PHP2Shell Sicherheitsverbindung: "Schließen Sie Ihre Website von FBI" Alarm

Im Oktober 2026 machte das FBI Cyber Department einen offenen Aufruf an Institutionen: Gehen Sie offline, wenn Sie nicht in der Lage sind, sofort zu aktualisieren. Ziel der Warnung war die Schwachstelle PHP2Shell in PHP. W3Techs Daten Laut der serverseitigen Sprache, etwa 70 Prozent der Websites, die ermittelt werden können, zwei kritische offene in dieser Sprache ermöglicht Remote-Code ohne Authentifizierung mit 9.2 CVSS-Score laufen. In diesem Artikel, was die Schwachstelle ist, wie der Angriff funktioniert, welche Versionen sicher sind und welche konkreten Schritte die Site-Manager geworfen werden sollten.

Was ist PHP2Shell Security Apparatus?

PHP2 Shell ist der gemeinsame Name von zwei separaten Sicherheitslücken, die im Kern von PHP gefunden werden: CVE-2026-109618 und CVE-2026-109619. Beide Outdoors ermöglichen Remote-Code ohne Authentifizierung. Laut Huntress Transfers CVE-2026-109619 kann auch zu undichten Daten im Gedächtnis des Arbeitsprozesses führen. Open befindet sich direkt auf dem PHP.

Das Problem ist auch hier gefährlich. Öffnen Sie auf einem Plugin von WordPress oder nicht auf dem eigenen Code der Website, es ist auf der Engine ausgeführten Code. Basierend auf der Übertragung von Expel PHP warnte davor, dass einige Missbrauchspfade möglicherweise keinen vorhersehbaren Protokolleintrag hinterlassen, was bedeutet, dass ein leeres Protokoll nicht beweisen kann, dass der Server sicher ist. Selbst wenn eine Institution ihren eigenen Code akribisch Vertrauen erhalten hat, kann es auf die Version von PHP unten ausgesetzt werden.

Zwei offen vom PHP-Sicherheitsteam mit 9,2 Punkten in der CVSS v4.0-Skala, die kritisch bewertet werden. Laut Help Net Security Transfers die größte Gefahr in Anlagen mit Apache mod php. Ein Mitarbeitermissbrauch kann einen Angriff vor einer einzigen Anfrage ohne Authentifizierung auslösen.

Warum haben FBI und NSA Sites geschlossen?

Die scharfere Anweisung war für diejenigen, die nicht aktualisieren können. Der Ausdruck, dass Digit übertragen wird FBI schlug vor, dass die Systeme, die nicht sofort aktualisiert werden können, bis sie vollständig entfernt wurden. Schließen Sie die "Site" einer staatlichen Institution für eine Schwachstelle fasst die Schwere des Problems allein zusammen.

Die Warnung beschränkte sich nicht auf eine einzelne Institution. Nach den Nachrichten von Defense One NSA warnte FBI und CISA-Organisationen zusammen; W3Techs Daten Basierend auf der Serverseite wurden die rund 70 Prozent der Websites, die identifiziert werden können, daran erinnert, dass PHP verwendet. Die Domain ist sehr breit, weil PHP auf Basis von Plattformen wie WordPress, Drupal und Joomla angesiedelt ist.

Auch die Türkei bewegte sich schnell. Nach der Übertragung der Türkei Zeitung Presidential Cyber Security Präsidentschaft startete Sicherheitsüberprüfungen im ganzen Land, vor allem öffentliche Institutionen und schickte Notfallmaßnahmen Benachrichtigungen an relevante Institutionen. Das Gewicht des Winkels bestätigte der eigene Sicherheitsingenieur der PHP Foundation. Nach der Übertragung von The Journal Volker Dusch wurde in der Beschreibung des Wall Street Journal mit PHP2Shell als dem schwerwiegendsten Problem ausgezeichnet, dem PHP seit mehr als zehn Jahren begegnet ist.

