PHP2Shell bezeichnet zwei kritische Sicherheitslücken in PHP, die die Ausführung von Remote-Code (RCE) ermöglichen: CVE-2026-109618 und CVE-2026-109619. Beide weisen einen CVSS-v4.0-Wert von 9,2 auf, und bereits eine der beiden Sicherheitslücken ermöglicht es einem nicht authentifizierten Angreifer, Code auf einem Server auszuführen, der PHP-Anfragen verarbeitet. Laut Cloudflare wurde bereits mit der Ausnutzung dieser Sicherheitslücken begonnen.
PHP hat am 21. Oktober in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 Korrekturen veröffentlicht. PHP 8.1 und ältere Versionen werden nicht mehr unterstützt und erhalten keine Upstream-Veröffentlichung mehr. Aikido veröffentlicht kostenlose, gepatchte PHP- container -Images für jede Release-Reihe von 5.5 bis 8.5 (mit Ausnahme von 8.0), wobei die PHP2Shell-Korrekturen in die von Ihnen bereits verwendete Version zurückportiert wurden.
Falls Sie PHP2Shell noch nicht gepatcht haben, sollten Sie dies jetzt tun. Bei PHP 8.2 oder neuer aktualisieren Sie auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 und befolgen Sie die Schritte in unserem PHP2Shell-Beitrag. Aikido Die Images decken die meisten älteren Release-Zweige ab, die von PHP nicht mehr aktualisiert werden, sodass Sie diese patchen können, ohne zuvor auf einen unterstützten Zweig upgraden zu müssen.
Warum sollte man „ Aikido “-Bilder für PHP2Shell verwenden?
Die Migration einer Anwendung über verschiedene PHP-Hauptversionen hinweg nimmt Zeit in Anspruch, und eine ältere Anwendung, die auf PHP 5.6 oder 7.4 läuft, kann nicht von heute auf morgen auf 8.2 umgestellt werden. Mit den „ Aikido “-Images bleiben Sie auf Ihrer aktuellen Release-Linie. Falls es im Upstream noch keine Korrektur gibt, portieren wir die PHP2Shell-Patches in die von Ihnen verwendete Version zurück, sodass das Tag seine Versionsnummer behält und Sie Ihre Anwendung nicht erst portieren müssen.
Bei den unterstützten Zweigen stimmen die Images mit den korrigierten Upstream-Versionen überein, sodass sich die Aktualisierung lediglich darauf beschränkt, das Basis-Image in Ihrer Dockerfile-Datei zu ändern.
Verfügbare Bilder
Aikido Die Images stehen kostenlos in der öffentlichen Amazon Elastic Container Registry (ECR) unter Aikido zur Verfügung. Suchen Sie unten nach Ihrer Release-Reihe und laden Sie den neuesten Patch für die von Ihnen verwendete Variante herunter.
Aikido Außerdem werden gepatchte Builds einiger früherer Patch-Veröffentlichungen bereitgestellt, darunter 8.2.34, 8.3.35, 8.4.26 und 8.5.11, sodass Sie genau bei der von Ihnen verwendeten Version bleiben können. Sehen Sie sich die vollständige Tag-Liste in der öffentlichen ECR-Galerie an.
So ruft man ein Bild ab
Tags setzen sich aus der Version und der Variante zusammen. Für PHP 8.5 mit FPM:
docker pull public.ecr.aws/aikido-dev/php:8.5.12-fpm
Die Basisvariante verwendet das einfache Versions-Tag, z. B. php:8.2.35. Ändern Sie in einer Dockerfile-Datei die FROM-Zeile wie folgt:
AUS public.ecr.aws/aikido-dev/php:7.4.33-apache
Um die aktuellste gepatchte Alpine-Version ohne Versionsfestlegung zu verwenden, nutzen Sie „php:alpine“ oder „php:fpm-alpine“.
Nachdem Sie das Bild gewechselt haben
Das Patchen einer laufenden „ container “-Instanz macht das Image angreifbar. Erstellen Sie daher jedes Image, das PHP verwendet, neu und stellen Sie es erneut bereit. Anschließend:
- Starten Sie die PHP-FPM- und Apache-Worker neu oder stellen Sie die Container erneut bereit und vergewissern Sie sich, dass kein Worker mehr die alte Version ausführt.
- Behalten Sie die Einstellung „session.upload_progress.enabled=0“ in der Datei „php.ini“ oder in Ihrer PHP-FPM-Pool-Konfiguration bei. Es handelt sich um eine selten genutzte veraltete Funktion, die nachweislich eine Schwachstelle im Sinne von CVE-2026-109619 darstellt.
- Testen Sie Ihre öffentliche URL mit dem kostenlosen PHP2Shell-Checker von Aikido, der den PHP2Shell-Status der Website anzeigt.
- Achten Sie auf Anzeichen für eine Kompromittierung. In unserem Beitrag zu „PHP2Shell“ finden Sie eine Liste der zu überprüfenden Punkte.
Falls Ihre Version noch nicht aufgeführt ist
Für PHP 8.0 gibt es noch kein „ Aikido “-Image, und einige Release-Reihen verfügen nur über wenige Varianten, wie beispielsweise 8.1. Wir bereiten derzeit weitere Images vor. Bis das für Sie passende Image verfügbar ist, aktualisieren Sie bitte auf eine korrigierte PHP-Version oder bitten Sie Ihren Anbieter um einen zurückportierten Fix. Das PHP-Sicherheitsteam hat außerdem minimale Quellcode-Backports für PHP 7.4 bis 8.1 für Teams veröffentlicht, die aus dem Quellcode kompilieren.
Weitere Informationen zu den CVEs und zu vorübergehenden Abhilfemaßnahmen für den Fall, dass Sie noch kein Update durchführen können, finden Sie in unserem Beitrag zu PHP2Shell.
Eine Schritt-für-Schritt-Anleitung, wie Sie Ihre Sicherheitslücke überprüfen und PHP2Shell patchen können – auch unter Verwendung von „ Aikido “-Images – finden Sie im folgenden Video.
