PHP2Shell: die kritische PHP-Lücke und was zu tun ist

Am 20. Oktober 2026 hat das Sicherheitsteam von PHP ein dringendes Update für zwei kritische Sicherheitslücken angekündigt, am 21. Oktober folgten die Korrekturen. Die beiden Lücken, „PHP2Shell“ getauft, erlauben es jedem, ohne Zugangsdaten Code auf einem Webserver auszuführen. PHP betreibt rund sieben von zehn Websites, deren Technik bekannt ist, darunter alle, die mit WordPress, Joomla, Drupal oder Magento gebaut sind.

Wenn Sie unser Kunde sind, können Sie beruhigt sein: Wir haben PHP bereits für alle unsere Kunden auf eine sichere Version aktualisiert. Sie müssen nichts tun. Wird Ihre Website von jemand anderem betreut, lesen Sie unten, was zu prüfen ist.

Was passiert ist

• 17. Oktober. Amazon registriert auf seinen Köderservern (Honeypots) einen ersten Angriffsversuch, vier Tage bevor die Lücken öffentlich werden.
• 20. Oktober. Die Kennungen der beiden Lücken, CVE-2026-109618 und CVE-2026-109619, kursieren früher als geplant im Netz. Das PHP-Team kündigt die Korrekturen für den nächsten Tag an, einen Tag früher als vorgesehen.
• 21. Oktober. PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 erscheinen. Die Linux-Distributionen hatten die Korrekturen vorab erhalten. Noch am selben Tag melden Amazon und Cloudflare die ersten Angriffe.

Warum es so ernst ist

Beide Lücken haben einen Schweregrad von 9,2 von 10 (CVSS 4.0) und drei Eigenschaften, die selten zusammenkommen:

• Kein Zugang nötig. Eine einzige Anfrage an die Website genügt, ohne Login und Passwort.
• Der Fehler steckt in PHP, nicht in der Website. Ein aktuelles WordPress oder Joomla mit aktuellen Plugins schützt nicht, denn das Problem liegt in der Sprache, auf der sie laufen. Forscher haben den Angriff auf WordPress-, Drupal-, Joomla- und Magento-Installationen vorgeführt.
• Jede Konfiguration ist betroffen. Das PHP-Team stuft jede Installation, die Webseiten ausliefert, als gefährdet ein: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am höchsten ist das Risiko mit mod_php, wo der Angriff beginnen kann, bevor überhaupt Code der Website ausgeführt wird.

Technisch entsteht die erste Lücke (CVE-2026-109618) bei der Behandlung von Speichermangel: Ein Fehler im falschen Moment hinterlässt halb initialisierte Anfragedaten, die die abschließende Bereinigung als gültig behandelt. Bei der zweiten (CVE-2026-109619) bleiben Daten einer Anfrage zurück, nachdem ihr Speicher freigegeben wurde, und die nächste Anfrage im selben Prozess kann sie wiederverwenden. In beiden Fällen können Angreifer Code mit den Rechten des Webservers ausführen.

Zum Zeitpunkt der Veröffentlichung hatte das PHP-Team keine funktionierenden Exploits im Umlauf gefunden. Amazon berichtet jedoch bereits von breiter Ausnutzung, und mehrere Forscher haben die Angriffe unabhängig nachgestellt: Jede nicht aktualisierte Website ist als gefährdet anzusehen.

Welche Versionen sicher sind

• PHP 8.5: ab 8.5.12.
• PHP 8.4: ab 8.4.27.
• PHP 8.3: ab 8.3.36.
• PHP 8.2: ab 8.2.35. Der Support für 8.2 endet allerdings am 31. Dezember 2026, daher lohnt es sich, den Umstieg auf eine neuere Version schon jetzt zu planen.
• PHP 8.1, 8.0 und 7.4: erhalten keine offiziellen Updates mehr. Wegen der Schwere hat das PHP-Team die Korrekturen als Quellcode veröffentlicht, und einige Anbieter liefern sie in aktualisierten Paketen aus. Das ist eine Notlösung: Der richtige Weg ist der Umstieg auf eine unterstützte Version.
• PHP 7.3 und älter: keine Korrektur. Betroffen sind Versionen bis zurück zu PHP 5.4, eine so alte Website muss also sofort aktualisiert werden.

Bei manchen Linux-Distributionen kommt die Korrektur in einem Paket, das die alte Versionsnummer behält. Steht die Nummer, die Sie sehen, nicht in dieser Liste, fragen Sie Ihren Hoster, ob die Korrektur bereits installiert ist.

Was zu tun ist, wenn wir Ihre Website nicht betreuen

1. Prüfen Sie die PHP-Version. Sie finden sie in der Verwaltungsoberfläche Ihres Hosters. In WordPress steht sie unter Werkzeuge → Website-Zustand → Bericht → Server, in Joomla unter System → Systeminformationen.
2. Fragen Sie Ihren Hoster, ob und wann er aktualisiert hat. Beim Shared Hosting ist das Update Sache des Anbieters, nicht Ihre.
3. Verlassen Sie sich nicht auf „Anti-PHP2Shell“-Plugins oder Code-Schnipsel. Die Lücke steckt in der Sprache, ein Plugin kann sie nicht schließen: Die einzige vollständige Lösung ist ein PHP-Update.
4. Suchen Sie nach Spuren eines Einbruchs ab dem 17. Oktober: unbekannte Administratorkonten, unbekannte PHP-Dateien (etwa im Upload-Ordner), veränderte Seiten, wiederholte 500-Fehler. Finden Sie etwas, betrachten Sie den Server als kompromittiert: Aktualisieren Sie ihn, spielen Sie ein sauberes Backup ein und ändern Sie alle Passwörter und Schlüssel, die die Website kennt (Datenbank, FTP, Administratoren, externe Dienste).

Wenn Sie den Server selbst betreiben

Wenn Sie nicht sofort aktualisieren können, nennt das PHP-Team Maßnahmen, die das Risiko verringern, aber nicht beseitigen: memory_limit auf -1 und session.upload_progress.enabled auf 0 auf Serverebene setzen (php.ini oder PHP-FPM-Pool; ini_set() und .user.ini greifen zu spät), unter PHP 8.5 zusätzlich fatal_error_backtraces auf 0, post_max_size senken und alle PHP-Prozesse neu starten. Auch die Firewall-Regeln, die Cloudflare für alle Tarife aktiviert hat, decken nur bereits bekannte Angriffe ab. Das sind Notbehelfe: Die Installation bleibt verwundbar, bis sie aktualisiert ist.

Diesmal reichte es nicht, WordPress und die Plugins aktuell zu halten: Die Lücke steckte in der Sprache, auf der sie laufen. Eine sichere Website braucht jemanden, der sich auch um den Server kümmert.

So arbeiten wir

Sicherheitsupdates des Servers gehören zu unserem Managed Hosting: Wer uns seine Website anvertraut, muss weder Sicherheitsmeldungen verfolgen noch selbst an Updates denken. Liegt Ihre Website woanders und wissen Sie nicht, welche PHP-Version sie nutzt, schreiben Sie uns: Wir prüfen gemeinsam, ob sie gefährdet ist und was nötig ist, um sie abzusichern.

Stand des Artikels: 22. Oktober 2026. Die Lage entwickelt sich weiter: Für die technischen Details ist der offizielle Sicherheitshinweis von PHP maßgeblich.