Sicherheitsforscher haben zwei Schwachstellen offengelegt, die PHP-Webumgebungen betreffen und unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt werden. Auf die Probleme wurde in einem Beitrag auf Hacker News hingewiesen, der eine Erkennungsregel für CVE-2026-109619 enthält.
Die bereitgestellte Regel ist eine Konfiguration einer Web Application Firewall (WAF) mit dem Namen PHP2Shell. Sie soll Anfragen blockieren, die einem bestimmten Muster entsprechen. Die Regel greift nur, wenn die HTTP-Methode POST ist und entweder ein PHPSESSID-Wert in den Cookie-Schlüsseln oder im Anfrage-Body auftaucht oder der Body die Zeichenkette PHP_SESSION_UPLOAD_PROGRESS enthält. Sind alle diese Bedingungen erfüllt, wird die Anfrage blockiert und die Aktivität unter dem Namen PHP2Shell in den CloudWatch-Metriken erfasst.
Die Kombination aus sitzungsbezogenen Zeichenketten und Parametern zum Upload-Fortschritt spiegelt das Anfragemuster wider, das mit der Angriffstechnik verbunden ist, auf die die Regel abzielt. Die Funktion zum Upload-Fortschritt von PHP-Sitzungen kann bei bestimmter Handhabung auf diese Weise missbraucht werden, weshalb die Regel sowohl Cookies als auch den Anfrage-Body prüft.
Administratoren von PHP-basierten Webanwendungen wird empfohlen, die Advisories zu beiden CVE-Kennungen zu prüfen und in Betracht zu ziehen, die veröffentlichte Regel als kompensierende Schutzmaßnahme einzusetzen oder zu testen. Das Einspielen der Herstellerpatches für die betroffenen PHP-Laufzeitumgebungen bleibt die vorrangig empfohlene Abhilfe.
Quelle: Hacker News · Zusammengefasst von HeadlinesBriefing