AKTUELL
PHP2Shell: Updates schließen zwei kritische PHP-Sicherheitslücken
Die als PHP2Shell bezeichneten Sicherheitslücken in PHP können Angreifern erlauben, ohne Anmeldung eigenen Code auf einem Webserver auszuführen. Das PHP-Team hat am 21. Oktober korrigierte Versionen veröffentlicht. Für Betreiber von Websites, Shops und anderen Webanwendungen besteht damit konkreter Handlungsbedarf: Auch europäische Cybersicherheitsstellen rufen zur sofortigen Aktualisierung auf.
Welche PHP-Versionen jetzt aktualisiert werden müssen
Die Fehler tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. In den unterstützten Versionszweigen beseitigen PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 die Schwachstellen. Ältere Ausgaben innerhalb dieser Zweige müssen aktualisiert werden. Die offizielle PHP-Sicherheitsmeldung nennt die korrigierten Versionen und die betroffenen Betriebsarten.
Bei Linux-Paketen ist zusätzlich die Freigabe des jeweiligen Distributors wichtig. Anbieter können Sicherheitskorrekturen in Pakete mit älterer Basisversion zurückübertragen. Eine Versionsnummer allein reicht dann für die Beurteilung nicht aus; maßgeblich ist, ob das konkret installierte Paket die beiden Korrekturen enthält.
PHP 8.1 und ältere Zweige erhalten vom PHP-Projekt keine regulären Updates mehr. Wegen der Schwere der Fehler wurden zwar minimale Quellcode-Korrekturen für PHP 7.4, 8.0 und 8.1 bereitgestellt. Das stellt deren reguläre Unterstützung jedoch nicht wieder her. Wer solche Versionen nutzt, braucht eine bestätigte Korrektur seines Anbieters oder den Wechsel auf einen unterstützten Zweig. Diese Updatewege für ältere Installationen beschreibt auch CERT-EU.
Warum PHP2Shell vor dem eigentlichen Website-Code ansetzen kann
Die Schwachstellen liegen in PHP selbst, also in der Software, die auf dem Server Anfragen verarbeitet und Anwendungen ausführt. Beim ersten Fehler kann ein Abbruch wegen erschöpften Arbeitsspeichers interne Daten in einem unvollständig vorbereiteten Zustand hinterlassen. Beim anschließenden Aufräumen behandelt PHP diese Daten möglicherweise so, als wären sie gültig. Die technische Sicherheitsbeschreibung dokumentiert daraus entstehende Möglichkeiten zur Codeausführung.
Beim zweiten Fehler bleiben interne Verweise auf Daten einer früheren Anfrage erhalten, obwohl deren Speicher bereits freigegeben wurde. Eine spätere Anfrage im selben Arbeitsprozess kann auf diesen ungültigen Zustand zugreifen. Auch dafür beschreibt das PHP-Team eine mögliche Ausführung fremden Codes.
Als besonders riskant bewertet das Projekt Apache mit mod_php: Dort wurde ein Angriff demonstriert, der bereits vor dem Start des eigentlichen Anwendungscodes ansetzt. Auch PHP-FPM, php-cgi, FrankenPHP und LiteSpeed müssen geprüft werden. Die genaue Ausnutzbarkeit hängt von Betriebsart, Konfiguration und erreichbaren Verarbeitungspfaden ab.
Auch WordPress und eingebettete Webdienste brauchen Prüfung
Für eine WordPress-Seite bedeutet das: Ein aktuelles WordPress samt aktualisierten Erweiterungen bestätigt noch keinen korrigierten PHP-Unterbau. Diese Softwareebene verwaltet häufig der Hostinganbieter. Betreiber sollten deshalb ausdrücklich nach den beiden CVE-Kennungen und dem eingesetzten PHP-Paket fragen.
Einen ersten Anhaltspunkt liefert im WordPress-Backend „Werkzeuge → Website-Zustand → Bericht → Server“. Die WordPress-Dokumentation zum Website-Zustand beschreibt die dort abrufbaren Serverinformationen. Die eigentliche Aktualisierung erfolgt über die Hostingverwaltung oder den zuständigen Serverbetreiber.
