PHP hat am 21. Oktober 2026 Notfall-Patches für die PHP2Shell Schwachstelle veröffentlicht, die unauthentifizierte Remote Code Execution (RCE) auf Millionen Servern ermöglicht.
Die beiden zugrundeliegenden Schwachstellen (CVE-2026-109618 und CVE-2026-109619) weisen einen kritischen CVSS-v4.0-Wert von 9,2 auf.
Die Sicherheitsupdates auf die gepatchten Versionen (unter anderem 8.5.12 und 8.4.27) stehen weltweit kostenlos zur Verfügung.
Am 21. Oktober 2026 hat das PHP-Entwicklerteam Notfall-Patches für die PHP2Shell Schwachstelle veröffentlicht, da Angreifer durch fehlerhafte Speicherbehandlung unauthentifizierten Code ausführen können. Wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) und Microsoft berichten, betrifft die Lücke den PHP-Core selbst und greift noch vor dem eigentlichen Anwendungscode.
PHP2Shell: Die Neuerungen im Detail
Unter dem Namen PHP2Shell werden zwei kritische Schwachstellen im PHP-Core zusammengefasst: CVE-2026-109618 und CVE-2026-109619. Laut der offiziellen PHP-Sicherheitsbewertung haben beide einen CVSS-v4.0-Wert von 9,2 – kritisch.
Die technische Ursache liegt in der Speicherverwaltung der PHP-Laufzeitumgebung. CVE-2026-109618 nutzt eine fehlerhafte Speicherbehandlung nach Out-of-Memory-Situationen. Dadurch kann das System teilweise initialisierte Request-Daten als gültig behandeln und den Speicher korrumpieren. Bei CVE-2026-109619 bleiben Request-bezogene globale Zustände nach der Speicherfreigabe erhalten. Ein späterer Request desselben Workers kann diesen veralteten Zustand missbrauchen.
Der Angriff erfolgt vor beziehungsweise unabhängig von Anwendungscode.
Betroffen sind alle PHP-Installationen ab PHP 5, die Webrequests bedienen. Dazu zählen laut Elastic Security Labs Komponenten wie PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Die Entwickler haben folgende sichere Versionen veröffentlicht:
PHP-Hauptversion
Sichere Patch-Version
PHP 8.5
8.5.12
PHP 8.4
8.4.27
PHP 8.3
8.3.36
PHP 8.2
8.2.35
Warum die PHP2Shell Schwachstelle für Automatisierer und SEO-Teams wichtig ist
Die PHP2Shell Schwachstelle ist keine gewöhnliche Lücke in einem CMS, sondern betrifft die serverseitige Laufzeitumgebung. Da moderne KI-Tools Patches heute in Minuten analysieren und funktionierende Exploits generieren, sinkt die Reaktionszeit für Entwickler faktisch auf null. Automatisierte CI/CD-Pipelines und sofortige Docker-Rebuilds sind bei einer CVSS 9,2-Lücke überlebenswichtig.
Für Marketing- und SEO-Teams ist das Risiko massiv. Eine kompromittierte Website führt zu manipulierten Inhalten, Spam-Weiterleitungen, Credential-Diebstahl oder Suchmaschinenabstrafungen. Laut Wiz wurde die Ausnutzbarkeit bereits in aktuellen Container-Images von WordPress, Drupal und Joomla demonstriert.
Die zentrale operative Schwierigkeit in der Praxis ist jedoch weniger die Anwendungskompatibilität des Patches. Die Herausforderung besteht darin, alle PHP-Worker lückenlos zu erfassen und langlebige Prozesse zuverlässig neu zu starten. Ohne diesen Neustart bleiben die veralteten Zustände im Arbeitsspeicher erhalten und das System trotz Update verwundbar.