Diese Einschätzung des eigenen Ingenieurs der Stiftung erklärt, warum sich Panikluft so schnell ausbreitet. Newstürks Transfer basiert auf Bloomberg HT Die Quelle der Schwachstelle ist eine Fehlergruppe, die aus der Form der Verwaltung des Computerspeichers von PHP stammt.

Wie kann man Angriffe technisch durchführen?

Im Herzen des Winkels gibt es einen Job, dass PHP die Speichergrenze erreicht. Vom PHP-Sicherheitsteam zur Analyse von Alexandre Daubois Wenn die Speichergrenze überschritten wird, wurde der Speichertrenner von PHP in die C-Funktion geworfen, die Speicher haben möchte, und direkt in die Anforderungsfunktion geworfen. Das Problem ist: Es könnte ein Marker veröffentlicht werden, ohne die Struktur dahinter zu füllen. mod php wanderte durch eine Struktur, die niemand vervollständigt, weil es die Schließroutine aufruft, wenn die Anforderung nicht abgeschlossen wurde.

Die einzige Notwendigkeit von Saldurga bestimmt, wann der Separator genau versagen wird. Nach der gleichen Analyse bietet die mehrteilige Formtrennung mehrere Möglichkeiten dafür. Eine Stelle, die die erwartete Länge nicht meldet, kann die erste Größenkontrolle bestehen. Ein Formstück kann zahlreiche Header tragen, die viel mehr Speicher verbrauchen, wie es im Netzwerk abdeckt. Die leeren Dateibereiche setzen die Grenze der Anzahl der Dateien und erstellen immer noch Topveri-Arrays. Dies sind die Möglichkeiten, den Separator zur gewünschten Zeit zu reiben.

Auf der zweiten offenen Sitzung (Session). Basierend auf Upwind's Review Fehler in der Sitzungsfunktion nach mehrteiligem Ladefortschritt auftreten. PHP speichert einige Speichermarken in permanenten Strukturen; diese Struktur wird zerstört und beim erneuten Lesen einer zweiten Anfragesitzung hinter einem Flagg zurückgelassen. Die nächste Anforderung entsteht, wenn man sich auf diesen Zeiger verlässt, der Typ use-after-free ist ein Fehler, so dass der Code läuft oder das Speicherleck.

Speicherleckpfad ist auch ein Risiko pro Kopf. Laut Wiz-Ergebnissen, die Huntress überträgt, kann eine separate Speicher-Offenlegungsmethode Passwort, Token, API-Schlüssel und Zertifikate offenbaren. Selbst wenn aggressiver Code nicht ausgeführt wird, kann er den Speicher des Servers mit durchgesickerten Daten ernsthaft beschädigen. Fix nach Daubois berührt 390 Dateien, die zeigt, wie tief das Problem PHP ist.

Nur die Logik des obigen Angriffs wurde erklärt; Mitarbeitermissbrauchscode oder schrittweises Angriffsrezept wurde nicht bewusst gegeben. Ziel ist es, das Risiko von Managern richtig zu bewerten.

Wie man öffnet, welche Rolle spielt künstliche Intelligenz?

Zusätzlich zu den bemerkenswertesten, wie das Defizit lokalisiert wird. Basierend auf der Übertragung von Precursor Security Das Sicherheitsteam Calif identifizierte die Schwachstelle OpenAI mit dem GPT-5.6 Left-Modell innerhalb der "Patch the Planet" -Initiative; Wiz berichtete, dass zwei Defizite unabhängig voneinander entdeckt und gemeldet werden. PHP Grundlage ist mit Hilfe von künstlichen Intelligenzmodellen ein Defizit gefunden worden, das das schwerste von mehr als zehn Jahren zählt, sowie für die Angriffsseite Zeichen einer neuen Ära liest.

