php -v zeigt nach dem Patch noch die alte Version? Bei Ubuntu, RHEL & Co. oft normal: Fixes werden zurückportiert, die Versionsnummer bleibt.

Debian/Ubuntu: apt changelog php8.3-fpm | grep CVE-2026-109618
RHEL & Co.: rpm -q --changelog php-fpm | grep CVE-2026-109618
Danach php-fpm bzw. Apache neu starten.

Upstream gefixt: 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (PHP2Shell, CVE-2026-109618)
Details: https://stackwatch.de/blog/php2shell-cve-2026-109618?utm_source=telegram&utm_medium=social&utm_campaign=php-v-luegt

Video und Stimme: KI-generiert.

Dependabot: alles grün. Dein PHP: trotzdem betroffen.

PHP2Shell (CVE-2026-109618) ist eine kritische RCE im PHP-Kern, ausnutzbar ohne Login. Dependabot prüft Pakete, nicht deine Runtime.

Check: php -v
Gefixt ab 8.2.35, 8.3.36, 8.4.27, 8.5.12. Darunter: updaten und Worker neu starten.

Quelle: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
Details: https://stackwatch.de/blog/php2shell-cve-2026-109618?utm_source=telegram&utm_medium=social&utm_campaign=php2shell

Video und Stimme: KI-generiert.

HTTP2Shell (CVE-2026-111497) ist keine reine Node.js-Lücke. Der Fehler steckt in Brotli, der Komprimierungs-Bibliothek von Google, und damit in vielen Stacks.

Fix-Versionen:
Brotli (libbrotli): 1.0.10 / 1.1.1 / 1.2.1
Node.js: 22.23.4 / 24.22.1 / 26.12.1 (EOL-Versionen bekommen keinen Fix)
Bun: 1.4.4
Python brotli: 1.2.1, brotlicffi: 1.2.1.0
Envoy (mit Brotli-Decompressor): 1.36.12 / 1.37.8 / 1.38.6 / 1.39.3 / 1.40.0

Wichtig: Ein Update des System-Pakets reicht nicht für Programme mit fest eingebauter Brotli-Kopie. Neu bauen und Prozesse neu starten. Bis dahin: Requests mit Content-Encoding br am Proxy ablehnen.

Quelle: https://github.com/advisories/GHSA-9v8h-qqgm-4m35
Alle Details: https://stackwatch.de/blog/http2shell-cve-2026-111497?utm_source=telegram&utm_medium=social&utm_campaign=http2shell

Video und Stimme: KI-generiert.

Neue kritische Lücke, und die erste Frage ist immer: Betrifft uns das?

Unser kostenloser Check sagt es dir. Version auswählen, inklusive Fix-Version. Der Check läuft komplett im Browser, deine Daten bleiben bei dir. Das Ergebnis gibt es nach kurzer E-Mail-Bestätigung.

Aktuell kritisch:
PHP2Shell (CVE-2026-109618): Fix in PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12
HTTP2Shell (CVE-2026-111497, Brotli): Fix in Node 22.23.4 / 24.22.1 / 26.12.1 und Brotli 1.0.10 / 1.1.1 / 1.2.1
GitLab RCE (CVE-2026-97229 und CVE-2026-110264): Fix in 18.11.13 / 19.0.10 / 19.1.9 / 19.2.9 / 19.3.6 / 19.4.3 / 19.5.1

Zum Check: https://stackwatch.de/check?utm_source=telegram&utm_medium=social&utm_campaign=check-launch

Video und Stimme: KI-generiert.

System-Update gemacht? Dein Node hat trotzdem sein eigenes Brotli.

Node.js, Bun und Python bringen für HTTP2Shell (CVE-2026-111497) eine eigene Brotli-Kopie mit. apt upgrade libbrotli1 hilft da nicht.

So prüfst du es:
node -v → sicher ab 22.23.4 / 24.22.1 / 26.12.1
bun --version → sicher ab 1.4.4
pip show brotli → sicher ab 1.2.1 (brotlicffi: 1.2.1.0)

Danach Prozesse neu starten und Docker-Images neu bauen.

Quelle: GHSA-9v8h-qqgm-4m35
Alle Details: https://stackwatch.de/blog/http2shell-cve-2026-111497?utm_source=telegram&utm_medium=social&utm_campaign=http2shell-cve-2026-111497&utm_content=brotli-3-befehle

Video und Stimme: KI-generiert.

Python-Sicherheitsupdate wegen der kompromittierten eMudhra-Zertifikate (CVE-2026-115557).

Fix: Python 3.15.2 / 3.14.10 / 3.13.18 / 3.12.16 / 3.11.18. Das ssl-Modul blockt die Schlüssel jetzt direkt.

Kein schnelles Update möglich? pip ab 26.2.2 und certifi ab 2026.10.19 in jeder venv aktualisieren, Docker-Images ohne Layer-Cache neu bauen.

Quelle: https://www.python.org/downloads/release/python-31410/
Zum Check: https://stackwatch.de/check?utm_source=telegram&utm_medium=social&utm_campaign=python-emudhra

Video und Stimme: KI-generiert.

UpdraftPlus-Update gemacht? Dann bist du noch nicht fertig.

Angreifer nutzten gültige UpdraftCentral-Schlüssel für Backdoor-Plugins (99 Namen, keine CVE). Update 1.26.13 / 2.26.13 macht alte Schlüssel ungültig, entfernt aber keine Backdoors und keine Admin-Konten.

Prüf: Editor-Konten, die du nicht kennst. Plugins, die du nie installiert hast. UpdraftCentral-Schlüssel selbst löschen. Bei Verdacht: Backup von vor dem 17.10. einspielen, Admin-Passwörter ändern.

Quellen: TeamUpdraft, Patchstack. Video und Stimme: KI-generiert.