PHP2Shell und Node.js: Technische Hinweise für Systembetreibende

23.10.2026

Stand: 23.10.2026, 16:00 Uhr

Hintergrund

PHP: CVE-2026-109618 und CVE-2026-109619 („PHP2Shell“), Codeausführung ohne Anmeldung, betroffen PHP 5.4 bis 8.5.11. Öffentliche Exploits, BSI-Warnstufe 3 (Orange).
PHP: CVE-2026-115560 (Vorankündigung zu bevorstehendem Sicherheitsupdate mit Konfigurationshinweis zur Mitigation)
Node.js: Sicherheitsrelease vom 21.10.2026, zehn Lücken, davon vier mit hohem Schweregrad.

PHP – Paketstand prüfen

Debian/Ubuntu: dpkg -l 'php*'

RHEL/Alma/Rocky: rpm -qa 'php*'

Gepatchte Pakete laut Distribution:

- Debian 12: php8.2 8.2.35-1~deb12u1 (DLA-4848-1)

- Debian 13: php8.4 8.4.27-1~deb13u1 (DSA-6574-1)

- Ubuntu 24.04: php8.3 8.3.6-0ubuntu0.24.04.13

- Ubuntu 22.04: php8.1 8.1.2-1ubuntu2.28 (USN-8948-1)

Neustart: sudo systemctl restart php8.4-fpm bzw. sudo systemctl restart apache2

Anwendungen (WordPress, TYPO3, Moodle usw.) ebenfalls aktualisieren.

Bitte beachten Sie auch den Mitigationshinweis für CVE-2026-115560:
Deaktivieren Sie die Konfigurationsoption “session.upload_progress.enabled” vorübergehend, indem Sie den Wert auf 0 setzen. Lassen Sie diese Einstellung aktiviert, bis ein Sicherheitsupdate bereitgestellt wird.

Node.js

node -v (auch in Containern und bei nvm-Installationen)

Gepatcht: 22.23.4, 24.22.1, 26.12.1. Prozesse neu starten (systemd, pm2, Docker).

Container

docker build --pull --no-cache .

docker compose build --pull --no-cache

„--no-cache“ allein lädt kein neues Basis-Image. Registry-Images: docker compose pull && docker compose up -d

Kontrolle im laufenden Container: docker exec <container> php -v bzw. node -v

Einbruchsspuren – Mindestprüfung

find /var/www -type f -newermt 2026-10-21 -ls

Außerdem: unbekannte Prozesse, Cronjobs (crontab -l, /etc/cron*), neue Benutzerkonten, ungewöhnliche Einträge in den Webserver-Logs. Bei Verdacht: System nicht neu aufsetzen oder bereinigen, bevor wir gemeinsam gesichert haben; Meldung an it-sicherheit.its(at)uni-bamberg.de.