cert		-	de	https://www.bsi.bund.de/SiteGlobals/Functions/RSSFeed/RSSNewsfeed/RSSNewsfeed_CSW.xml

Zurueck zur Eintrags-Liste