PHP2Shell: CVE-2026-109618 und CVE-2026-109619
Zwei Speicherfehler im PHP-Kern (CVSS 9.2): Ein Out-of-Memory-Fehler im falschen Moment lässt halb initialisierte Daten als gültig gelten, ein Fatal Error hinterlässt Zustand, der auf Speicher einer früheren Anfrage zeigt (Use-after-free). Betroffen sind laut Wiz praktisch alle Versionen seit PHP 5.4; RCE gezeigt mit Apache/mod_php und über PHP-FPM, ohne Anmeldung gegen aktuelle WordPress-, Drupal- und Joomla-Images.