Am 21. Oktober 2026 hat das PHP-Projekt Notfall-Sicherheitsupdates für zwei kritische Lücken in PHP selbst veröffentlicht. Sie werden als CVE-2026-109618 und CVE-2026-109619 geführt und sind weithin unter dem Namen PHP2Shell bekannt. Beide sind nach CVSS v4.0 mit 9,2 bewertet, beide können von nicht authentifizierten Besuchern ausgelöst werden, und inzwischen wurden Angriffe in freier Wildbahn gemeldet. Wenn Ihre Website auf PHP läuft, was auf die meisten WordPress-, Drupal-, Joomla-, Magento- und Laravel-Websites zutrifft, erklärt Ihnen dieser Leitfaden, worum es sich bei den Lücken handelt, wie Sie feststellen, ob Sie betroffen sind, und was Sie noch heute tun sollten.
Ist Ihre Website betroffen?
Unser kostenloser PHP2Shell-Checker liest die PHP-Version aus, die Ihr Server meldet, und vergleicht sie mit den gepatchten Versionen. Er sendet eine einzige harmlose Anfrage und braucht nur wenige Sekunden.
Was ist PHP2Shell?
PHP2Shell ist die Bezeichnung für zwei zusammenhängende Speichersicherheitsfehler im PHP-Kern, also in der Engine, die Ihren Code auf dem Server ausführt. Gemeldet wurden sie von Forschern bei Calif, Wiz und OpenAI, behoben hat sie das PHP-Sicherheitsteam in einem koordinierten Release.
- CVE-2026-109618 (Speicherbeschädigung bei Speichermangel). Erreicht eine Anfrage im falschen Moment das Speicherlimit von PHP, kann PHP teilweise initialisierte Daten zurücklassen, die der Aufräumcode später als gültig behandelt.
- CVE-2026-109619 (veralteter Zustand nach einem fatalen Fehler). Ein fataler Fehler kann internen Zustand hinterlassen, der auf Speicher aus einer vorherigen Anfrage verweist. Eine spätere Anfrage, die derselbe PHP-Worker verarbeitet, kann diesen Speicher dann wiederverwenden.
Forscher haben gezeigt, dass sich diese Fehler mit einer speziell präparierten Anfrage zur Remote-Code-Ausführung nutzen lassen: Der Angreifer führt dabei eigenen Code auf Ihrem Server aus. Die PHP Foundation hat dies für Apache mit mod_php in der Standardkonfiguration bestätigt sowie für PHP-FPM über Codepfade in Anwendungen. Cloudflare nennt außerdem Denial of Service und die Offenlegung von Daten als mögliche Folgen.
Warum Ihr eigener Code Sie nicht schützt
Die Lücke steckt in PHP, nicht in Ihrem Theme, Ihren Plugins oder Ihrer Anwendung. Der verwundbare Code läuft, während PHP die Anfrage verarbeitet. Eine Website kann also angreifbar sein, selbst wenn ihr eigener Code vollkommen sicher ist. Deshalb reicht es allein nicht aus, WordPress oder Ihre Plugins zu aktualisieren: Die PHP-Laufzeitumgebung auf dem Server muss aktualisiert werden.
Welche PHP-Versionen sind betroffen?
| PHP-Zweig | Betroffen | Behoben in |
|---|---|---|
| 8.5 | Vor 8.5.12 | 8.5.12 |
| 8.4 | Vor 8.4.27 | 8.4.27 |
| 8.3 | Vor 8.3.36 | 8.3.36 |
| 8.2 | Vor 8.2.35 | 8.2.35 |
| 7.4 bis 8.1 | Ja | Kein offizielles Release, nur Quellcode-Patches |
| 5.4 bis 7.3 | Ja | End of Life, keine Korrektur |
Linux-Distributionen und Anbieter von Langzeit-Support haben die Patches vorab erhalten. Das PHP-Paket Ihres Betriebssystems kann die Korrektur daher unter einer eigenen Versionsnummer enthalten. Wenn Sie paketiertes PHP von Debian, Ubuntu, Red Hat oder ähnlichen Anbietern nutzen, prüfen Sie den Sicherheitshinweis Ihres Anbieters.
Wird PHP2Shell bereits ausgenutzt?
Zum Release erklärte das PHP-Team, es seien keine funktionierenden Exploits bekannt. Das änderte sich schnell:
- Amazon meldete seinen ersten Ausnutzungsversuch am 17. Oktober, vier Tage vor der Veröffentlichung, und beschrieb später breit angelegte Versuche in freier Wildbahn.
- Am 24. Oktober berichtete ein Forscher, dass Honeypots mit PHP 8.4.26 erfolgreich angegriffen wurden.
- Am 26. Oktober nahm die CISA beide CVEs in ihren Katalog „Known Exploited Vulnerabilities“ auf.
Betrachten Sie jeden ungepatchten, aus dem Internet erreichbaren PHP-Server ab sofort als gefährdet.
So prüfen Sie Ihre PHP-Version
- Nutzen Sie unseren Checker. php2shell.reguweb.com liest die Version aus, die Ihr Server in seinen Antwort-Headern meldet, und zeigt Ihnen, ob sie betroffen, gepatcht oder nicht eindeutig erscheint.
