PHP2Shell — Kritische PHP-Lücken ermöglichen Übernahme von Webservern (2026)

Was ist das für eine Bedrohung?

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Notfall-Sicherheitsupdates für zwei kritische Schwachstellen in der Programmiersprache PHP selbst, die den Spitznamen PHP2Shell tragen:

CVE-2026-109618 — ein Fehler bei der Speicherverwaltung, der ausgelöst wird, wenn dem Server beim Einlesen eines Formulars der Speicher ausgeht

CVE-2026-109619 — ein „Use-after-free“-Fehler, bei dem eine Anfrage übrig gebliebenen Speicher einer vorherigen, abgestürzten Anfrage weiterverwendet

Beide Lücken sind mit 9,2 von 10 (kritisch) bewertet. Zusammen ermöglichen sie Remote Code Execution ohne Authentifizierung: Wer eine Webanfrage an einen verwundbaren Server schicken kann, kann dort unter Umständen eigene Befehle ausführen — ohne Passwort, ohne Konto und ohne dass der Code der Website selbst eine Rolle spielt.

PHP betreibt einen großen Teil des Webs, darunter WordPress, Drupal, Joomla, Magento, Laravel-Anwendungen sowie unzählige Shopsysteme und Kundenportale. Palo Alto Networks zählte mehr als 22 Millionen aus dem Internet erreichbare PHP-Instanzen, die potenziell betroffen sind.

Zeitlicher Ablauf

| Datum | Ereignis |

|---|---|

| 17. Oktober 2026 | Amazons Honeypots registrieren einen ersten Angriffsversuch — vier Tage bevor die Lücken öffentlich bekannt wurden |

| 21. Oktober 2026 | PHP veröffentlicht die Sicherheitsmeldung und die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 |

| 21. Oktober 2026 | Innerhalb einer Stunde beginnen massenhafte Scans im Internet; mindestens eine europäische Regierung nimmt ihre Website vorsorglich vom Netz |

| 22. Oktober 2026 | Cloudflare meldet Angriffsversuche in Millionenhöhe |

| 23. Oktober 2026 | PHP warnt vor einem verwandten, weniger riskanten Problem (CVE-2026-115560) bei ungewöhnlichen Session-Konfigurationen; die Korrektur folgt im nächsten regulären Release |

Wer ist betroffen?

Jede PHP-Installation, die Webanfragen beantwortet, ist betroffen — egal ob als Apache mod_php (die riskanteste Variante), PHP-FPM, php-cgi, LiteSpeed oder FrankenPHP, einschließlich Docker-Containern mit eigenem PHP.

| PHP-Version | Status |

|---|---|

| 8.5 vor 8.5.12 | Verwundbar — Update auf 8.5.12 |

| 8.4 vor 8.4.27 | Verwundbar — Update auf 8.4.27 |

| 8.3 vor 8.3.36 | Verwundbar — Update auf 8.3.36 |

| 8.2 vor 8.2.35 | Verwundbar — Update auf 8.2.35 |

| 7.4, 8.0, 8.1 (End of Life) | Verwundbar — kein offizielles Release; nur Distributionspakete oder Quellcode-Backports |

| 7.3 und älter | Verwundbar — kein Fix; Upgrade erforderlich |

Linux-Distributionen erhielten die Patches vorab, aktualisierte Pakete kommen also über die normalen Systemupdates. Manche Anbieter portieren Fixes zurück, ohne die Versionsnummer zu ändern — prüfen Sie die Sicherheitsmeldung Ihrer Distribution.

So nutzen Angreifer die Lücken aus

Scannen: Bots durchsuchen Millionen Websites nach PHP-Servern

Präparierte Anfrage: Der Angreifer schickt eine übergroße Formularübermittlung (Feldnamen von mehreren Megabyte, teils mit versteckten Binärdaten), um PHP in einen Speichermangel oder fatalen Fehler zu treiben

Übernahme: Gelingt die Speicherkorruption, führt der Server den Befehl des Angreifers aus

Schadcode: Die Sicherheitsfirmen Sophos und Arctic Wolf beobachteten Versuche, eine Variante des Mirai-Botnetzes zu installieren; andere Angreifer platzieren typischerweise Web-Shells, Krypto-Miner oder stehlen Datenbanken

Forschende weisen darauf hin, dass ein zuverlässiger Exploit schwieriger zu bauen ist als zunächst angenommen und viele Versuche scheitern — doch bei Millionen Versuchen pro Tag werden ungepatchte Server früher oder später getroffen.

Warum das wichtig ist — auch ohne eigenen Server

Wenn Sie einen privaten Blog, eine Firmenwebsite oder einen Onlineshop bei einem Shared-Hosting-Anbieter betreiben, läuft dieser fast sicher mit PHP. Gekaperte Websites werden genutzt, um:

Kundendaten zu stehlen, einschließlich Namen, Adressen und Zahlungsdaten aus Bestellformularen

Besucher auf Phishing-Seiten oder gefälschte „Virus gefunden“-Betrugsseiten umzuleiten

Schadsoftware unter einem vertrauenswürdigen Domainnamen zu verbreiten

Spam zu versenden, der den Ruf der Domain beschädigt

Als Besucher können Sie fremde Server nicht patchen — aber Sie können auf Anzeichen achten, dass eine bekannte Website manipuliert wurde.

Checkliste: Warnsignale

Für Website-Betreiber:

❌ Logeinträge mit Speichermangel-Fehlern, die auf „Unknown on line 0“ verweisen

❌ Ungewöhnlich große POST-Anfragen oder Worker-Abstürze und Segmentation Faults in den Webserver-Logs

❌ PHP- oder Webserver-Prozesse, die Shells (sh, bash) oder unbekannte Programme starten

❌ Neue, unbekannte PHP-Dateien in Upload- oder Cache-Ordnern

❌ Unerwartete neue Admin-Konten in Ihrem CMS

Für Website-Besucher:

❌ Eine vertraute Seite leitet Sie plötzlich woandershin um

❌ Pop-ups behaupten, Ihr Gerät sei infiziert, oder fordern Sie auf, Ihren Browser zu „aktualisieren“

❌ Eine Bezahlseite sieht anders aus als sonst oder fragt mehr Daten ab als üblich