Nach Darstellung der PHP Foundation bemerkte ein Entwickler 2024 erste Anzeichen des Speicherfehlers hinter CVE-2026-109618, als er einen Befund aus einem externen Quarkslab-Audit bearbeitete. Ein konkreter Exploit war damals nicht demonstriert. PHP2Shell bezeichnet zwei kritische Sicherheitslücken im PHP-Kern: CVE-2026-109618 und CVE-2026-109619.

Was 2024 über PHP2Shell bekannt war

Der frühe Hinweis betraf die Ursache hinter CVE-2026-109618, einem Fehler in der Speicherbehandlung bei erschöpftem Arbeitsspeicher. Er bedeutete nicht, dass damals bereits ein konkreter Angriff vorgeführt worden war.

Die spätere Aufnahme der beiden CVEs in den KEV-Katalog der US-Behörde CISA behandelte NeoTeo bereits im Bericht über PHP2Shell im KEV-Katalog. Der Rückblick auf die Vorgeschichte beginnt mit dem Hinweis aus dem Jahr 2024.

Warum die Behebung ins Stocken geriet

Die PHP Foundation führte die monatelange Verzögerung auf schwierige Entscheidungsabläufe und knappe Ressourcen zurück. Mögliche Korrekturen hatten technische Nachteile: Sie konnten die Rückwärtskompatibilität beeinträchtigen, ein Denial-of-Service-Risiko schaffen oder Probleme mit Erweiterungen verursachen. Für die Verantwortlichen bedeutete das, dass eine Änderung zwar den Fehler adressieren, zugleich aber andere Installationen beeinträchtigen konnte.

Wie die Meldungen 2026 zusammenkamen

Die späteren Meldungen kamen von mehreren Beteiligten. Calif-Forscher Ryan Austin meldete am 11. August 2026 einen Befund zur Remotecodeausführung. Nach Darstellung der PHP Foundation meldete OpenAI am selben Tag unabhängig dieselbe Ursache. Wiz Research meldete dem PHP-Sicherheitsteam am 24. August eigene Ergebnisse; am 18. September reichte OpenAI laut der Foundation weitere Angriffswege ein.

DatumEreignis
11. August 2026Calif-Forscher Ryan Austin meldete einen Befund zur Remotecodeausführung. OpenAI meldete nach Darstellung der PHP Foundation unabhängig dieselbe Ursache.
24. August 2026Wiz Research meldete eigene Ergebnisse an das PHP-Sicherheitsteam.
18. September 2026OpenAI reichte laut PHP Foundation weitere Angriffswege ein.