PHP2Shell: Kritische PHP-Lücke – was Unternehmen jetzt tun müssen
Am 21. Oktober 2026 hat das PHP-Projekt Notfall-Updates für zwei kritische Sicherheitslücken veröffentlicht, die unter dem Namen „PHP2Shell“ bekannt geworden sind. Über sie können Angreifer ohne Anmeldung eigenen Programmcode auf einem Webserver ausführen. Weil PHP die Grundlage für einen großen Teil aller Websites ist – darunter WordPress, viele Online-Shops und zahlreiche individuelle Web-Anwendungen –, betrifft das auch viele kleine und mittlere Unternehmen.
Was ist passiert?
Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und sind vom PHP-Projekt als kritisch eingestuft (CVSS 9,2 von 10). Die erste nutzt einen Fehler aus, der auftritt, wenn PHP während einer Anfrage an seine Speichergrenze stößt. Die zweite entsteht, weil interne Daten einer Anfrage nach deren Ende weiterleben und von der nächsten Anfrage fälschlich verwendet werden können. In beiden Fällen kann ein präparierter Aufruf von außen genügen, um Code mit den Rechten des Webservers auszuführen. Entdeckt wurden die Fehler von Sicherheitsforschern mehrerer Unternehmen; behoben sind sie in PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12.
Warum die Lücken vorzeitig bekannt wurden
Normalerweise werden solche Lücken erst veröffentlicht, wenn die Updates bereitstehen. Diesmal kursierten die Kennungen schon am 20. Oktober im Netz, kurz darauf erschien ein Video, das einen Angriff zeigte. Das PHP-Projekt zog die Veröffentlichung daraufhin um einen Tag vor. Zusätzlich wirft es dem Sicherheitsanbieter Chainguard vor, korrigierte Pakete einige Stunden vor dem vereinbarten Termin veröffentlicht zu haben – Chainguard bestreitet, die Sperrfrist gebrochen zu haben, und verweist auf bereits laufende Angriffe. Für Website-Betreiber heißt das vor allem: Zwischen Bekanntwerden und ersten Angriffen lag kaum Zeit. Sicherheitsfirmen berichten von Angriffsversuchen schon am Tag der Veröffentlichung.
Bist du betroffen?
Laut PHP-Projekt sind alle PHP-Installationen betroffen, die Web-Anfragen beantworten – egal ob PHP über PHP-FPM, Apache (mod_php), FrankenPHP oder LiteSpeed läuft. Nutzt deine Website WordPress, einen PHP-basierten Shop wie Shopware, WooCommerce oder Magento oder eine individuelle Web-Anwendung, ist PHP mit sehr hoher Wahrscheinlichkeit im Spiel. Besonders heikel sind veraltete Installationen: Für PHP 8.1 und älter gibt es keine offiziellen Updates mehr, nur einzelne Anbieter und Linux-Distributionen liefern eigene Korrekturen nach.
Diese Fragen solltest du jetzt stellen
Wenn du deine Website nicht selbst betreust, kläre mit deiner Agentur oder deinem Hoster drei Dinge. Erstens: Läuft der Server inzwischen mit PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer – oder mit einer Version, für die der Anbieter die Korrektur nachweislich nachgeliefert hat? Zweitens: Wurde geprüft, ob es zwischen dem 20. Oktober und dem Update Anzeichen für einen Einbruch gab, etwa unbekannte Dateien im Webverzeichnis oder ungewöhnliche Prozesse? Drittens: Gibt es einen Plan für Systeme, die auf einer nicht mehr unterstützten PHP-Version laufen? Laut PHP-Projekt ist das Update die einzige vollständige Lösung; Einstellungen wie das Abschalten des Upload-Fortschritts für Sessions verringern das Risiko nur.
Mein Fazit: Updates sind keine Nebensache
PHP2Shell zeigt, wie schnell aus einer Meldung ein echtes Risiko wird. Wer Updates einspielt, wenn gerade Zeit ist, kommt bei solchen Lücken zu spät. Für die von mir betreuten Projekte habe ich das Update direkt nach der Veröffentlichung umgesetzt. Wenn du unsicher bist, ob deine Website betroffen ist, schaue ich sie mir gerne an – unverbindlich und ohne Verkaufsdruck.
Quellen
Fragen zu diesem Thema?
Ich helfe dir gerne weiter – persönlich, verständlich und ohne Verkaufsdruck.
