CISA nahm CVE-2026-109618 und CVE-2026-109619 am 26. Oktober 2026 in den Katalog der bekannten, aktiv ausgenutzten Schwachstellen (KEV) auf. Die Behörde empfiehlt PHP-Betreibern, sämtliche Installationen zu erfassen, öffentlich erreichbare Systeme zu priorisieren und verdächtige Aktivitäten von PHP-Prozessen zu überwachen. Die PHP-Sicherheitslücken betreffen Server, nicht die Geräte von Website-Besuchern.
Was CISA zu PHP2Shell festhielt
Die beiden unter dem Namen PHP2Shell zusammengefassten Schwachstellen können laut PHP nicht authentifizierte Remotecodeausführung ermöglichen. Das PHP-Projekt veröffentlichte am 21. Oktober 2026 korrigierte Versionen: 8.5.12, 8.4.27, 8.3.36 und 8.2.35. NeoTeo berichtete bereits über die behobenen PHP-Versionen; die Sicherheitsmitteilung des PHP-Projekts beschreibt auch die betroffenen Laufzeitumgebungen.
CISA ergänzte seinen Alarm am 23. Oktober um eine Sigma-Erkennungsregel und nahm beide CVEs am 26. Oktober in den KEV-Katalog auf. Die Behörde empfiehlt, PHP im gesamten Unternehmen zu erfassen, auch wenn es in anderer Software eingebettet ist. Internetseitig erreichbare Systeme sollen dabei Vorrang haben.
Was Betreiber erfassen und überwachen sollten
PHP verarbeitet Webanfragen in verschiedenen Umgebungen, darunter PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed. Deshalb reicht eine Liste bekannter Websites nicht aus: Betreiber sollten auch PHP-Installationen in eingebetteter oder anderweitig verwalteter Software berücksichtigen.
CISA empfiehlt, betroffene Systeme vom Netz zu nehmen, wenn sie nicht sofort aktualisiert werden können oder nicht mehr unterstütztes PHP 8.1 oder älter verwenden. Die Behörde rät außerdem, auf PHP-Prozesse zu achten, die Shells starten oder Werkzeuge herunterladen. Eine Web Application Firewall (WAF) kann laut CISA bis zum Update einen gewissen Schutz bieten. Das PHP-Projekt weist darauf hin, dass Zwischenmaßnahmen einzelne Angriffspfade begrenzen, eine Installation aber nicht sicher machen. Ein Update ist die vollständige Behebung.
Ein Update behebt die Schwachstelle im laufenden Betrieb, beantwortet aber nicht, ob zuvor bereits ein Zugriff stattgefunden hat. CISA empfiehlt deshalb zusätzlich, verdächtige Aktivitäten zu überwachen. Die Korrektur liegt bei der Serveradministration oder dem Hosting-Anbieter, nicht bei den Besuchern einer Website.
Was die Messwerte von Wiz erfassen
Wiz meldete nach der öffentlichen Bekanntgabe einen Rückgang der in seiner Telemetrie beobachteten verwundbaren Systeme. Die drei Kennzahlen beziehen sich auf unterschiedliche Gruppen und Zeiträume:
| Messgröße | Gemeldete Veränderung | Erfasste Gruppe und Zeitraum |
| Täglich gezählte, unterschiedliche internetseitig erreichbare verwundbare Rechner | rund 67 % Rückgang | Beobachtete Rechner nach der öffentlichen Bekanntgabe |
| Unternehmen mit mindestens einer exponierten, verwundbaren Instanz | rund 47,9 % Rückgang | Beobachtete Unternehmen nach der öffentlichen Bekanntgabe |
| Anteil exponierter verwundbarer Rechner mit PHP 7.3 oder älter | von 8,3 % auf 5,7 % gesunken | Anteil innerhalb der beobachteten Rechnergruppe über fünf Tage |
Wiz zufolge können Veränderungen bei der Scan-Abdeckung und in der beobachteten Population die Trends beeinflussen. Die Daten trennen nicht, welchen Anteil Updates, Upgrades, abgeschaltete Rechner oder eingeschränkter Internetzugang jeweils am Rückgang hatten.
Wiz beobachtete in den eigenen erfassten Versuchen keine vollständig abgeschlossene Angriffskette. Zugleich verwies das Unternehmen auf öffentlich berichtete erfolgreiche Ausführung in einem Honeypot mit einer einzelnen Apache-mod_php-Worker-Konfiguration. Dieser Fall beschreibt eine konkrete Konfiguration; die Ergebnisse belegen keine allgemeine Zuverlässigkeit des Angriffs.
