PHP2Shell: Was die kritische PHP-Lücke für dein Unternehmen bedeutet

PHP2Shell ist der Name für zwei kritische Lücken in PHP selbst: CVE-2026-109618 und CVE-2026-109619. Beide erlauben es Angreifern, ohne Login eigenen Code auf deinem Server auszuführen. Das PHP-Projekt hat sie am 21.10.2026 mit den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 geschlossen. Wenn deine Website, dein Shop oder dein Kundenportal mit PHP läuft und noch eine ältere Version nutzt, solltest du jetzt handeln.

Dieser Artikel erklärt, was hinter den Lücken steckt, wer betroffen ist und was du konkret tun solltest.

Was ist PHP2Shell?

Hinter dem Namen stecken zwei Fehler in der Art, wie PHP einzelne Anfragen an den Server verarbeitet:

• CVE-2026-109618: Ein Speichermangel (Out of Memory) unterbricht die Vorbereitung einer Anfrage. Beim Aufräumen behandelt PHP danach ungültige Daten als gültig.
• CVE-2026-109619: Daten einer Anfrage bleiben erhalten, obwohl ihr Speicher schon freigegeben wurde. Eine spätere Anfrage an denselben Prozess kann diese Reste nutzen.

Beide Lücken haben die Bewertung CVSS 9.2 (Version 4.0). Das ist der kritische Bereich. Entscheidend ist: Ein Angreifer braucht weder ein Konto noch ein Passwort. Eine präparierte Anfrage an deinen Server genügt.

Laut The Hacker News wurden die Lücken von Wiz Research, Calif und dem Team Codex Security von OpenAI gefunden.

Wer ist betroffen?

Betroffen ist jede PHP-Installation, die Web-Anfragen verarbeitet. Das gilt für alle üblichen Betriebsarten:

• PHP-FPM (häufig mit nginx)
• Apache mit mod_php
• php-cgi
• FrankenPHP
• LiteSpeed

Das höchste Risiko besteht bei mod_php. Dort wurde ein Angriff gezeigt, der greift, bevor überhaupt Code deiner Anwendung läuft. Ob du WordPress, Laravel, Shopware oder eine eigene Anwendung nutzt, spielt also keine Rolle. Die Lücke sitzt in PHP selbst.

Das BSI schreibt in seinem Sicherheitshinweis vom 22.10.2026, dass alle PHP-Versionen betroffen sind, zurück bis mindestens PHP 5. Ein Proof of Concept, also ein Beispielangriff, ist öffentlich.

Wie ernst ist die Lage?

Sehr ernst. Das BSI hat die Lücken mit Kritikalität 3, Stufe Orange eingestuft. Das bedeutet: Maßnahmen müssen unverzüglich ergriffen werden.

Weitere Punkte aus dem BSI-Hinweis:

• Einige Betreiber haben Server vorsorglich vom Netz genommen.
• Vollständigen Schutz bieten laut BSI nur das Patchen oder das Trennen vom Internet.
• Berichte, die Patches seien unvollständig, wurden laut BSI widerlegt.
• Es gab Angriffsversuche vor und nach Erscheinen des Patches. Bestätigte erfolgreiche Angriffe in der regulierten Wirtschaft oder der Bundesverwaltung waren beim Stand des Hinweises nicht bekannt.

Laut The Hacker News hat Cloudflare am 21.10.2026 Schutzregeln in seiner Web Application Firewall aktiviert. Die Sicherheitsfirma watchTowr meldete am selben Tag aktive Angriffsversuche. In den Niederlanden waren laut demselben Bericht die Bürgerportale MijnOverheid und DigiD vorsorglich offline.

Welche PHP-Versionen schützen?

Die Lücken sind in diesen Versionen behoben:

Versionszweig	Sichere Version ab
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35

Für PHP 7.4, 8.0 und 8.1 gibt es keine offiziellen Releases mit dem Fix. Das PHP-Projekt hat nur minimale Korrekturen im Quellcode bereitgestellt. Wer eine dieser Versionen betreibt, ist auf seinen Hoster oder Distributor angewiesen und sollte den Wechsel auf eine unterstützte Version sofort planen. Mehr dazu im Artikel PHP 8.2 bekommt ab 2027 keine Sicherheitsupdates mehr.

Hilft eine Änderung der Konfiguration?

Nur teilweise. Das PHP-Projekt schreibt ausdrücklich, dass keine Konfigurationsänderung die Lücken vollständig behebt. Bis zum Update können diese Einstellungen das Risiko senken:

; nur als Übergang, ersetzt kein Update
memory_limit = -1                      ; per php_admin_value setzen
post_max_size = 8M                     ; so niedrig wie für deine Anwendung möglich
session.upload_progress.enabled = 0
; nur unter PHP 8.5 zusätzlich:
fatal_error_backtraces = 0

memory_limit = -1 hebt die Speichergrenze auf. Das kann auf einem ausgelasteten Server eigene Probleme verursachen. Setze es nur bewusst und nur bis zum Update.

Was ist seit dem 21.10. noch passiert?

