CISA ordnet dringende Patches für PHP2Shell-Schwachstellen nach aktiven Angriffen an
Die US-Cybersicherheitsbehörde CISA hat Bundesbehörden angewiesen, zwei kritische PHP-Schwachstellen bis zum 29. Oktober zu schließen, da diese bereits aktiv ausgenutzt werden.
Die US-Behörde für Cybersicherheit und Infrastrukturschutz (CISA) hat zwei kritische Sicherheitslücken unter dem Namen „PHP2Shell“ in ihren Katalog aktiv ausgenutzter Schwachstellen (KEV) aufgenommen. Die unter CVE-2026-109618 und CVE-2026-109619 geführten Lücken ermöglichen es Angreifern, ohne Authentifizierung beliebigen Programmcode auf Servern auszuführen, und werden mit einem CVSS-Wert von 9.2 eingestuft.
Sicherheitsforscher, darunter Adel Karimi, konnten nachweisen, dass die Schwachstellen bereits gezielt gegen Apache mod_php-Umgebungen eingesetzt werden. Da PHP weltweit für Webanwendungen weit verbreitet ist, sind internetexponierte Server in besonderem Maße gefährdet.
CISA hat eine verbindliche Anweisung erlassen, wonach alle zivilen Bundesbehörden die betroffenen Systeme bis zum 29. Oktober aktualisieren müssen. Zudem empfiehlt die Behörde eine forensische Überprüfung der Systeme, um sicherzustellen, dass keine früheren Kompromittierungen vorliegen.
PHP hat bereits am 21. Oktober Sicherheitsupdates für die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Organisationen, die nicht sofort aktualisieren können, wird geraten, die betroffenen Dienste bis zur Fehlerbehebung offline zu nehmen oder durch Web-Application-Firewalls abzusichern.