PHP2Shell: Kritische PHP-Sicherheitslücke – Wie ist der Stand im AU-Portfolio?

Mit CVE-2026-109618 und CVE-2026-109619, häufig unter dem Namen PHP2Shell zusammengefasst, sind aktuell zwei kritische Schwachstellen in PHP bekannt geworden. Unter bestimmten Voraussetzungen können Angreifer damit eine Remote Code Execution (RCE) ermöglichen.

Die Besonderheit dabei: PHP findet sich längst nicht nur auf klassischen Webservern. Auch Web- und Management-Oberflächen verschiedener Infrastrukturprodukte nutzen PHP im Hintergrund.

Für mehrere Produkte aus unserem Portfolio liegen inzwischen konkrete Herstellerinformationen sowie erste Hotfixes und Updates vor.

Aufgrund der hohen Kritikalität empfehlen wir, die Installation des jeweiligen Hotfixes zeitnah einzuplanen und durchzuführen.

Sollten Sie Unterstützung bei der Bewertung der Betroffenheit, der Update-Planung oder der Durchführung benötigen, stehen wir Ihnen wir immer gerne zur Verfügung.

Worum geht es bei PHP2Shell?

Die beiden Schwachstellen liegen direkt in PHP und nicht in einer darauf betriebenen Anwendung:

• CVE-2026-109618 betrifft die Speicherbehandlung von PHP und kann unter bestimmten Voraussetzungen zu einer Remote Code Execution führen.
• CVE-2026-109619 betrifft globale PHP-Zustände zwischen Requests und kann ebenfalls eine Remote Code Execution ermöglichen.

Die Schwachstellen wurden mit CVSS 9.2 und damit als kritisch eingestuft.

Neben den klassischen PHP-Installationen sollten daher insbesondere Management-Oberflächen von Infrastrukturkomponenten überprüft werden.

Detaillierte technische Informationen & Hintergründe zur PHP2Shell Sicherheitslücke:

• PHP2Shell
• Blogpost von CrowdStrike

Welche Produkte sind betroffen?

Da die Lücken aktuell sehr frisch sind und sich die Informationen sehr schnell verändern, verweisen wir hier hauptsächlich auf die jeweiligen Hersteller-Informationen bzw. fügen Hinweise und Erfahrungsberichte hinzu.

Der Status von Security Advisories kann sich außerdem ändern, wenn Hersteller bei der weiteren Analyse zusätzliche Komponenten oder Produktversionen identifizieren.

Citrix

Bei Citrix sind die Management Interfaces von NetScaler ADC und NetScaler Gateway betroffen.

Die administrative Oberfläche eines NetScaler sollte im Normalbetrieb nicht direkt aus dem Internet erreichbar sein.

Citrix hat ein entsprechendes Security Advisory veröffentlicht und ein Update für den 27. Oktober 2026 angekündigt.

Bis zur Installation des Updates sollte insbesondere überprüft werden, von welchen Netzen das Management Interface tatsächlich erreichbar ist.

Unsere Empfehlung:

• externe Erreichbarkeit des Management Interfaces prüfen
• Management-Zugriff auf vertrauenswürdige Netze beschränken
• veröffentlichte Citrix-Version mit dem eigenen Softwarestand abgleichen
• Update nach Verfügbarkeit zeitnah installieren

Alle weitere Informationenen:

• Citrix Security Advisory for CVE-2026-109618 and CVE-2026-109619
• Protecting NetScaler Management Access from PHP CVE-2026-109618 & CVE 2026-109619

Cisco

Nach aktuellem Stand sind ein Großteil der typischen Cisco-Produkte nicht von den PHP-Lücken betroffen.

Nicht betroffen sind:

• Server/Compute
  • UCS Manager/Central
• Security
  • ISE (Identity Services Engine)
• Network Management
  • Catalyst Center (früher DNA Center)
  • Nexus Dashboard
  • Meraki Dashboard
• Switches
  • IOS, IOS-XE, IOS-XR
  • NX-OS

Betroffen ist bei Cisco das Duo Access Gateway. Gefixt sind die Sicherheitslücken ab Version 3.2.0.

Ein paar Produkte stehen bei Cisco noch „under Investigation“ – diese beinhalten jedoch keine typischen Produkte aus dem AU-Portfolio.

Alle weitere Informationenen:

• Vulnerabilities in PHP Affecting Cisco Products: October 2026
• Duo Access Gateway – Release Notes

NetApp

NetApp hat bestätigt, dass diese Schwachstellen auch ONTAP & ONTAP Select betreffen.
Daher empfehlen wir, die eigene ONTAP-Version hinsichtlich des bereitgestellten Sicherheitsupdates zu überprüfen.

NetApp hat mittlerweile für alle ONTAP Versionen Hot Fixes released, welche noch im Full Support sind:

• 9.14.1P18HF1
• 9.15.1P20HF1
• 9.16.1P16HF1
• 9.17.1P11HF1
• 9.18.1P8HF1
• 9.19.1P3HF1

Vorherige Versionen sind nach aktuellem Stand auch betroffen, erhalten aber keine Patches mehr. Daher empfehlen wir auf eine aktuelle Major-Version upzudaten.

