PHP2Shell: kritische Remotecodeausführung in PHP – sofort patchen

PHP2Shell: Kritische Remotecodeausführung-Schwachstellen in PHP (CVE-2026-109618 und CVE-2026-109619)

Am 20. Oktober 2026 hat die PHP-Sicherheitsgemeinschaft PHP2Shell öffentlich bekannt gegeben: zwei Schwachstellen mit hoher Auswirkung, die als CVE-2026-109618 und CVE-2026-109619 geführt werden. Beide betreffen PHP-Versionen von 5.4 bis 8.5.11 und ermöglichen nicht authentifizierte Remotecodeausführung. Die PHP-Maintainer bewerteten das Problem mit 9,2 von 10 unter CVSS v4.0 und ordneten es damit dem kritischen Bereich zu. Da PHP etwa 70-80 % aller Websites weltweit untermauert, hat die Offenlegung unmittelbare Folgen für Hosting-Anbieter, Agenturen, E-Commerce-Betreiber und jeden, der eine PHP-basierte Website betreibt.

Was die beiden CVEs tatsächlich bewirken

CVE-2026-109618 ist ein Fehler bei der Behandlung von Speichermangel. Wenn PHP in eine Situation mit erschöpftem Speicher gerät, verwendet es longjmp, um die aktuelle Anfrage abzubrechen. Einige Ausführungspfade berücksichtigen diesen abrupten Ausstieg nicht, sodass der Anfragespeicher teilweise initialisiert bleibt. Bei der Bereinigung behandelt die Engine diesen ungültigen Speicher als gültige Daten. Ein Angreifer kann dann den Ausführungsfluss beeinflussen und beliebigen Code auf dem Server ausführen.

CVE-2026-109619 ist ein Fehler mit veraltetem globalem Zustand. PHP hält globale Variablen, die vorübergehend auf Anfragespeicher zeigen. In bestimmten Situationen wird dieser globale Zustand nicht korrekt zurückgesetzt oder nach der Freigabe erneut befüllt. Er verweist dann auf Speicherblöcke, die nicht mehr zu aktiven Anfragen gehören. Spätere Operationen lesen diesen veralteten Zustand oder verzweigen darauf, bevor er ordnungsgemäß initialisiert ist, was erneut Remotecodeausführung ermöglicht.

Einfach ausgedrückt ist PHP die Engine, die die meisten dynamischen Websites aufbaut und ausführt. Diese Fehler ähneln einem Defekt in der Art und Weise, wie die Engine ihren Arbeitsbereich verwaltet und temporäre Daten entsorgt. Ein Außenstehender kann eine speziell gestaltete Anfrage senden, die die Speicherverwaltung der Engine überlastet oder verwirrt. Wenn die Engine stolpert, kann der Angreifer diese Verwirrung in Befehle umwandeln, die auf dem Webserver ausgeführt werden, ohne dass eine Anmeldung oder ein Passwort erforderlich ist.

Warum das Risiko dringend ist

Ein erfolgreicher Angreifer erlangt Codeausführung mit den Rechten des Webserver-Worker-Kontos. Dieser Zugriff kann genutzt werden, um eine Schadnutzlast zu installieren, bösartige Skripte als gewöhnliche Website-Dateien zu tarnen, Webaktivitäten zu reduzieren, verschiedenen Nutzern unterschiedlichen Datenverkehr anzuzeigen, Kartendaten auszuspähen, die an der Kasse eingegeben werden, oder Besucher aufzufordern, einen Befehl zu bestätigen, um Schadsoftware zu installieren. Viele dieser Aktionen sind für normale Nutzer und selbst für Website-Administratoren unsichtbar. Die Website kann gesund aussehen, während sie stillschweigend bösartige Inhalte ausliefert oder Daten preisgibt.

Ausnutzungsversuche wurden bereits in freier Wildbahn erkannt, bevor Patches vollständig verfügbar waren. Das macht PHP2Shell zu einem sofort zu patchenden Vorfall und nicht zu einer routinemäßigen Wartungsaufgabe. Jede Stunde Verzögerung erhöht die Chance, dass ein automatisierter Scanner eine exponierte Installation findet.

Korrigierte Versionen und was zu tun ist

Die PHP-Maintainer haben am 21. Oktober 2026 Notfall-Updates für unterstützte Zweige veröffentlicht. Die korrigierten Versionen sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Quellcode-Patches wurden auch für PHP 7.4, 8.0 und 8.1 veröffentlicht, aber diese Zweige haben das Ende ihrer Lebensdauer erreicht, und es wurden keine offiziellen aktualisierten Binärdateien bereitgestellt. Websites, die noch darauf laufen, sollten sofort auf eine unterstützte Version umsteigen oder einen seriösen Langzeit-Support-Anbieter nutzen.

PHP2Shell: korrigierte Versionen

Administratoren sollten PHP aktualisieren, PHP-FPM oder die relevanten Worker-Prozesse neu starten und bestätigen, dass die laufende Version der korrigierten Version entspricht. Wenn Sie eine Website verwalten, aber nicht der Serveradministrator sind, kontaktieren Sie jetzt Ihren Hosting-Anbieter oder Administrator und bitten Sie um eine PHP2Shell-Prüfung. Eine schnelle Prüfung sollte die PHP-Version, die Webserver-Konfiguration, aktuelle Dateiänderungen, unerwartete geplante Aufgaben und ausgehende Verbindungen abdecken. Warten Sie nicht auf sichtbare Symptome: Eine infizierte PHP-Website kann voll funktionsfähig bleiben, während ein Angreifer im Inneren agiert.

Für technische Teams besteht die Priorität darin, alle PHP-Laufzeitumgebungen zu patchen, einschließlich Container, Vorproduktionsumgebungen und vergessener Subdomains. Prüfen Sie Protokolle auf ungewöhnliche POST-Anfragen, speicherbezogene Fehler und unerwartete Kindprozesse. Rotieren Sie Geheimnisse, wenn eine Kompromittierung vermutet wird. Für nicht technische Leser ist die Botschaft einfach: Bitten Sie Ihren Administrator, die PHP-Version zu prüfen und das Notfall-Update anzuwenden. PHP2Shell ist kritisch, öffentlich und aktiv gefährlich.

Wenn Sie einen Online-Shop, einen Blog oder ein Kundenportal betreiben, behandeln Sie dies als Sicherheitsvorfall, bis Ihre PHP-Version nachweislich gepatcht ist. Bitten Sie um eine schriftliche Bestätigung der Version und des Neustartzeitpunkts. Bewahren Sie Backups offline auf, überwachen Sie auf unerwartete Administratorkonten und prüfen Sie Kassen-Seiten auf Änderungen. Die Kosten eines schnellen Updates sind gering im Vergleich zu den Kosten von Kartendiebstahl, Defacement oder einer Schadsoftware-Verteilungskampagne.