PHP-Sicherheitslücke PHP2Shell: Was jetzt zu tun ist

Die PHP-Sicherheitslücke PHP2Shell betrifft fast jede Website, die mit PHP läuft, darunter WordPress, Shopware und viele andere Systeme. Über zwei kritische Fehler können Angreifer ohne Anmeldung Schadcode auf dem Webserver ausführen. Das PHP-Projekt hat am 21. Oktober 2026 Updates veröffentlicht. Nur ein Update auf eine gepatchte Version schließt die Lücken vollständig.

Das Wichtigste zu PHP2Shell in Kürze

• Kennungen: CVE-2026-109618 und CVE-2026-109619
• Bewertung: kritisch, jeweils 9,2 von 10 Punkten (CVSS 4.0)
• Gepatchte Versionen: PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12
• Ohne offizielles Update: PHP 7.4, 8.0 und 8.1
• Einzige vollständige Abhilfe: Update auf eine gepatchte Version

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei Sicherheitslücken im Kern von PHP, die zusammen bekannt wurden. Bei der ersten Lücke (CVE-2026-109618) bringt ein Angreifer PHP mit großen Formularanfragen dazu, den verfügbaren Speicher zu überschreiten. PHP bricht die Anfrage dann so ab, dass ungültiger Speicher zurückbleibt, der sich für Schadcode ausnutzen lässt. Bei der zweiten Lücke (CVE-2026-109619) liest PHP beim nächsten Seitenaufruf Daten, die noch aus einer vorherigen Anfrage stammen und längst freigegeben sind. Beides kann dazu führen, dass Angreifer Code mit den Rechten des Webservers ausführen.

Welche PHP-Versionen sind betroffen?

Betroffen sind alle PHP-Versionen vor 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für PHP 7.4, 8.0 und 8.1 gibt es keine offiziellen Updates mehr, weil diese Versionen vom PHP-Projekt nicht mehr gepflegt werden. Das PHP-Sicherheitsteam hat für sie nur Korrekturen im Quellcode bereitgestellt, die viele Hoster nicht als fertiges Paket anbieten. Websites auf diesen Versionen bleiben deshalb angreifbar, bis sie auf eine aktuelle PHP-Version umgestellt sind.

Wenn Ihr Server PHP aus den Paketen einer Linux-Distribution bezieht, zählt nicht die Versionsnummer allein. Prüfen Sie im Änderungsprotokoll des Pakets, ob die beiden CVE-Nummern genannt sind.

Wird die Lücke bereits ausgenutzt?

Erste Angriffsversuche wurden bereits beobachtet, unter anderem von Cloudflare und von Sicherheitsforschern mit eigenen Fallen-Servern. Einen bestätigten erfolgreichen Einbruch gab es am Tag der Veröffentlichung noch nicht. Weil die Angriffswege in den Sicherheitshinweisen beschrieben sind, rechnen Fachleute mit einer schnellen Zunahme. Warten ist deshalb keine Option.

Reicht es, Einstellungen in PHP zu ändern?

Nein, eine geänderte Konfiguration ersetzt das Update nicht. Das Abschalten der Upload-Fortschrittsanzeige in PHP (session.upload_progress.enabled=0) und begrenzte Anfragegrößen schließen einzelne Angriffswege, aber nicht alle. Das PHP-Projekt nennt das Update ausdrücklich als einzige vollständige Abhilfe. Solche Einstellungen eignen sich nur als Übergang, bis das Update eingespielt ist.

Was sollten Website-Betreiber jetzt tun?

1. Prüfen Sie, welche PHP-Version Ihre Website nutzt, zum Beispiel im Verwaltungsbereich Ihres Hosters.
2. Lassen Sie PHP auf 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 aktualisieren.
3. Läuft Ihre Website noch auf PHP 7.4, 8.0 oder 8.1, stellen Sie sie auf PHP 8.3 oder neuer um. PHP 8.2 erhält nur noch bis zum 31. Dezember 2026 Sicherheitsupdates.
4. Aktualisieren Sie vor der Umstellung Ihr CMS, Ihre Themes und Plugins. Alte Erweiterungen laufen unter neuen PHP-Versionen oft nicht mehr.
5. Rufen Sie die Website nach der Umstellung auf und testen Sie Formulare, Shop und Anmeldung.
6. Stellen Sie sicher, dass ein aktuelles Backup vorhanden ist, bevor Sie etwas ändern.

Wie hat Kuhlma IT Solutions reagiert?

Wir haben am 21. Oktober 2026 alle von uns betriebenen Webserver auf die gepatchten PHP-Versionen aktualisiert und zusätzlich die empfohlenen Schutzeinstellungen gesetzt. Kunden, deren Website noch auf PHP 7.4, 8.0 oder 8.1 läuft, haben wir direkt angeschrieben. Diese Websites stellen wir auf PHP 8.3 um. Wenn Sie unsicher sind, ob Ihre Website betroffen ist, schreiben Sie uns über das Kontaktformular.

Wie schützen Sie Ihre Website zusätzlich?

Ein Update schließt die Lücke, weitere Schutzschichten begrenzen den Schaden bei der nächsten. Eine Web Application Firewall wie Cloudflare filtert Angriffe, bevor sie den Server erreichen. Mit einem regelmäßigen Backup, etwa über Acronis Cyber Protect Cloud, stellen Sie eine Website nach einem Angriff schnell wieder her. Wie Sie auch Ihre SSL-Zertifikate automatisch aktuell halten, lesen Sie im Beitrag ACME SSL-Zertifikate im Abo.

Die technischen Details finden Sie in den Sicherheitshinweisen des PHP-Projekts zu CVE-2026-109618 und CVE-2026-109619 sowie in der Übersicht der unterstützten PHP-Versionen.

Brauchen Sie Unterstützung beim PHP-Update?

Wir prüfen Ihre Website, stellen die PHP-Version um und kümmern uns um Plugins, die danach nicht mehr laufen. Buchen Sie einen Termin oder schreiben Sie uns über das Kontaktformular.