Amazon Threat Intelligence berichtete, dass seine MadPot-Honeypots am 17. Oktober 2026 einen PHP2Shell-Ausnutzungsversuch registrierten. Die öffentliche Offenlegung und PHP-Sicherheitsupdates folgten am 21. Oktober, vier Tage später. Amazon stufte den Erfolg der Versuche auf realen Systemen als unklar ein.
Welche Spuren Administratoren prüfen sollten
Amazon empfiehlt, Protokolle mindestens ab dem 17. Oktober zu untersuchen. Als mögliche Hinweise nennt das Unternehmen:
| Indiz | Zu prüfende Anfrage oder Aktivität |
| POST-Anfragen | Anfragen mit PHP_SESSION_UPLOAD_PROGRESS |
| Webserver | Verdächtige Aktivitäten im Webserver |
| Prozesse | Unerwartete Prozessausführungen |
| Dateien | Unerwartete Dateiänderungen |
Die von Amazon aufgeführten IP-Adressen umfassen gemeinsam genutzte Anonymisierungsinfrastruktur und sind nicht ausschließlich mit diesen Versuchen verbunden. Amazon empfiehlt daher, Verbindungen zu untersuchen, statt die Adressen pauschal zu sperren.
Welche PHP-Versionen die Schwachstellen beheben
PHP2Shell bezeichnet die beiden kritischen Schwachstellen CVE-2026-109618 und CVE-2026-109619. Unter bestimmten Bedingungen können nicht authentifizierte Angreifer damit Code auf PHP-Servern ausführen. Die PHP Foundation beschrieb CVE-2026-109618 als Remotecodeausführung durch eine Beschädigung im Zusammenhang mit Speichermangel und CVE-2026-109619 als Remotecodeausführung durch veralteten globalen Zustand und einen Use-after-free-Fehler.
Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Korrekturen in PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 und PHP 8.2.35. Eine separate Übersicht behandelt die PHP-Versionen mit den Sicherheitskorrekturen.
Die Offenlegung und die Updates folgten am 21. Oktober
Die CVE-Kennungen kursierten laut PHP Foundation am 20. Oktober gegen 15 Uhr UTC zunächst ohne technische Details. Um 19:30 Uhr UTC kündigte das PHP-Projekt die Veröffentlichung an und zog den geplanten Termin vom 22. auf den 21. Oktober vor. Die Sicherheitsupdates erschienen am 21. Oktober um 14 Uhr UTC.
