PHP2Shell: Was Website-Betreiber jetzt tun müssen
Zwei kritische PHP-Sicherheitslücken, verfügbare Updates und eine praktische Checkliste.
TL;DR: Jetzt handeln
Wenn Sie eine PHP-basierte Website, Webanwendung oder einen entsprechenden Server betreiben, kontaktieren Sie jetzt Ihren Hosting-Anbieter oder Ihre Serveradministration. Falls Sie nicht bestätigen können, dass die Sicherheitsupdates installiert sind, nehmen Sie den betroffenen Dienst vorübergehend vom Netz oder sperren Sie den öffentlichen Zugriff, bis er abgesichert ist.
Laut W3Techs (21. Oktober 2026) nutzen rund 69 % der Websites, deren serverseitige Programmiersprache ermittelt werden kann, PHP. Bei dieser Verbreitung ist die Wahrscheinlichkeit gross, dass auch Ihre Website, Ihr Onlineshop oder Ihre Webanwendung PHP verwendet, selbst wenn Sie die Technik nicht selbst ausgewählt haben. Lassen Sie dies von Ihrem Hosting-Anbieter oder Ihrer Entwicklung bestätigen. Quelle: https://w3techs.com/technologies/breakdown/pl-PHP/ranking
Sicherheitsupdate | 21. Oktober 2026
Eine Sicherheitslücke in der Software hinter einer Website kann schnell zum Geschäftsrisiko werden. PHP2Shell bezeichnet zwei kritische Schwachstellen in PHP, die diese Woche veröffentlicht wurden. Lassen Sie den Update-Stand Ihrer Website, Ihres Kundenportals oder Ihrer internen Anwendung heute überprüfen.
Was ist PHP2Shell?
Die Schwachstellen werden als CVE-2026-109618 und CVE-2026-109619 geführt. Beide sind mit 9,2 nach CVSS v4.0 als kritisch eingestuft. Bei erfolgreicher Ausnutzung können Angreifer ohne Anmeldung Code mit den Rechten des PHP-Webprozesses ausführen.
CVE-2026-109618 betrifft Speichermangel: Ein abgebrochener Vorgang kann interne Anfragedaten unvollständig initialisiert zurücklassen, die beim Aufräumen fehlerhaft verarbeitet werden. Bei CVE-2026-109619 bleibt interner Zustand erhalten, obwohl der zugehörige Speicher bereits freigegeben wurde. Eine spätere Anfrage im selben Worker kann darauf zugreifen. Die technischen PHP-Advisories erläutern die Voraussetzungen und Unterschiede zwischen Serverkonfigurationen.
Wer muss reagieren?
Die PHP-Warnung umfasst Installationen für Webanfragen, darunter PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko sieht das PHP-Team bei mod_php: Dort wurde ein Angriff vor Ausführung des Anwendungscodes demonstriert. Ein Framework-Update allein reicht deshalb nicht aus.
Welche Versionen enthalten die Korrekturen?
Am 21. Oktober 2026 wurden folgende bereinigte PHP-Versionen veröffentlicht: 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Installieren Sie das Sicherheitsupdate für Ihren unterstützten Versionszweig oder eine neuere unterstützte Version mit beiden Korrekturen.
Distributionspakete können zurückportierte Korrekturen enthalten, ohne diese Upstream-Versionsnummern zu tragen. Ubuntu nennt beispielsweise 8.3.6-0ubuntu0.24.04.13 als bereinigt für Ubuntu 24.04. Vergleichen Sie die vollständige Paketversion mit der Meldung Ihres Anbieters. Klären Sie bei PHP 8.1 oder älter die Verfügbarkeit gepflegter Backports oder wechseln Sie auf einen unterstützten Versionszweig.
Praktische Checkliste
- Alle Installationen erfassen. Berücksichtigen Sie die öffentliche Website, Administrationswerkzeuge, Testsysteme, Container und ältere Anwendungen. Benennen Sie eine verantwortliche Person für die Abschlusskontrolle.
- Die PHP-Laufzeit aktualisieren. Lassen Sie feststellen, welcher PHP-Build die jeweilige Anwendung bedient, und das passende Anbieter-Update einspielen. Container-Images müssen gegebenenfalls neu gebaut und ausgerollt werden.
- Neu starten und überprüfen. Webserver und PHP-Worker müssen die aktualisierte Laufzeit laden. Eine Versionsabfrage auf der Kommandozeile beweist allein nicht, dass Webanfragen dieselbe Installation verwenden. Testen Sie anschliessend Anmeldung, Formulare, Uploads und wichtige Geschäftsabläufe.
- Nachweise dokumentieren. Halten Sie Paket- oder Image-Version, Deployment-Zeitpunkt, Neustart und Testergebnisse fest. Fordern Sie bei Managed Hosting eine schriftliche Bestätigung an, dass beide CVEs behoben sind.
Ersetzen Konfigurationsänderungen das Update?
Nein. Das Abschalten der Session-Upload-Fortschrittsanzeige blockiert bestimmte bestätigte Angriffspfade für CVE-2026-109619, aber nicht alle Varianten. Unter PHP 8.5 betrifft auch das Abschalten von Fatal-Error-Backtraces nur einen bestimmten Pfad. Stimmen Sie vorübergehende Massnahmen mit Ihrer Administration anhand der aktuellen offiziellen Hinweise ab. Ein Workaround oder eine Firewall-Regel belegt nicht, dass die PHP-Laufzeit bereinigt ist.
Sichern Sie bei Verdacht auf einen Einbruch die Protokolle und beziehen Sie Ihr Incident-Response-Team ein. Ein Update schliesst Schwachstellen, klärt aber nicht, ob zuvor bereits ein unbefugter Zugriff stattgefunden hat.
Quellen und weiterführende Informationen
- PHP-Projekt: https://www.php.net/archive/2026.php#2026-10-21-5
- CVE-2026-109618: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
- CVE-2026-109619: https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
- Ubuntu: https://ubuntu.com/blog/php2shell-vulnerability-fixes-available
Technische Angaben geprüft am 22. Oktober 2026. Beachten Sie spätere Aktualisierungen der verlinkten Sicherheitshinweise.