Angriffsversuche begannen vor der Ankündigung. Nach den gleichen Nachrichten von Help Net Security verzeichnete das MadPot Honeypot-Netzwerk von Amazon am 17. Oktober, vier Tage vor der öffentlichen Ankündigung, einen Missbrauchsversuch gegen PHP2Shell. Amazon denkt, dass es ein Bedrohungsvektor hinter dem Versuch ist, aber es ist noch nicht bekannt, wie der Angreifer Details beim Fahren von Ambargo erreicht.

Es war nicht geplant, den Prozess in die Öffentlichkeit zu bringen. Basierend auf den Hacker News Am 20. Oktober wurden die beiden PHP-Schwachstellen in Hacker News am 22. Oktober geteilt und PHP zog den Fußgänger eines Tages heraus. Laut Huntress wurde der Beitrag entfernt, aber die Screenshots waren damals in den sozialen Medien so verbreitet. Die Behauptung der Leckage "CVSS 10.0" wurde mit den offiziellen 9,2 Punkten von PHP abgedeckt.

Die Chronologie zeigt deutlich, wie ein Defizit ohne Kontrolle in die Öffentlichkeit fällt. Die Quellen der Tabelle sind die Zeitleiste von Daubois, Net Help Security und Huntress:

25. September

Code Change Request for Correction (PR) wird geöffnet

17. Oktober

Amazon MadPot-Netzwerk rettet ersten Missbrauchsversuch

20. Oktober

Der Leak-Post auf Hacker News ist entfernt, aber die Screenshots verbreiten sich, PHP macht Notfall-Patch Ankündigung

21. September Oktober

PHP macht offizielle Ankündigung und veröffentlicht gepatchte Versionen

Diese Tabelle beschreibt, wie ein koordinierter Offenlegungsprozess eines Defizits mit Hilfe von künstlicher Intelligenz ohne Abschluss durchgesickert werden kann.

Welche PHP-Versionen vertrauen?

Die erste Voraussetzung für den Schutz ist, die sichere Version zu kennen. Laut den Nachrichten von Help Net Security veröffentlichte das PHP-Team am 21. Oktober 2026 vier Korrekturversionen: 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Alle Versionen unter diesen Versionen in jedem Zweig gelten als anfällig. Aktuelle anfällige Versionen und Supportdaten auf dem Tisch Home Zusammenstellung von Brandefense basierend auf php.net Home erhalten.

Wenn das tatsächliche Risiko in fertigen Versionen unterstützt wird. Basierend auf dem Transfer von Mynet PHP 8.1 und ältere Versionen erhalten keine regelmäßigen Sicherheitsupdates mehr vom PHP-Projekt. Dies lässt einen großen Teil des Internets dauerhaft in Gefahr. Laut CybelAngels Scan 2,24 Millionen Prozent des PHP-Servers arbeiten in Filialen, die nicht zur offiziellen Fix-Version kommen. Das PHP-Sicherheitsteam hat laut Help Net Security auch die minimalen Patches auf Quellcodeebene für 7,4, 8,0 und 8,1 aufgrund des Gewichts des Defizits veröffentlicht; diese sind für diejenigen, die PHP aus der Quelle kompilieren. Einige Distributionen und Anbieter von Langzeitsupport können auch retrospektive Patches anbieten, so dass diejenigen, die diese Versionen verwenden, ihre Anbieter konsultieren müssen.

Wie schützt man Sites vor PHP2Shell Alet?

Der Schutz besteht aus mehreren Schritten. Der gemeinsame Punkt der offiziellen Warnungen ist die Aktualisierung der einzigen Volllösung.

Auszugsverzeichnis: Identifizieren Sie, wo PHP in Ihrer Umgebung funktioniert, bevor Sie vom FBI beraten werden; Priorität für Produkte von Drittanbietern, die offene Systeme für das Internet und PHP enthalten.

Update PHP: Wechseln Sie für jeden Zweig auf die sichere Version (8.5.12, 8.4.27, 8.3.36 oder 8.2.35). Der volle Schutz gemäß der offiziellen Ankündigung wird nur mit dem Update bereitgestellt.

