Joy Club, die größte deutsche Community für Gelegenheitssex hat wegen eines kritischen PHP-Updates kurzerhand die eigene Seite komplett offline genommen.

Das PHP-Notfall-Update soll zwei kritische Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619) beheben. Über die Lücken soll sich beliebiger Schadcode aus dem Netz ausführen lassen — also das Worse-Case-Szenario für einen Server-Admin.

Heise will die Details zu den Schwachstellen um 16:00 Uhr veröffentlichen, wenn auch der Patch verfügbar ist.

Update // 16:01 CEST:

heise online hat mittlerweile Details zu dem Sicherheitsproblem veröffentlicht, das auch unter dem Namen „PHP2Shell“ bekannt ist:

Die erste der beiden Schwachstellen mit dem gemeinsamen Namen php2shell ist CVE-2026-109618 (CVSS 9.2, kritisch). Sie lauert in der Speicherverwaltung der Skriptsprache. Sie ist ausnutzbar, wenn einige Vorbedingungen erfüllt sind und das in der PHP-Konfigurationsdatei eingestellte Speicherlimit (Direktive: memory_limit) anschlägt. Dann erzeugt die Sprache einen Ausführungsfehler – und sollte eigentlich alle Überbleibsel des fehlerhaft ausgeführten Skripts im Speicher wegräumen.

Ist jenes jedoch über ein vom Angreifer passend zurechtgebasteltes Upload-Formular oder eines mit besonders geschickt verschachtelten Arrays gestolpert, kommt PHP beim Aufräumen dieser Überreste aus dem Tritt. Das Resultat: Angreifer können Speicher auslesen, freigeben und eigenen Schadcode im Nutzerkontext des Webservers ausführen.

Ein zweiter Fehler fand sich im Error-Handling, also der Verarbeitung von Skriptfehlern. Um CVE-2026-109619 (CVSS 9.2, kritisch) erfolgreich auszunutzen, benötigt ein Angreifer neben ähnlichen Vorbedingungen wie bei CVE-2026-109618 mindestens zwei HTTP-Anfragen. Die erste erzeugt einen instabilen Zustand in PHPs Fehlerverwaltung, die zweite nutzt diesen aus. Dabei sind jedoch nicht alle „fatal errors“, also Fehler, die zum Skriptabbruch führen, ausnutzbar.

Die Sicherheitslücken haben mittlerweile auch einen eigenen Wikipedia-Eintrag.

↵ Zurück zur Homepage