AkutSoforthilfe

PHP2Shell: Sicherheits-Check und Update für PHP-Anwendungen

Zwei kritische Schwachstellen im PHP-Kern erlauben die Ausführung beliebigen Codes aus der Ferne. Sie werden aktiv ausgenutzt. Betroffen ist jede PHP-Installation, die Web-Anfragen beantwortet, unabhängig von Framework, Shop- oder CMS-System.

Kontakt aufnehmen [email protected]

Wir entwickeln seit 1998 mit PHP und betreiben PHP-Anwendungen für Kunden. Wir prüfen Ihre Systeme, schließen die Lücke und bringen Anwendungen, die auf alten PHP-Versionen festhängen, auf einen aktuellen, wieder wartbaren Stand.

Schwachstellen: CVE-2026-109618 und CVE-2026-109619, beide CVSS 9.2, Remote Code Execution (RCE) im PHP-Kern, bekannt als PHP2Shell
Betroffen: PHP 8.5 vor 8.5.12, 8.4 vor 8.4.27, 8.3 vor 8.3.36, 8.2 vor 8.2.35 sowie alle älteren Versionen (8.1, 8.0, 7.x, 5.x) ohne gepatchte Pakete
Betriebsarten: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP, LiteSpeed
Status: Aktiv ausgenutzt, seit 26. Oktober 2026 im CISA-Katalog bekannter ausgenutzter Schwachstellen (KEV)
Einzige vollständige Abhilfe: Update auf 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 oder auf ein gepatchtes Paket von Distribution oder Hoster

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei am 21. Oktober 2026 veröffentlichte Sicherheitslücken im PHP-Interpreter selbst. Die erste (CVE-2026-109618) nutzt aus, wie PHP mit einem Speicherüberlauf während der Verarbeitung einer Anfrage umgeht: Eine präparierte Multipart-Anfrage kann die Aufräumlogik auf ungültige Daten lenken. Die zweite (CVE-2026-109619) nutzt globalen Zustand, der zwischen zwei Anfragen eines Workers nicht zurückgesetzt wird. In beiden Fällen kann ein Angreifer ohne Anmeldung Code auf dem Server ausführen, bei Apache mit mod_php sogar bevor die Anwendung überhaupt läuft.

Weil der Fehler im Kern liegt, spielt die Anwendung keine Rolle: Ein sorgfältig programmierter Shop ist genauso betroffen wie ein ungepflegtes Plugin. Entscheidend ist allein die PHP-Version.

Warum alte PHP-Versionen jetzt besonders gefährdet sind

Offizielle Updates gibt es nur für PHP 8.2 bis 8.5. PHP 8.1 hat Ende 2025 die letzten Sicherheitsupdates erhalten, PHP 8.0 Ende 2023, PHP 7.4 Ende 2022, PHP 5.6 bereits 2018. Anwendungen auf diesen Versionen sind seit Jahren ohne Schutz vor neuen Lücken, und bei PHP2Shell gibt es für sie nur inoffizielle Backports oder Pakete einzelner Hoster.

Viele dieser Anwendungen laufen noch, weil ein Upgrade aufgeschoben wurde: alte WordPress-, TYPO3- oder Drupal-Installationen ohne Pflegevertrag, Shops auf Magento 1 oder frühen Shopware-Versionen, Eigenentwicklungen auf Symfony, Laravel, Zend oder Frameworks, die es nicht mehr gibt. Genau diese Systeme stehen jetzt offen im Netz, und die Angriffe laufen automatisiert.

Woran Sie erkennen, dass Sie betroffen sind

Ihre Website, Ihr Shop oder Ihr Portal läuft mit PHP, etwa auf WordPress, TYPO3, Drupal, Magento, Shopware, Symfony oder Laravel, und niemand hat seit dem 21. Oktober 2026 ein Update eingespielt.
Die PHP-Version ist älter als 8.2, oder Sie wissen nicht, welche Version läuft.
Ihr Hoster oder Ihre Agentur hat sich nicht gemeldet, oder Sie haben keinen Ansprechpartner mehr.
Es gibt unerklärliche Dateien, neue Admin-Konten, ungewöhnliche Last oder Spam-Versand vom Server.