Die Bestandsaufnahme sollte außerdem Anwendungen einschließen, die PHP mitbringen oder im Hintergrund verwenden. ENISA weist ausdrücklich auf diesen weniger sichtbaren Einsatz hin. Das kann auch selbst betriebene Webanwendungen auf einem NAS betreffen. Welche Rolle dabei VPN, Portfreigaben und Reverse Proxy beim Fernzugriff spielen, hängt vom gewählten Zugangsweg ab. Ob eine konkrete NAS-App betroffen ist, muss deren Anbieter bestätigen.
Angriffsversuche gemeldet, Ausmaß weiter offen
Der Sicherheitsanbieter watchTowr meldet aktive Ausnutzungsversuche gegen beide Schwachstellen. Diese Beobachtung ist als Angabe des Unternehmens einzuordnen. Sie liefert keine belastbare Gesamtzahl kompromittierter Server und keinen Nachweis dafür, dass eine bestimmte Website angegriffen wurde.
Für die Priorisierung ist vor allem entscheidend, welche verwundbaren PHP-Dienste aus dem Internet erreichbar sind. Die europäischen Stellen empfehlen, solche Systeme zuerst zu aktualisieren. Wenn das kurzfristig nicht möglich ist, sollen Verantwortliche eine vorübergehende Trennung betroffener Anwendungen vom öffentlichen Netz erwägen, bis die Korrektur eingespielt werden kann.
Updates einspielen und den laufenden Betrieb prüfen
Nach der Installation muss sichergestellt sein, dass die laufenden PHP-Prozesse tatsächlich den korrigierten Stand verwenden. watchTowr empfiehlt dafür den Neustart sämtlicher PHP-Arbeitsprozesse. Bei verwaltetem Hosting sollte der Anbieter bestätigen, dass die Umstellung wirksam abgeschlossen ist.
Das PHP-Team beschreibt ergänzende Einstellungen, die einzelne Angriffswege erschweren können. Es betont zugleich, dass diese Maßnahmen keinen vollständigen Schutz herstellen. Eine geänderte Upload- oder Speichereinstellung ersetzt deshalb das Sicherheitsupdate nicht.
Bei verdächtigen Dateien, unerwarteten Prozessen oder anderen Auffälligkeiten ist zusätzlich eine Untersuchung nötig. Ein Update schließt die Schwachstellen, entfernt aber keine bereits eingeschleusten Programme. Für Websitebetreiber zählt damit neben dem korrigierten PHP-Paket auch die Frage, ob der bisherige Betrieb Anzeichen eines Einbruchs zeigt.
Stand der Recherche: 22. Oktober 2026, 11:43 Uhr MESZ.
Hauptquellen
- PHP-Projekt: Sicherheitsmeldung und korrigierte Versionen vom 21. Oktober
- PHP-Projekt: Technische Beschreibung zu CVE-2026-109618 und CVE-2026-109619
- ENISA: Gemeinsame europäische Warnung und CERT-EU: Betroffene Systeme und Updatewege
- watchTowr: Angaben zu PHP2Shell und beobachteten Ausnutzungsversuchen
- WordPress: Serverinformationen im Website-Zustand
Transparenzhinweis: Der Beitrag beruht auf den Sicherheitsveröffentlichungen des PHP-Projekts, Behördenhinweisen und den verlinkten technischen Quellen. Angaben zu Ausnutzungsversuchen stammen von watchTowr. gadgetChecks hat keine eigenen Angriffe nachgestellt und keine einzelnen Hostingangebote oder NAS-Apps auf Betroffenheit geprüft.
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
Mehr auf gadgetChecks
Entdecke mehr bei gadgetChecks
gadgetChecks Technik
Tests, Kaufberatung, Technik-News, Ratgeber, Streaming und aktuelle Angebote.
Technikmagazin öffnenWas sich für dich ändert
Regeln, Fristen, Kosten und Warnungen mit ihren konkreten Folgen für Verbraucher.
Alltag Aktuell öffnenGames, Plattformen und Deals
Aktuelle Meldungen zu Releases, Konsolen, PC Gaming, Mobile, Studios und Abos.
Gaming öffnenProdukte, Angebote und Ideen
Neues für Küche, Reinigung, Wohnen, Garten und Balkon – verständlich und praktisch eingeordnet.
Zuhause öffnenPflege, Kosmetik und Geräte
Produkte und Wissen für Frauen und Männer – ehrlich getestet und verständlich eingeordnet.
Gepflegt öffnenTraining, Ernährung und Supplements
Sport, Ausrüstung und Nahrungsergänzung – verständlich erklärt und kritisch eingeordnet.
Sport & Supplements öffnen
