PHP2Shell ist eine Gruppe kritischer Schwachstellen, die kürzlich im PHP-Kern behoben wurden und einen Schweregrad von CVSS 9,2 erreichen. Sie können unauthentifizierten Angreifern erlauben, Code auszuführen oder sensiblen Prozessspeicher offenzulegen. PHP betreibt rund 70 % aller Websites, darunter Plattformen wie WordPress, Drupal und MediaWiki von Wikipedia.
Forscher von Wiz Research, darunter Sagi Tzadik, Shir Tamari, Nir Ohfeld und Tomer Schwartz, arbeiteten mit Open AI Codex Security (Amy Burnett) und anderen an einer verantwortungsvollen Offenlegung. Die Schwachstellen liegen in PHP selbst, daher können Websites betroffen sein, selbst wenn ihr Anwendungscode sicher ist. Bereits eine einfache „Hello World“-Anwendung, die auf einer betroffenen PHP-Version läuft, reicht aus, um angreifbar zu sein. Websites mit den neuesten gepatchten PHP-Versionen sind geschützt. Das PHP-Team reagierte schnell und arbeitete eng mit den Forschern an umfassenden Korrekturen zusammen.
Die Schwachstellen fallen in zwei Klassen, geführt als CVE-2026-109618 und CVE-2026-109619. Die erste betrifft eine Speicherbeschädigung durch Speichererschöpfung, die Codeausführung ohne Authentifizierung als PHP-Web-Worker ermöglichen kann. Die zweite betrifft veralteten globalen Zustand zwischen Anfragen, der eine Use-after-free-Situation auslösen kann, die Worker-Speicher offenlegt oder Code ausführt. Die Forscher demonstrierten eine Remote-Codeausführung vor der Authentifizierung gegen WordPress, Drupal und Joomla unter Verwendung ihrer damals neuesten Container-Images sowie eine anwendungsunabhängige Speicheroffenlegung.
Angreifer könnten Server übernehmen, auf sensible Daten zugreifen oder Passwörter, Authentifizierungstoken, API-Schlüssel und Zertifikate aus anderen Anfragen auslesen. Die Speicheroffenlegung kann Daten auch stehlen, ohne zuvor Codeausführung zu erreichen, was die Aktivität schwerer erkennbar macht. Die einzige vollständige Lösung ist die Installation einer gepatchten PHP-Version auf jeder Laufzeitumgebung sowie der Neustart von Apache, PHP-FPM und allen langlebigen PHP-Workern. Das Aktualisieren einer Anwendung aktualisiert nicht die darunterliegende PHP-Laufzeit.
Quelle: Hacker News · Zusammengefasst von HeadlinesBriefing