Was wir tun

Sofort-Check

Bestandsaufnahme aller Systeme mit PHP: Version, Betriebsart, Hoster, Erreichbarkeit. Einschätzung, was offen ist, innerhalb kurzer Zeit nach Ihrer Anfrage.

Lücke schließen

Update auf eine gepatchte PHP-Version, bei älteren Zweigen Einspielen eines Backports, Neustart aller Worker, Prüfung, dass die Anwendung danach läuft.

Übergangsschutz, falls ein Update nicht sofort geht

Abschalten von session.upload_progress, erzwungene Speicherbegrenzung, Obergrenzen für Request-Größe und Multipart-Teile am Proxy, Web-Application-Firewall-Regeln. Senkt das Risiko, ersetzt aber kein Update.

Prüfung auf Kompromittierung

Suche nach Web-Shells, unerwarteten Dateien, Prozessen und Cron-Einträgen, Auswertung der Zugriffs- und PHP-Logs seit Mitte Oktober. Bei Fund: isolieren, Zugangsdaten tauschen, sauber neu aufsetzen.

Upgrade auf aktuelle Standards

Für Anwendungen auf PHP 5.6, 7.x, 8.0 oder 8.1: Anhebung auf eine unterstützte PHP-Version inklusive Anpassung des Codes, Aktualisierung von Framework, Shop- oder CMS-System und Erweiterungen, Tests und Umzug auf einen gepflegten Betrieb.

Danach wartbar bleiben

Update-Routine, Monitoring und Dokumentation, damit die nächste Lücke dieser Art kein Notfall mehr ist, sondern ein geplanter Arbeitstag.

Schreiben Sie uns kurz, welche Systeme betroffen sein könnten. Wir melden uns kurzfristig und sagen Ihnen ehrlich, was sofort geht und was nicht.

[email protected]

Häufige Fragen

Mein Hoster hat PHP schon aktualisiert. Bin ich sicher?: Wenn alle Ihre Systeme auf 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 oder einem gepatchten Paket laufen und die Worker neu gestartet wurden: ja, gegen diese Lücke. Prüfen sollten Sie trotzdem, ob zwischen dem 17. Oktober und dem Update bereits jemand drin war.
Meine Anwendung läuft nur mit PHP 7.4. Was nun?: Kurzfristig ein Backport oder gepatchtes Paket, falls Ihr Hoster eines anbietet, plus die Übergangsmaßnahmen. Mittelfristig führt kein Weg an einem Upgrade vorbei, und genau das bieten wir an: Code anpassen, Abhängigkeiten aktualisieren, testen, umziehen.
Reicht eine Firewall oder ein CDN?: Eine Web-Application-Firewall kann bekannte Angriffsmuster abfangen und ist als Übergang sinnvoll. Sie schützt nicht vor Varianten. Die Lücke ist erst mit dem Update geschlossen.
Was kostet das?: Der Sofort-Check ist ein überschaubarer Festaufwand. Für das Schließen der Lücke und ein Upgrade erhalten Sie nach dem Check eine konkrete Einschätzung. Wir sagen auch, wenn ein System den Aufwand nicht mehr wert ist.

Stichworte: PHP2Shell, CVE-2026-109618, CVE-2026-109619, PHP Sicherheitslücke, PHP Remote Code Execution, PHP RCE, PHP Update, PHP Upgrade, PHP 5.6, PHP 7.4, PHP 8.0, PHP 8.1, PHP 8.2, PHP 8.3, PHP 8.4, PHP 8.5, PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed, End of Life, Legacy PHP, Sicherheits-Check, Notfall, WordPress, TYPO3, Drupal, Magento, Shopware, Symfony, Laravel, Web-Shell, Kompromittierung, Shop-Sicherheit, CMS-Sicherheit, Patch, Backport, Jena

Stand: 6. November 2026 · PHP-Sicherheitsrelease vom 21. Oktober 2026 · CISA Known Exploited Vulnerabilities