Gehen Sie offline, wenn Sie nicht aktualisieren können: Die anweisung des fbi ist klar; das system, das nicht sofort aktualisiert werden kann, wird offline gehalten, bis es vollständig entfernt ist.

Richtige Anwendung der befristeten amtlichen Maßnahmen: Am häufigsten wiederholt während der Leckage nach Daubois Analyse session.upload_progress.enabled = Off Der Vorschlag schließt nur den Sitzungspfad des zweiten Defizits (CVE-2026-109619), nicht das erste Defizit. Die für die erste Eröffnung empfohlenen Übergangsmaßnahmen memory_limit=-1 den Wert von Anwendungen auf eine Weise zu erzwingen, die sich nicht ändern kann. Diese Maßnahmen halten den Platz des Patches nicht ein, sparen nur Zeit.

Hinter WAF: Wenn Sie eine Cloud-WAF wie Cloudflare gemäß den Empfehlungen von Expel verwenden, stellen Sie sicher, dass Ihre Ursprungsserver nur Datenverkehr über WAF akzeptieren.

Suche nach: Laut der Warnung des FBI sollten PHP-Prozesse unerwartet verdächtigen Ereignissen wie dem Skriptieren oder Herunterladen von Dateien folgen; wenn die Spezifikation gesehen wird, wird das System isoliert und die Protokolle sollten gespeichert werden.

Erfrischen Sie die Geheimnisse, die gehackt werden können: Die Art und Weise, wie Wiz die Offenlegung von Erinnerungen zeigt Passwort, Token, API-Schlüssel und Zertifikate Wie sich zeigen lässt, kann die Regeneration dieser Geheimnisse als ein vernünftiges Maß bewertet werden.

Eine zusätzliche Größe für Institutionen in der Türkei ist auch die Verpflichtung zum Schutz der Daten. Wenn ein Verstoß in einem System entdeckt wird, das personenbezogene Daten verarbeitet, wird der Status des Artikels 12 des KVKK Nr. 6698 so bald wie möglich dem zuständigen Datenschutzausschuss gemeldet. Laut öffentlicher Ankündigung von KVKK Die Entscheidung des Boards vom Jahr 2019/10 sagt voraus, dass die Benachrichtigung des Boards innerhalb von 72 Stunden nach Kenntnisnahme des Verstoßes erfolgt. Die Betroffenen sollten so bald wie möglich davon in Kenntnis gesetzt werden. Daher erfordert PHP2Shell nicht nur einen technischen, sondern auch einen rechtlichen Ereignisinterventionsplan.

Wie hoch ist das Ausnahme- und Datenleckrisiko?

Ressourcen in dieser Frage widersprechen und sind für Widerspruchsmanager kritisch. Nach der Zusammenstellung von Black Kite Seit dem 21. Oktober meldete keine Institution einen Verstoß aus diesem erklärt und erklärt CISA’s Known Exceptional Opens Katalog Der Platz wurde verlassen.

Auf der anderen Seite gibt es Berichte über Angriffsverkehr. Laut der Übertragung von The Hacker News hat Cloudflare angekündigt, dass seine Kunden den gezielten Angriffsverkehr sehen und ihre Lasten ändern, um die Regeln der Firewall der Angreifer zu überwinden. Basierend auf SOCRadars Compilation Aikido berichtete, dass Missbrauch auf dem Feld gemeldet wurde, Patchstack berichtete, dass es mehrere aktive Missbrauchsfälle verifizierte; zwei Unternehmen veröffentlichten die technischen Details der Angriffe nicht. watchTowrs veröffentlichte Informationen Aktiver Missbrauch wurde am 21. Oktober im Honeypot-Netzwerk des Unternehmens beobachtet. Laut dem Update von The Hacker News wurde eine bestätigte Verletzung für einen bestimmten Server noch nicht gemeldet, aber die Angriffsversuche haben bereits begonnen. Dies ist nicht mit dem Komfort von "keine Verletzung" abgedeckt werden, nur ein Grund, den Patch zu machen.

Was denkt die Gemeinschaft?