- In WordPress finden Sie die PHP-Version unter Werkzeuge → Website-Zustand → Bericht → Server.
- Im Control Panel Ihres Hosters suchen Sie nach „PHP-Version“ oder „PHP-Einstellungen“.
- Auf einem Server, den Sie selbst verwalten, führen Sie
php -vaus und prüfen die Version, die Ihr Webserver oder PHP-FPM verwendet. Sie kann von der Kommandozeilenversion abweichen.
Viele Server verbergen ihre PHP-Version. Ein unauffälliges oder nicht eindeutiges Ergebnis einer externen Prüfung ist daher ein Hinweis, aber kein Beweis. Lassen Sie sich die installierte Version von Ihrem Hoster bestätigen.
Was Sie jetzt tun sollten
- Aktualisieren Sie PHP. Wechseln Sie auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 bzw. neuer oder auf das gepatchte Paket Ihres Anbieters. Nur so wird die Lücke vollständig geschlossen. Nutzen Sie PHP 8.1 oder älter, planen Sie den Umstieg auf einen unterstützten Zweig.
- Starten Sie PHP neu. Ein Paket-Update patcht keine Prozesse, die bereits laufen. Starten Sie nach dem Update PHP-FPM, Apache oder Ihre anderen PHP-Worker neu.
- Fragen Sie Ihren Hoster, wenn Sie selbst nicht aktualisieren können. Bei Shared oder Managed Hosting kontrolliert der Anbieter PHP. Bitten Sie ihn, die Installation des Sicherheitsupdates zu bestätigen.
- Setzen Sie vorübergehende Gegenmaßnahmen nur bis zum Patch ein. PHP hat Konfigurations-Workarounds veröffentlicht, etwa das Deaktivieren von
session.upload_progress.enabled. Sie verringern das Risiko, sind aber keine vollständige Lösung. Setzen Sie sie gemeinsam mit Ihrem Hoster oder Entwickler um und lassen Sie Upload Progress auch nach dem Patch deaktiviert, bis das nächste reguläre Release erscheint, das zusätzlich die verwandte Lücke CVE-2026-115560 behebt. - Aktivieren Sie WAF-Schutz. Cloudflare hat für diese Lücken verwaltete Regeln in kostenlosen und kostenpflichtigen Tarifen ausgerollt. Eine Web Application Firewall verschafft Ihnen Zeit, ersetzt aber nicht das Update.
- Suchen Sie nach Anzeichen einer Kompromittierung. War Ihr Server ungepatcht und erreichbar, prüfen Sie neue oder geänderte Dateien, unbekannte Admin-Benutzer und ungewöhnlichen ausgehenden Datenverkehr oder lassen Sie dies von einem Spezialisten prüfen.
Was ist mit WordPress und anderen CMS?
Forscher haben Angriffe auf WordPress, Drupal, Joomla, Magento, MediaWiki, Laravel und Symfony demonstriert. Das CMS ist dabei aber nur ein beispielhaftes Ziel: Die Ausnutzung hängt nicht von einer bestimmten Anwendung ab. Halten Sie WordPress und Ihre Plugins wie gewohnt aktuell und stellen Sie sicher, dass auch die darunterliegende PHP-Version gepatcht ist.
Häufig gestellte Fragen
Ist meine Website auch betroffen, wenn sie nur eine einfache Seite ausliefert?
Ja, möglicherweise. Die Lücke steckt in der PHP-Laufzeitumgebung, daher kann jede Seite, die von einer betroffenen PHP-Version ausgeliefert wird, ein Einfallstor sein.
Schadet es meiner Website, wenn ich sie mit php2shell.reguweb.com prüfe?
Nein. Der Checker sendet eine einzige HEAD-Anfrage (ersatzweise GET) und liest die Antwort-Header aus. Er sendet nie etwas, das die Lücke auslösen könnte.
Mein Hoster sagt, PHP sei aktuell, aber der Versions-Header zeigt eine alte Nummer. Wer hat recht?
Ihr Hoster hat möglicherweise ein Anbieterpaket installiert, das die Korrektur unter einer älter wirkenden Versionsnummer enthält, oder der Header ist zwischengespeichert bzw. verborgen. Bitten Sie den Hoster, zu bestätigen, dass die PHP2Shell-Patches eingespielt sind.
Reicht eine Firewall aus?
Nein. WAF-Regeln senken das Risiko, bis Sie gepatcht haben, aber nur ein PHP-Update beseitigt die Lücke.
Website prüfen, dann unterstützen wir Sie
Führen Sie den kostenlosen PHP2Shell-Check aus, um zu sehen, wo Ihr Server steht. Ist er betroffen, aktualisieren die Experten von Reguweb PHP sicher und ohne Ausfallzeit und prüfen Ihre Website auf Anzeichen einer Kompromittierung.
Kostenlosen PHP2Shell-Check starten
Lieber zuerst sprechen? Kontaktieren Sie unser Team.
Quellen
Auf dieser Seite
Ist Ihre Website konform?
Erhalten Sie Ihre WCAG-2.2- und SEO-Werte in etwa 60 Sekunden. Ohne Anmeldung.
