Zeitleiste

Zeitleiste der PHP2Shell-Offenlegung

Zwei Jahre vom ersten Hinweis bis zum Fix — und ein letzter Tag, an dem das Embargo an mehreren Stellen platzte. Alle Zeiten in UTC.

Zuletzt geprüft 2026-10-22

  1. 2024

    Von OSTIF organisiertes Quarkslab-Audit von PHP. Das OOM-Problem fällt erstmals beim Beheben einer anderen Meldung auf.

    Quelle: PHP Foundation

  2. 2026-05

    Die PHP Foundation gründet ihr Ecosystem Security Team.

    Quelle: PHP Foundation

  3. 2026-07

    Alexandre Daubois kommt zur Foundation; Calif beginnt sein Audit (30. Juli) im Rahmen von Patch the Planet.

    Quelle: PHP Foundation

  4. 2026-08-11

    Calif und OpenAI melden unabhängig voneinander dieselbe OOM-Ursache.

    Quelle: PHP Foundation

  5. 2026-08-19

    Wiz Research findet seinen ersten PHP-Bug; RCE ohne Authentifizierung auf Drupal (20. Aug.) und WordPress (21. Aug.).

    Quelle: Wiz

  6. 2026-08-24

    Wiz meldet dem PHP-Security-Team weitere Angriffsvektoren.

    Quelle: Wiz / PHP Foundation

  7. 2026-09-09

    Daniel Scherzer stößt zur Security-Arbeit der Foundation.

    Quelle: PHP Foundation

  8. 2026-09-18

    OpenAI meldet weitere Vektoren.

    Quelle: PHP Foundation

  9. 2026-09-21

    PHP bestätigt die Wiz-Meldungen und startet einen koordinierten Fix.

    Quelle: Wiz

  10. 2026-10-20 15:00 UTC

    CVE-IDs kursieren in Foren und sozialen Medien, mit einem falschen CVSS von 10.0.

    Quelle: PHP Foundation

  11. 2026-10-20 19:30 UTC

    PHP veröffentlicht seine Vorankündigung früher als geplant.

    Quelle: PHP Foundation

  12. 2026-10-20 ~20:00 UTC

    Calif veröffentlicht versehentlich ein Video seines Proof of Concept.

    Quelle: PHP Foundation

  13. 2026-10-20 23:00 UTC

    Hinweise zu Workarounds gehen an einige Betreiber kritischer Infrastruktur und sind möglicherweise durchgesickert.

    Quelle: PHP Foundation

  14. 2026-10-21 03:02 UTC

    Cloudflare-WAF-Regeln gehen für alle Pläne live, auch Free.

    Quelle: Cloudflare

  15. 2026-10-21 07:41 UTC

    Chainguard liefert gepatchte Images aus und bricht das Embargo um mehr als sechs Stunden.

    Quelle: PHP Foundation

  16. 2026-10-21 11:51 UTC

    BambooHR nimmt seinen Dienst vorsorglich vom Netz (USA, Kanada, Irland).

    Quelle: BambooHR status page

  17. 2026-10-21 (CEST)

    Niederländische Behörden- und Bildungsseiten, darunter DigiD und MijnOverheid, gehen vorsorglich vom Netz.

    Quelle: NOS

  18. 2026-10-21 14:00 UTC

    Koordiniertes Release: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 sowie Quellcode-Backports für 7.4, 8.0, 8.1. Ursprünglich für den 22. Okt. geplant.

    Quelle: php.net / PHP Foundation

  19. 2026-10-21 15:03 UTC

    BambooHR meldet, dass der Fix eingespielt ist und getestet wird.

    Quelle: BambooHR status page

Warum das Release um einen Tag vorgezogen wurde

Das koordinierte Release war für den 22. Oktober, 14:00 UTC, angesetzt. Ab dem Nachmittag des 20. Oktober kursierten die CVE-IDs öffentlich (mit einem falschen Score von 10.0), ein Proof-of-Concept-Video wurde versehentlich veröffentlicht, und Hinweise an Betreiber kritischer Infrastruktur sind möglicherweise durchgesickert. Am Morgen des 21. Oktober lieferte Chainguard gepatchte Images mehr als sechs Stunden zu früh aus. PHP veröffentlichte an diesem Tag um 14:00 UTC.

Laut PHP Foundation hatte ihr Security-Team seit dem 1. Juli 15 CVEs veröffentlicht und im selben Zeitraum mehr als 100 ungültige, doppelte oder nicht reproduzierbare Meldungen bearbeitet.

Wer was getan hat

Calif

Audit im Rahmen von „Patch the Planet“ ab dem 30. Juli; meldete die OOM-Ursache am 11. August, unabhängig von OpenAI.

OpenAI Codex Security

Meldete dieselbe Ursache am 11. August und weitere Vektoren am 18. September.

Wiz Research

Fand ab dem 19. August weitere Angriffspfade, demonstrierte Pre-Auth-RCE auf Drupal, WordPress und Joomla, meldete am 24. August.

PHP-Security-Team

Entwickelte den Fix (weiche/harte OOM-Limits statt longjmp) und Releases für 8.2–8.5 sowie Quellcode-Backports für 7.4–8.1.

PHP Foundation

Finanziert das im Mai 2026 gegründete Ecosystem Security Team; veröffentlichte die Nachbetrachtung der Offenlegung.

Release-Zeit in Ihrer Zeitzone

ZeitzonePatch veröffentlicht
UTC14:00
USA Pazifik (PDT, UTC−7)07:00
USA Central (CDT, UTC−5)09:00
USA Ostküste (EDT, UTC−4)10:00
UK (BST, UTC+1)15:00
Mitteleuropa (MESZ, UTC+2)16:00
Indien (IST, UTC+5:30)19:30
China / HK / SG (UTC+8)22:00
Japan (JST, UTC+9)23:00
Sydney (AEDT, UTC+11)01:00

Verwandte Seiten