Die Diskussion auf Entwicklerseite bewegt sich auf zwei Achsen: der Rolle des Offenlegungsprozesses und der künstlichen Intelligenz. Hacker News Diskussion Einige Benutzer fanden etwa zwei Monate Fenster zwischen Berichterstattung und Ankündigung für eine so ernsthafte Öffnung. Ein Benutzer schrieb, dass die Verwundbarkeit von OpenAI mit Calif in einem Zufall gefunden wurde, den er am selben Tag als "unabhängig" melden konnte, und fragte, wie er die koordinierte Offenlegung durchführen könne.

Das Leck selbst ist auch eine separate Diskussion. Die Einschätzung von Daubois bietet an dieser Stelle einen ausgewogenen Rahmen: Panik war gerechtfertigt, wie ernst das Defizit ist, aber in den meisten Details, die sagen, was getan werden sollte. Die Tatsache, dass die meisten vorläufigen Maßnahmen falsch aufgedeckt werden, wie schnell die Informationen, die nicht sofort überprüft werden. Die Gewohnheit, die Daubois für das nächste Leck empfiehlt, ist aus diesem Kurs: Vertrauen Sie ernsthaft, bestätigen Sie die Maßnahme, fragen Sie, welcher Codepfad abgedeckt ist, bevor Sie eine Anpassung schließen.

Häufig gestellte Fragen

Schließt WordPress oder Laravel die Sicherheitslücke, um meine Website zu aktualisieren?

Nein. Nicht in der offenen App, läuft es auf der PHP-Engine. Prüfungspunktbewertung Update WordPress, Magento oder Drupal schaltet die Sicherheitslücke nicht allein aus. Die Lösung besteht darin, die PHP-Version auf dem Server auf eine sichere Version zu aktualisieren.

Was soll ich tun, wenn ich Shared Hosting verwende?

PHP im Shared Hosting verwaltet normalerweise den Hosting-Provider. Fragen Sie die sichere Version Ihres Anbieters (8.5.12, 8.4.27, 8.3.36 oder 8.2.35). Die PHP-Version, die in vielen Hosting-Panels verwendet wird, kann vom Benutzer angezeigt und ersetzt werden.

Sind die Besucher der Website in Gefahr?

Das Ziel von PHP2Shell ist es, Server mit betroffenen Versionen zu betreiben; nicht Geräte von Endbenutzern direkt. Wenn jedoch der Server erfasst wird und Benutzerdaten durchgesickert sind, können auch indirekte Besucher betroffen sein. Deshalb ist der schnelle Patch von Managern wichtig für die Sicherheit der Besucher.

Warum empfiehlt Memory Limit=-1, reduziert sich diese Sicherheit?

Obwohl die Logik auf den ersten Blick umgekehrt erscheint, ist es notwendig, vorherzusagen, wann der Angreifer die Speichergrenze überschreiten wird, um die Schwachstelle auszulösen. Das Entfernen des Limits eliminiert diesen vorhersehbaren Fehlermoment. Dies ist nur eine vorübergehende Maßnahme; permanentes Lösungsupdate.

Wird Open jetzt aktiv missbraucht?

Es gibt Angriffsversuche, es gibt noch keinen bestätigten Verstoß. Ab dem 21. Oktober, die CISA zwei Defizite auch bekannt Opens Katalog genannt; dagegen Cloudflare, Aikido, Patchstack und watchTowr gemeldet Angriff Verkehr oder aktiven Missbrauch. Es wird nicht empfohlen, auf Angriffsversuche zu warten.

Künstliche Intelligenzmodelle sind ein mächtiges Werkzeug für Verteidiger, die dem schwersten PHP-Defizit seit über zehn Jahren helfen. Es steht als separate Frage, wenn die gleiche Geschwindigkeit durch die Angreifer geht. Wie man den CISA-Katalog und neue Missbrauchsberichte in den nächsten Wochen ändert, wird zeigen, dass dieses Gleichgewicht für welche Partei schwer sein wird.