Zwei Folgemeldungen des PHP-Projekts solltest du kennen:

• 23.10.2026: Ein Hinweis zur Funktion Session Upload Progress. Eine weitere Lücke, CVE-2026-115560, wird mit dem nächsten Release veröffentlicht. Bis dahin empfiehlt das PHP-Projekt session.upload_progress.enabled=0.
• 26.10.2026: Neue Windows-Builds (8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1). Sie enthalten Brotli 1.2.1 gegen CVE-2026-111497, einen Speicherfehler, der über cURL mit automatischer Dekompression erreichbar ist. Wenn du PHP unter Windows betreibst, brauchst du diese Builds zusätzlich.

Was solltest du jetzt tun?

Arbeite diese Schritte der Reihe nach ab:

1. Version prüfen. Auf dem Server zeigt php -v die Version der Kommandozeile. Die Website kann aber mit einer anderen Version laufen. Prüfe deshalb auch die Einstellungen beim Hoster. Alternativ legst du kurz eine Datei mit <?php phpinfo(); an, rufst sie auf und löschst sie sofort wieder. Eine öffentliche phpinfo-Seite verrät Angreifern viel über deinen Server.
2. Hoster fragen. Bei Shared Hosting oder Managed Servern spielt meist der Anbieter das Update ein. Frag schriftlich nach, ob und wann die gepatchte Version läuft.
3. Patchen. Auf eigenen Servern aktualisierst du PHP auf mindestens die Versionen aus der Tabelle. Danach PHP-FPM bzw. den Webserver neu starten, sonst läuft der alte Code weiter.
4. Übergangsschutz setzen. Bis das Update eingespielt ist, die Einstellungen aus dem Abschnitt oben setzen. Wer eine Web Application Firewall nutzt, prüft, ob passende Regeln aktiv sind.
5. Logs prüfen. Schau dir die Zugriffs- und Fehlerprotokolle seit dem 20.10.2026 an. Auffällig sind ungewöhnlich große Anfragen, gehäufte Speicherfehler (Out of Memory) und unbekannte Dateien in Upload- oder Cache-Ordnern.
6. Bei Verdacht nicht selbst aufräumen. Wenn du Spuren eines Angriffs findest, sichere zuerst die Protokolle und hole Hilfe. Ein voreiliges Löschen vernichtet Beweise und lässt oft Hintertüren zurück.

Was oft gleichzeitig ansteht

PHP2Shell betrifft die Laufzeitumgebung. Die Anwendungen darauf haben eigene Baustellen, die in denselben Wochen fällig wurden:

• WordPress: Mit Version 7.1.2 vom 22.09.2026 hat WordPress die Lücke CVE-2026-87902 geschlossen. Ohne Login ließ sich über die Template-Auflösung eine lokale PHP-Datei einbinden, unter bestimmten Voraussetzungen bis zur Codeausführung. Laut Canadian Cyber Centre wurde die Lücke am 25.09.2026 in den Katalog aktiv ausgenutzter Lücken der US-Behörde CISA aufgenommen. Am 06.10.2026 folgte WordPress 7.1.3 mit sieben weiteren Sicherheitskorrekturen.
• Laravel: Laut Rapid7 erlaubt CVE-2026-114509 im TokenGuard des Frameworks unter MySQL oder MariaDB die Übernahme von Konten ohne Login. Die Bewertung liegt laut Rapid7 bei CVSS 9.2, behoben in Laravel 12.68.0 und 13.29.0. Laut Rapid7 ist ein Beispielangriff öffentlich.

Wenn du ohnehin PHP aktualisierst, prüfe in einem Durchgang auch CMS, Framework und Erweiterungen.

Was lehrt uns PHP2Shell?

Die meisten Firmen merken erst bei einer solchen Lücke, dass niemand genau weiß, welche PHP-Version wo läuft. Drei Gewohnheiten helfen dauerhaft:

• Eine aktuelle Liste aller Systeme mit PHP, mit Version und Zuständigem.
• Ein fester Update-Rhythmus, damit kritische Patches in Stunden eingespielt sind, nicht in Wochen.
• Nur unterstützte Versionen. Für PHP 8.1 und älter gab es diesmal keine offiziellen Releases. Das wird bei der nächsten Lücke nicht anders sein.

Ähnliche Fragen stellen sich im JavaScript-Umfeld. Dazu passen die Artikel Node.js 20 ist am Ende und Supply-Chain-Angriffe über npm und Composer. Wer selbst Software anbietet, sollte außerdem die Meldepflichten aus dem Cyber Resilience Act kennen.

Wie HR CodeLabs dir hilft

Wir betreuen PHP- und Node.js-Anwendungen für den Mittelstand. Bei Lücken wie PHP2Shell unterstützen wir dich mit vier Leistungen:

• Sicherheits-Check: Wir prüfen deine PHP-Anwendungen und Server auf Lücken und veraltete Versionen.
• Update- & Wartungsservice: Wir spielen Updates und Patches laufend ein und behalten deine Systeme im Blick.
• Migration alter Versionen: Wir heben alte PHP-Versionen und Frameworks auf aktuelle, unterstützte Versionen.
• Notfallhilfe nach Angriff: Wenn eine Lücke schon ausgenutzt wurde, helfen wir schnell beim Eingrenzen, Aufräumen und Absichern.

Alle Details findest du unter Sicherheit & Wartung. Oder du buchst direkt ein Erstgespräch, und wir schauen gemeinsam, wo du stehst.