Bei einem Update ist kein Zwischenschritt notwendig. D.h. wenn ein System beispielsweise aktuell auf der Version 9.18.1P5 ist, kann direkt auf die gepatchte Version 9.18.1P8HF1 aktualisiert werden – ein Zwischenschritt auf 9.18.1P8 wird nicht benötigt.

Falls ein Update nicht direkt möglich ist, empfiehlt sich einer der Workarounds um den Zugriff auf die Web-basierte Management-Oberfläche einzuschränken. Je nach gewählter Option ist danach jedoch auch kein API-Zugriff mehr möglich. Daher empfehlen wir die Updates einzuspielen.

Nicht betroffen sind (u.a.):

• Active IQ Unified Manager (AIQUM)
• E-Series SANtricity
• StorageGRID
• Global File Cache
• NetApp Console
• NetApp SHIFT
• ONTAP Mediator
• ONTAP Select Deploy (nur die ONTAP Select Nodes sind betroffen)
• ONTAP Tools for VMware vSphere (OTV)
• SnapCenter
• SnapCenter Plug-in for VMware vSphere
• Trident

Auch die NAbox ist laut dem Entwickler nicht betroffen.

Alle weitere Informationenen:

• October 2026 PHP Vulnerabilities in NetApp Products
• How to apply ONTAP workarounds for PHP2SHELL vulnerabilities

Palo Alto Networks

Bei Palo Alto Networks ist die MGMT WebUI der Firewalls und Panorama (zentrales MGMT) betroffen.

Diese Management-Schnittstellen sollten in einer entsprechend segmentierten Umgebung normalerweise nicht direkt aus dem Internet erreichbar sein.

Palo Alto Networks empfiehlt ebenfalls, den Zugriff auf das Management Interface auf vertrauenswürdige interne IP-Adressen beziehungsweise definierte Management-Systeme wie einen Jump Host einzuschränken. Das reduziert die Angriffsfläche erheblich, ersetzt aber natürlich nicht die Installation der vom Hersteller bereitgestellten Korrekturen.

Für manche PAN-OS Versionen sind bereits Fixes veröffentlich worden. Der Rest soll im Laufe dieser Woche erscheinen (ETA: 27. bis 30.10.)

Alle weitere Informationenen:

• CVE-2026-109618 Impact of Critical Vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619) on Palo Alto Networks Products

Nicht betroffene Produkte

Cleondris

Nach Rückfrage bei Cleondris wird weder im Backend noch an anderer Stelle der Software PHP verwendet. SnapGuard bzw. Cleondris ONE ist daher nicht von den Sicherheitslücken betroffen.

Commvault

Nach Rücksprache mit Commvault ist die CommVault Software selbst nicht betroffen.

Die Commvault-Kernkomponenten (CommServe, MediaAgent, Virtual Server Agent, Threat Scan usw.) basieren nicht auf PHP. Für die Commvault-Weboberflächen (z. B. Command Center) werden ebenfalls keine PHP-basierten Webanwendungen verwendet.

Zu prüfen wären ggf. ausgerollte OVAs (CentOS, Rocky, Oracle Linux), ob diese PHP-Pakete enthalten. Diese sind jedoch keine Voraussetzung für den Betrieb einer Commvault-Appliance. Falls keine PHP-Pakete installiert sind, besteht keine direkte Exponierung gegenüber diesen Schwachstellen.

ExaGrid

Nach Rückfrage bei ExaGrid sind weder die ExaGrid-Software noch die in den Appliances eingesetzten BMCs von der aktuellen PHP2Shell-Sicherheitslücke betroffen. 

ARTEC

Nach Rückfrage bei ARTEC setzt die EMA zwar PHP ein, jedoch weder in einer von den aktuellen Sicherheitslücken betroffenen Version noch in einer betroffenen Konfiguration.
EMA ist daher von den Schwachstellen nicht betroffen.

Fortinet

Fortinet hat bestätigt, dass FortiOS (das Betriebssystem, das FortiGate unterstützt) nicht von diesen Schwachstellen betroffen ist. FortiManager, FortiAnalyzer, FortiWeb und viele andere Fortinet-Produkte sind ebenfalls nicht betroffen.

Aktuell werden ein paar wenige Produkte noch als „under Investigation“ eingestuft. Hier empfiehlt es sich das Advisory die nächsten Tage zu beobachten.

Veeam

Veeam hat bestätigt, dass ihre Produkte von den Sicherheitslücken nicht betroffen sind, da PHP in keinem Veeam Produkt bzw. Veeam SaaS Lösung verwendet wird.

VMware (Broadcom)

Laut VMware ist in keinen vSphere Produkten PHP enthalten. Typische Software wie vCenter Server oder ESXi sind daher nicht betroffen.