PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 beheben zwei kritische, nicht authentifizierte RCE-Schwachstellen, CVE-2026-109618 und CVE-2026-109619, bekannt als "php2shell". Das Upgrade ist der einfache Teil. Der schwierige Teil besteht darin sicherzustellen, dass wirklich jedes PHP auf dem System behoben ist: Distro-Backports, die alte Versionsnummern beibehalten, Panel-PHPs, FPM-Pools, mod_php, bei dem ein Reload nicht neu gestartet wurde, Docker-Images und Octane-Binäre. Dieses Kit liefert das in einem Durchlauf, dann führt es Sie durch den Rest.

INHALT

- php2shell-audit.sh (Linux, Nur-Lesen):

- Findet PHP über apt/dnf/apk, ondrej/sury, Remi, cPanel ea-php, CloudLinux alt-php, Plesk, DirectAdmin, aaPanel, LiteSpeed lsphp und Homebrew, sowie jeden laufenden Prozess.

- Kategorisiert jede Build-Variante als FIXED, PATCHED (Hersteller-Backport, im Paket-Changelog geprüft oder gegen die Ubuntu/Debian-Fixed-Version-Tabellen abgeglichen), VULNERABLE, EOL oder CHECK-VENDOR.

- Kennzeichnet mod_php, upload_progress / fatal_error_backtraces noch aktiv, per-Anfrage PHP_VALUE und php_value-Overrides, RLIMIT-Missbrauch, Prozesse, die nach dem Upgrade noch das alte, gelöschte PHP ausführen, durch PHP-Werkzeuge gestartete Shells und PHP-Docker-Container.

- Exit-Codes 0/1/2 für Cronjobs und Monitoring.

- php2shell-audit.ps1 (Windows/IIS, Nur-Lesen): prüft PATH, XAMPP/WAMP/Laragon/Plesk-Ordner, IIS FastCGI-Apps aus applicationHost.config, Apache mod_php, Einstellungen und verdächtige Kindprozesse.

- Upgrade-Runbooks, jeweils von der Seite des Anbieters mit Links:

- Ubuntu/Debian (inkl. PPA und sury), RHEL/AlmaLinux (gepatchte Paket-Tabelle), Rocky, Remi, Amazon Linux 2023 / Beanstalk / Lightsail, Alpine, Docker

- cPanel EA4, CloudLinux ea-php/alt-php, Plesk (inkl. der Build-Datum-Trick für EOL-Builds), DirectAdmin, aaPanel, CloudPanel

- LiteSpeed, FrankenPHP/Octane, Windows/IIS

- Zusätzlich eine Neustart-Tabelle (warum Apache-Graceful nicht ausreicht).

- Interim-Mitigationsmaßnahmen, zitiert von php.net/GHSA und mit PARTIAL gekennzeichnet:

- Drop-in php.ini, FPM-Pool, Apache, nginx (blockieren, Allow-List, read-only), Caddy/FrankenPHP und lighttpd Dateien

- Die AWS WAF-Regel (wörtlich JSON) und Cloudflare-Hinweise

- Eine ModSecurity-Regel (abgeleitet und labortest) und eine IIS-Regel (abgeleitet, ungetestet)

- Eine Liste der Maßnahmen, die NICHT geholfen haben

- Eine Nachpatch-Verifikations-Checkliste, Hinweistexte zur Erkennung (Log-Greps, Prozessüberwachung) und erste Schritte im Incident-Fall

- Ein Migrationsplan für PHP 8.1 und älter (und 8.2, EOL 31.12.2026), einschließlich Mod_php → PHP-FPM

- Eine Rollback-Tabelle, eine Quellenliste und kurze ES/PT/ID/JA-Schnellstarts

GETESTET

- Unter Debian 13: Die Audit-Überprüfung fand verwundbare 8.4.24, das behobene 8.4.27 und veraltete Prozesse vor dem Neustart.

- 41 Unit-Tests, ShellCheck-befreit.

- Die Snippets für nginx, Apache, ModSecurity und FPM wurden mit harmlosen Anfragen im Labor getestet (Ergebnisse in tests/LAB-RESULTS.md).

NOTES

- Kein Exploit-Code, kein PoC, kein Netzwerkscanner. Die Skripte lesen ausschließlich den Computer, auf dem sie laufen.