CVSS

PHP2Shell CVSS: 9.2, nicht 10.0

Beide PHP2Shell-CVEs haben offiziell CVSS 4.0 9.2 — Kritisch. Die 10.0, die Sie vielleicht gesehen haben, stammt aus dem Leak am Tag vor dem Release.

Zuletzt geprüft 2026-10-22

ScoreHerkunftStatus
9.2PHP-Security-Advisories GHSA-w8hw-w9fx-j79w und GHSA-6wmf-4rv5-p3rp (CVSS 4.0), übernommen von der PHP Foundation, watchTowr und den meisten Herstellern.Offiziell
10.0CVE-IDs, die ab ca. 15:00 UTC am 20. Okt. in Foren und sozialen Medien kursierten, bevor die Advisories öffentlich waren. In frühe Nachrichtenartikel übernommen.Falsch

Der Vektor, Metrik für Metrik

Beide CVEs: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

MetrikBedeutung hierWirkung

AV:N

Attack Vector: Network

Über das Internet mit gewöhnlichen HTTP-Requests erreichbar.Erhöht Score

AC:H

Attack Complexity: High

Der Exploit muss auf das Speicherlayout jedes Ziels abgestimmt werden; es ist kein Copy-and-paste mit einem Request.Senkt Score

AT:P

Attack Requirements: Present

Der Erfolg hängt von Einsatzbedingungen ab (SAPI, Limits, Worker-Wiederverwendung), die der Angreifer nicht kontrolliert.Senkt Score

PR:N

Privileges Required: None

Kein Konto, kein Login.Erhöht Score

UI:N

User Interaction: None

Niemand muss etwas anklicken.Erhöht Score

VC:H / VI:H / VA:H

Auswirkung auf das verwundbare System: High

Vollständiger Verlust von Vertraulichkeit, Integrität und Verfügbarkeit auf dem PHP-Server.Erhöht Score

SC:N / SI:N / SA:N

Auswirkung auf Folgesysteme: None

Der Score zählt das Weiterspringen auf andere Systeme nicht mit — in der Praxis ermöglichen gestohlene Zugangsdaten das oft.Senkt Score

Warum es keine 10 ist

Zwei Metriken ziehen den Score nach unten: AC:H (der Exploit muss über wiederholte Versuche an das Speicherlayout jedes Ziels angepasst werden) und AT:P (der Erfolg hängt davon ab, wie PHP betrieben wird — SAPI, Speicherlimits, Worker-Wiederverwendung).

Alles, was für einen Angreifer am meisten zählt, steht auf der schlechtesten Stufe: über das Netzwerk erreichbar, keine Rechte, keine Benutzerinteraktion, volle Auswirkung auf den Server.

Was das in der Praxis bedeutet

„Schwerer auszunutzen“ ist für geübte Angreifer nur eine Bodenschwelle, und das Embargo ist einen Tag zu früh geplatzt. Behandeln Sie es wie eine 10: erst patchen, später über den Score diskutieren.

Fragen

Was ist der offizielle CVSS-Score von PHP2Shell?+

9.2 (Kritisch) nach CVSS 4.0, für CVE-2026-109618 und CVE-2026-109619, wie in den PHP-Security-Advisories veröffentlicht.

Warum meldeten manche Seiten CVSS 10.0?+

Die CVE-IDs wurden am 20. Oktober 2026, etwa einen Tag vor dem koordinierten Release, zusammen mit einem falschen Score von 10.0 geleakt. Artikel auf Basis des Leaks übernahmen ihn. Die PHP Foundation bestätigte später, dass 10.0 falsch war.

Heißt 9.2 statt 10.0, dass es weniger dringend ist?+

Nein. Der Unterschied ergibt sich daraus, dass der Exploit an jedes Ziel angepasst werden muss (hohe Komplexität, Angriffsvoraussetzungen vorhanden). Es bleibt Remote Code Execution ohne Authentifizierung über das Netzwerk, mit gemeldeten ersten Angriffen. Mit höchster Priorität patchen.

Verwandte Seiten