Worum es geht
Am 21. Oktober 2026 hat das PHP-Projekt außerplanmäßige Sicherheitsupdates veröffentlicht. Sie schließen zwei schwere Lücken, die unter dem Namen PHP2Shell bekannt geworden sind: CVE-2026-109618 und CVE-2026-109619. Beide erlauben es Angreifern, ohne Anmeldung Code auf dem Webserver auszuführen – mit den Rechten des Webserver-Prozesses. Bewertet sind sie jeweils mit 9,2 von 10 Punkten (CVSS v4) (php.net).
PHP ist die Grundlage eines großen Teils aller Websites – von WordPress über Webshops bis zu selbst entwickelten Kundenportalen. Deshalb betrifft die Lücke auch viele Unternehmen, die sich gar nicht bewusst sind, dass sie PHP einsetzen.
Die Lage am 28. Oktober 2026
- Ausnutzung: Laut Datadog meldete AWS bereits ab 17. Oktober, also vor der Veröffentlichung, Angriffsversuche. Seither wird breit nach verwundbaren Servern gesucht (Datadog Security Labs).
- CISA: Die US-Cybersicherheitsbehörde hat beide Lücken am 26. Oktober in ihren Katalog aktiv ausgenutzter Schwachstellen (KEV) aufgenommen (CISA). US-Bundesbehörden müssen bis 29. Oktober patchen.
- Exploits: Öffentliche Proof-of-Concepts funktionieren laut Rapid7 bisher nur in bestimmten Kombinationen aus Betriebssystem, PHP-Version und Webserver (Rapid7). Darauf sollten Sie sich nicht verlassen.
Welche Versionen und Konfigurationen betroffen sind
Behoben sind die Lücken in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Alle älteren Versionen dieser Zweige sind betroffen.
- PHP 8.1 und älter erhalten keine offiziellen Updates mehr. Für 7.4, 8.0 und 8.1 gibt es lediglich Quellcode-Patches; ob Ihr Linux-Distributor oder Hoster diese einspielt, müssen Sie im Einzelfall prüfen. Wie weit zurück die Lücken reichen, ist noch nicht einheitlich geklärt – manche Angaben nennen Versionen bis zurück zu PHP 5.4. Für alles vor 7.4 gibt es keinen Fix: Hier hilft nur ein Upgrade.
- Betriebsarten: Betroffen ist jede PHP-Installation, die Webanfragen verarbeitet – Apache mit mod_php, PHP-FPM, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko sieht das PHP-Team bei mod_php, weil der Angriff dort greift, bevor überhaupt Anwendungscode läuft.
- Hinweis zu PHP 8.2: Dieser Zweig erreicht am 31. Dezember 2026 sein Supportende. Wer jetzt auf 8.2.35 aktualisiert, sollte den Umstieg auf 8.3 oder neuer gleich einplanen.
Übergangslösungen decken nicht alles ab
Die Einstellung session.upload_progress.enabled=0 wird häufig als Sofortmaßnahme genannt. Sie entschärft aber nur bekannte Angriffswege von CVE-2026-109619, nicht CVE-2026-109618. Umgekehrt blockiert memory_limit=-1 nur den bekannten Angriffsweg von CVE-2026-109618, ohne die Ursache zu beheben. Das PHP-Team stellt klar: Diese Maßnahmen verringern das Risiko, machen eine Installation aber nicht sicher. Die einzige vollständige Lösung ist das Update (php.net).
Zusätzlich hat das PHP-Projekt am 23. Oktober eine weitere Lücke angekündigt, CVE-2026-115560. Sie setzt eine ungewöhnliche Konfiguration voraus und ist deutlich weniger dringend. Empfohlen wird auch hier vorerst session.upload_progress.enabled=0; der vollständige Fix soll mit dem nächsten regulären Release kommen.
Wo PHP in Ihrem Unternehmen steckt
- Unternehmenswebsite, etwa mit WordPress, TYPO3, Joomla oder Drupal
- Webshops wie WooCommerce, Shopware oder Magento
- Intranet, Wiki oder Ticketsystem auf einem eigenen Server
- Kundenportale, Buchungs- und Terminsysteme
- Gehostete Branchenlösungen und Webanwendungen bei externen Anbietern
Läuft Ihre Website bei einem Hoster, ist dieser in der Regel für die PHP-Version zuständig. Fragen Sie trotzdem nach, ob die aktualisierte Version bereits eingespielt ist – und prüfen Sie, ob Sie in Ihrem Hosting-Paket selbst eine ältere PHP-Version ausgewählt haben.
Checkliste: Was Sie jetzt prüfen sollten
- Alle Systeme mit PHP erfassen, auch Test- und Altsysteme
- PHP-Version prüfen – und zwar die, die der Webserver tatsächlich nutzt, nicht nur die Kommandozeilen-Version
- Auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren und alle PHP-Prozesse neu starten
- Bei Hostern und Softwareanbietern den Patch-Stand schriftlich bestätigen lassen
- Logs seit 17. Oktober durchsehen: auffällige Multipart-Uploads mit
PHP_SESSION_UPLOAD_PROGRESS, Fehler „Allowed memory size … exhausted“ in „Unknown on line 0“, Abstürze von Webserver-Prozessen - Dateiintegrität prüfen: neue oder veränderte PHP-Dateien im Webverzeichnis, unbekannte Benutzerkonten, geplante Aufgaben
- Bei Verdacht auf Kompromittierung: System isolieren, Zugangsdaten (Datenbank, API-Schlüssel, Admin-Konten) erneuern und aus einem sauberen Backup wiederherstellen
Ein unauffälliges Log beweist übrigens nicht, dass nichts passiert ist: Laut Datadog kann ein erfolgreicher Angriff eine normale Antwort liefern und den Prozess weiterlaufen lassen.
Wie IT United unterstützt
Wir prüfen gemeinsam mit Ihnen, wo PHP in Ihrer Umgebung läuft, spielen Updates ein oder stimmen uns mit Ihrem Hoster ab und sehen bei Bedarf die Logs auf Spuren eines Angriffs durch. Langfristig gehören solche Updates in eine geregelte IT-Betreuung mit Patch-Management und Monitoring – mehr dazu unter IT-Security.
Sie sind unsicher, ob Ihre Website oder Ihr Portal betroffen ist? Melden Sie sich für ein kostenloses Erstgespräch – wir klären das rasch und unkompliziert.