PHP2Shell in der Praxis: Was Unternehmen jetzt tun können
Um die Infrastruktur abzusichern, müssen IT- und Automatisierungs-Teams sofort handeln. Folgende Schritte sind laut den vorliegenden Analysen zwingend erforderlich:
Inventarisierung via n8n oder Make: Automatisierer sollten Workflows einrichten, die Asset-Listen aus Cloud- und CMDB-Systemen abgleichen und die laufenden PHP-Versionen aller öffentlich erreichbaren Hosts einsammeln. So können automatisch Tickets für ungepatchte Systeme erstellt werden.
Patchen und Worker neu starten: Das Update auf die sicheren Versionen (z. B. 8.5.12) reicht allein nicht aus. Webserver, PHP-FPM und dauerhaft laufende PHP-Worker müssen zwingend neu gestartet werden, um alte, verwundbare Prozesse zu beenden.
WAF als temporäre Maßnahme: Microsoft beschreibt Azure-WAF-Mitigations. Eine Web Application Firewall ersetzt jedoch kein Update, da der Angriff vor dem Anwendungscode stattfindet. Exponierte Dienste sollten bei Verzögerungen isoliert werden.
Logs und Code prüfen: Nach dem Neustart sollten Systeme auf ungewöhnliche Requests, unerwartete PHP-Prozesse oder Webshell-Muster geprüft werden. Hierbei können Teams auch von automatisierten Sicherheitsanalysen durch Claude Code Security profitieren, um verdächtige Änderungen im Codebestand oder Deployment-Prozess frühzeitig zu erkennen.
Verfügbarkeit, Preis und Fazit
Die Sicherheitsupdates für den PHP-Core stehen seit dem 21. Oktober 2026 weltweit und kostenlos zur Verfügung. Kosten entstehen für Unternehmen lediglich durch den internen Betriebsaufwand, Managed-Hosting-Support oder eventuelle Inkompatibilitäten bei veralteten Abhängigkeiten.
Die PHP2Shell Schwachstelle erfordert sofortiges Handeln. Wer öffentliche PHP-Dienste betreibt, muss ungeachtet des verwendeten CMS sofort patchen und die Worker neu starten. Wer das Update verzögert, riskiert durch die unauthentifizierte RCE-Lücke die vollständige Kompromittierung seiner Server-Infrastruktur.
FAQ zu PHP2Shell
Was ist die PHP2Shell Schwachstelle?
Unter der PHP2Shell Schwachstelle versteht man die beiden kritischen PHP-Core-Lücken CVE-2026-109618 und CVE-2026-109619. Sie ermöglichen Angreifern eine unauthentifizierte Remote Code Execution (RCE) mit den Rechten des PHP-Webworkers, oft durch eine einzige Netzwerkanfrage.
Welche PHP-Versionen sind sicher vor PHP2Shell?
Die offiziellen Entwickler haben die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 als sicher deklariert. Alle älteren Versionen ab PHP 5, die Webrequests bedienen, gelten als potenziell verwundbar und müssen aktualisiert werden.
Schützt eine WAF vor der PHP2Shell Schwachstelle?
Eine Web Application Firewall (WAF) bietet nur temporären Schutz und ersetzt das Patching nicht. Da der Fehler im Runtime-Verhalten der Speicherverwaltung liegt, greift der Angriff oft, bevor der eigentliche Anwendungscode oder WAF-Regeln auf Applikationsebene vollständig greifen können.
Florian Schröder ist Gründer von AI Rockstars, KI-Stratege und Prompt Engineer. Er berät Unternehmen bei der praktischen Implementierung von generativer KI und Automation.
Wir verwenden Technologien wie Cookies, um Geräteinformationen zu speichern und/oder darauf zuzugreifen. Wir tun dies, um das Surferlebnis zu verbessern und um personalisierte Werbung anzuzeigen. Wenn Sie diesen Technologien zustimmen, können wir Daten wie das Surfverhalten oder eindeutige IDs auf dieser Website verarbeiten. Wenn Sie Ihre Zustimmung nicht erteilen oder zurückziehen, können bestimmte Funktionen beeinträchtigt werden.
Funktional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistiken
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
