PHP2Shell: Zwei kritische PHP-Lücken machen Webserver angreifbar, Updates sind da

Das PHP-Projekt hat am 21. Oktober 2026 um 14 Uhr UTC, also 16 Uhr deutscher Zeit, außerplanmäßig die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie schließen zwei kritische Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619, die das Projekt jeweils mit 9,2 von 10 Punkten nach CVSS 4.0 bewertet. Beide erlauben es, ohne Anmeldung Code auf dem Webserver auszuführen. Unter dem Namen PHP2Shell, angelehnt an die Log4j-Lücke Log4Shell, warnen das BSI, der EU-Sicherheitsdienst CERT-EU und das britische NCSC. Brisant ist der Ablauf: Technische Details waren schon Stunden vor dem Update öffentlich.

Was hinter den Lücken steckt

Beide Fehler sitzen im Kern von PHP, nicht in einer bestimmten Anwendung. Bei CVE-2026-109618 kann PHP bei Speichermangel unterbrochen werden, während interne Anfragedaten erst teilweise angelegt sind. Beim Aufräumen nach der Anfrage behandelt PHP diese unvollständigen Daten dann als gültig. Bei CVE-2026-109619 überlebt interner Zustand einer Anfrage, obwohl der zugehörige Speicher schon freigegeben ist. Eine spätere Anfrage an denselben Prozess kann diesen veralteten Zustand nutzen, bevor er zurückgesetzt wird.

Betroffen sind nach Angaben des PHP-Projekts alle Installationen, die Webanfragen verarbeiten, ob über PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed. Am größten sei das Risiko bei mod_php. Dort genüge eine einzige Anfrage ohne Anmeldung, um den Angriff auszulösen, noch bevor der Code der eigentlichen Anwendung läuft. Ob eine Website mit WordPress, einem Shop oder einer eigenen Anwendung betrieben wird, spielt also keine Rolle.

Das auf Onlineshops spezialisierte Sicherheitsunternehmen Sansec nennt alle Versionen ab PHP 5.4 als betroffen. Die Forscher hätten die Codeausführung unter anderem bei Magento, WordPress, Drupal, Joomla, Nextcloud, Laravel und phpMyAdmin vorgeführt. Über eine der Lücken lasse sich außerdem Speicher anderer Anfragen auslesen, in dem Passwörter, Sitzungsschlüssel oder API-Schlüssel liegen können.

Gefunden mit KI, verraten vor dem Patch

Gefunden haben die Fehler die Sicherheitsfirmen Calif und Wiz unabhängig voneinander, beteiligt waren auch OpenAI und Quarkslab. Nach der von Sansec veröffentlichten Zeitleiste meldete Calif den ersten Fehler am 11. August an PHP, Wiz folgte am 24. August. Laut Wiz haben aktuelle KI-Modelle den Aufwand deutlich gesenkt, aus den seit Jahren bestehenden Fehlern einen funktionierenden Angriff zu bauen.

Die geordnete Veröffentlichung ging trotzdem schief. Am 20. Oktober kündigte PHP das Notfall-Update an, am selben Tag gelangten Details an die Öffentlichkeit. Laut Sansec meldete Cloudflare am Morgen des 21. Oktober, Stunden vor dem Patch, erste Angriffe. Das Sicherheitsunternehmen watchTowr berichtet ebenfalls von Angriffsversuchen in seinen Fallen. Das BSI sprach in seiner Warnung dagegen noch von unbestätigten Berichten.

Mehrere Betreiber nahmen ihre Dienste vorsorglich vom Netz, darunter der Rechnungsdienst easybill und die Wiki-Plattform wiki.gg. CERT-EU und NCSC raten genau dazu, wenn ein System nicht sofort aktualisiert werden kann. Der Sicherheitsforscher Kevin Beaumont rechnet mit einer Welle von Vorfällen.

Eine der größten Schwachstellen seit Jahren.

So fasst Beaumont die Lage zusammen, zitiert von Help Net Security.

Alte PHP-Versionen sind das eigentliche Problem

Offizielle Updates gibt es nur für die Zweige 8.2 bis 8.5. PHP 8.1 und ältere Versionen pflegt das Projekt nicht mehr. Für 7.4, 8.0 und 8.1 hat das Sicherheitsteam zwar minimale Korrekturen im Quellcode bereitgestellt, die richten sich aber an Betreiber, die PHP selbst übersetzen. Linux-Distributionen und Anbieter mit Langzeitpflege haben die Korrekturen vorab erhalten und liefern teils eigene Pakete. Wer PHP über das verbreitete Paketarchiv von Remi bezieht, bekam am Veröffentlichungstag noch keine Aktualisierung.

Wie groß dieser Rest ist, zeigt eine Auswertung von VirusTotal. Unter den aus dem Internet erreichbaren Servern, die ihre PHP-Version preisgeben, liefen am 21. Oktober rund 272.000 auf einem unterstützten Zweig, aber rund 758.000 auf einem veralteten zwischen 5.4 und 8.1. Die Zahlen sind Schätzungen und umfassen nur ServerHostingDer Speicherplatz auf einem Server, auf dem Ihre Website läuft.Im Glossar ansehen →, die ihre Version offenlegen.

Übergangslösungen helfen nur begrenzt

Das PHP-Projekt nennt Einstellungen, die bekannte Angriffswege erschweren, und betont, dass sie eine Installation nicht sicher machen. Dazu gehören session.upload_progress.enabled = 0 und memory_limit = -1, ein knapp gesetztes post_max_size sowie Grenzen für Anfragegröße und Anzahl der Formularteile direkt am Webserver. Die Einstellungen müssen in der php.ini oder der Serverkonfiguration stehen, nicht per ini_set() oder .user.ini, und die PHP-Prozesse müssen danach neu starten. Sansec rät für den Notfall zusätzlich, multipart/form-data-Anfragen am Webserver zu sperren, was allerdings Datei-Uploads und unter Umständen den Bestellabschluss im Shop lahmlegt. Cloudflare hat Filterregeln gegen die bekannten Angriffsmuster ausgerollt, auch für Kunden im kostenlosen Tarif.

Was das für Ihr Unternehmen heißt

• Heute prüfen, welche PHP-Version läuft: Auf jeder Website, jedem Shop und jedem internen Werkzeug mit PHP muss mindestens 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 laufen. Bei einem Hoster lassen Sie sich das Update schriftlich bestätigen.
• Vergessene Systeme einbeziehen: Alte Testinstanzen, Microsites, Intranet-Tools oder ein phpMyAdmin auf dem Server sind genauso angreifbar wie die Hauptseite.
• Veraltete Versionen nicht schönrechnen: Wer noch PHP 8.1 oder älter betreibt, braucht jetzt entweder ein Paket mit nachgereichter Korrektur oder den Umstieg. Bis dahin ist Abschalten die sicherere Wahl.
• Nach einem Angriff suchen, nicht nur patchen: War ein System schon am 21. Oktober offen erreichbar, sollten Logs geprüft und Zugangsdaten, Sitzungsschlüssel und API-Schlüssel erneuert werden.
• PHP 8.2 im Blick behalten: Der Zweig bekommt nur noch bis zum 31. Dezember 2026 Sicherheitsupdates. Ein Umstieg auf 8.4 oder 8.5 gehört auf die Planung für die nächsten Wochen.

Quellen: PHP-Sicherheitshinweis, BSI, Help Net Security, Sansec, VirusTotal, watchTowr, netzwelt, jeweils 20. und 21.10.2026