Kritische Sicherheitslücken in PHP: 285.149 Dienste in Italien gefährdet

Die italienische Cybersicherheitsbehörde Csirt Italia hat eine landesweite Warnung herausgegeben, wonach 81,9 % der in Italien erkannten PHP-Dienste potenziell der neuen PHP2Shell- Schwachstelle ausgesetzt sind . Diese Analyse stammt von Csirt Italia , die über 741.523 PHP-Instanzen überwacht und dabei 285.149 anfällige Versionen identifiziert hat. Angesichts der Tatsache, dass PHP weltweit die überwiegende Mehrheit der Websites antreibt, stellt dies eine beispiellose Situation für die italienische IT-Landschaft dar.

Die zwei entscheidenden Schwächen von PHP2Shell

Die unter CVE-2026-109618 und CVE-2026-109619 identifizierten Schwachstellen werden mit einem CVSS-v4.0-Score von 9,2 als kritisch eingestuft . Es handelt sich in beiden Fällen um Use-After-Free- Schwachstellen , die bei Speichermangel auftreten . Ein nicht authentifizierter Angreifer kann speziell präparierte HTTP-Anfragen (z. B. Multipart-Anfragen) ausnutzen, um einen Speichermangel zu erzwingen, interne Strukturen zu beschädigen und letztendlich beliebigen Code mit den Berechtigungen des PHP-Prozesses auszuführen.

Technische Details der beiden CVEs

Die erste Schwachstelle (CVE-2026-109618) entsteht durch unsachgemäße Verwaltung der Funktion longjmp() Wenn PHP aufgrund von Speichermangel die Verarbeitung einstellt, bleiben interne Strukturen in einem inkonsistenten Zustand zurück, wodurch die Möglichkeit zur Speichermanipulation eröffnet wird.
Der zweite (CVE-2026-109619) betrifft das Beibehalten von Referenzen auf bereits freigegebenen Speicher in Timeout- oder kritischen Fehlersituationen, insbesondere beim Überwachen von Sitzungs-Uploads oder beim Generieren von Backtraces in PHP 8.5.

Eine dritte Sicherheitslücke ist derzeit noch nicht behoben.

Die Agentur berichtete außerdem, dass CVE-2026-115560, was die Ausführung von Remote-Code ermöglicht, wenn der Parameter session.serialize_handler wird geändert zu php vor Beginn der Sitzung und session.upload_progress.enabled Diese Funktion ist weiterhin aktiv. Derzeit ist keine Lösung verfügbar; die empfohlene Abhilfe besteht darin, diese Funktion durch die entsprechende Einstellung zu deaktivieren. session.upload_progress.enabled=0.

Betriebsanweisungen für Führungskräfte

Die Behörden fordern sofortiges Handeln und priorisieren dabei Systeme mit direktem Internetzugang. Zu den Empfehlungen gehören:

• Aktualisieren Sie alle PHP-Komponenten auf die korrekten Versionen (8.5.12, 8.4.27, 8.3.36, 8.2.35).
• Deaktivieren Sie den Parameter session.upload_progress.enabled Ich setze es auf 0.
• Konfigurieren Sie Web Application Firewalls (WAFs) im Blockierungsmodus mit spezifischen Regeln für die betreffenden Schwachstellen.
• Falls ein Update nicht möglich ist, sollten Sie gefährdete Dienste vorübergehend trennen.
• Führen Sie eine retrospektive Protokollanalyse durch, um anomale HTTP-Anfragen, Speicherfehler oder unerwartete PHP-Prozessabstürze zu identifizieren.

Schließlich ist es unerlässlich, die verwendete PHP-Version sowohl auf Kommandozeilenebene zu überprüfen (php -v) sowohl innerhalb des Webservers (zum Beispiel apachectl -M | grep php für mod_php oder ps -eo pid,ppid,args | grep '[p]hp-fpm' (für PHP-FPM). Nur so können wir sicherstellen, dass die Korrekturen tatsächlich wirksam sind.