• PHP2Shell (CVE-2026-109618 / CVE-2026-109619): Speicherfehler im PHP-Kern selbst, betrifft jede PHP-Anwendung auf einem ungepatchten 8.2 bis 8.5.
• CVE-2026-110447: OS-Command-Injection in der in Nextcloud integrierten Collabora-CODE-App, aktiv ausgenutzt, um PHP-Webshells abzulegen.

Bei der Untersuchung, ob der exponierte Server eines Kunden getroffen wurde, haben wir zwei kleine, abhängigkeitsfreie Tools zur Triage für beide Schwachstellen gebaut. Wir veröffentlichen sie, damit andere Teams dasselbe tun können.

• php_rce_logscan.py liest Apache-Access- und Error-Logs (unkomprimiert, gz, bz2, xz) und meldet Exploit-Versuche, abgelegte Webshells, abgestürzte Worker-Prozesse und auffällige POST-Aktivität.
• php2shell_server_sweep.sh ist ein rein lesender Host-Scan: PHP-Version, Webshells, verdächtige Prozesse, Persistenz und die Integrität der Nextcloud-Apps. Das Skript meldet und empfiehlt; es löscht, beendet oder verändert nichts.

Ein ehrlicher Vorbehalt. PHP2Shell übermittelt seine Nutzlast im POST-Body, den Apache nicht protokolliert. Unsere Tools erkennen zuverlässig die lauten Spuren eines Angriffs, die Collabora-Webshell-Kampagne und Nachweise einer erfolgten Kompromittierung, ein leiser Exploit ohne Absturz kann jedoch keine Spur in den Logs hinterlassen. Ein unauffälliges Log-Ergebnis ist keine Entwarnung. Prüfen Sie immer zusätzlich den Host, aktualisieren Sie PHP auf 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 und starten Sie die Webserver-Worker neu.

Beide Skripte finden Sie in unserem Repository: GitHub