Eine Gruppe von Technologieunternehmen, darunter OpenAI, Wiz und Calif.io, hat zwei kritische Sicherheitslücken in der Programmiersprache PHP aufgedeckt, die unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt und gemeinsam als php2shell bezeichnet werden. Diese Schwachstellen betreffen alle Webserver, auf denen PHP in den Versionen 5.4 und neuer läuft, und öffnen Tür und Tor für Risiken wie Remote Code Execution, Dienstunterbrechungen (Denial of Service) und das Durchsickern sensibler Daten.
Funktionsweise der Schwachstellen
Die php2shell-Schwachstellen entstehen durch einen Fehler in der Art und Weise, wie PHP den Speicher verarbeitet, wenn während der Bearbeitung von HTTP-Anfragen Fehler auftreten. Unter normalen Umständen weist PHP Speicher für die angeforderten Daten zu und gibt ihn anschließend wieder frei. Wenn die Verarbeitung jedoch unerwartet abbricht, schlägt möglicherweise eine sichere Bereinigung des Speichers durch die Programmiersprache fehl. Angreifer nutzen diesen Umstand aus, indem sie speziell gestaltete HTTP-Anfragen senden, um ungültigen Speicher zu manipulieren, was zum Absturz von Prozessen oder zum Zugriff auf unautorisierte Daten führt.
Die technische Reaktion von Cloudflare
Cloudflare kam der öffentlichen Bekanntgabe dieser Schwachstellen um etwa 9 Stunden zuvor, indem es Schutzregeln über seine Web Application Firewall (WAF) für alle Kunden, einschließlich der Nutzer kostenloser Tarife, bereitstellte. Erstmals setzte das Unternehmen dabei auf eine neue technische Funktion namens „Full Transaction Detection“ (Erkennung vollständiger Transaktionen).
Diese Technologie geht über herkömmliche Regeln hinaus, die sich ausschließlich auf die Analyse von Benutzeranfragen stützen. Sie kombiniert Signale aus Anfrage und Antwort in einer einzigen HTTP-Transaktion. Dies ermöglicht es dem System, die ursprüngliche Serverantwort zu blockieren, wenn sich herausstellt, dass sie Indikatoren für einen Exploitation-Versuch enthält. Dadurch wird die Wahrscheinlichkeit von Fehlalarmen (False Positives) verringert und die Schutzgenauigkeit erhöht.
Was ändert sich praktisch für die Nutzer?
- Automatischer Schutz: Die neuen Regeln wurden für alle Cloudflare-Kunden automatisch aktiviert, ohne dass ein manuelles Eingreifen erforderlich ist.
- Mehrschichtigkeit: Obwohl ein WAF-Schutz verfügbar ist, betont das Unternehmen, dass dieser Schutz eine zusätzliche Verteidigungsschicht darstellt und keineswegs die Notwendigkeit ersetzt, dass Website-Administratoren ihre PHP-Versionen gemäß den Empfehlungen der Entwickler unverzüglich aktualisieren.
- Kontinuierliche Überwachung: Die Sicherheitsanalysten von Cloudflare überwachen weiterhin Ausnutzungsversuche und aktualisieren die Regeln, um eventuellen Ausweichtechniken von Angreifern zu begegnen.
Benutzer können die Ereignisprotokolle über das Cloudflare-Dashboard (Security > Security Analytics > Events) überprüfen, um sicherzustellen, dass der Schutz aktiviert ist, und um alle Abwehrversuche von Angriffen anhand der im Sicherheitsupdate angegebenen Regel-IDs zu verfolgen.