Zwei Sicherheitslücken bringen einen großen Teil des Webs in Gefahr: Unter dem Namen PHP2Shell sind zwei kritische Fehler in der Skriptsprache PHP bekannt geworden. Angreifer können damit aus der Ferne und ohne Anmeldung eigenen Code auf Webservern ausführen. Das PHP-Projekt hat am Mittwoch Notfall-Updates veröffentlicht, auch das österreichische CERT.at warnt. Wer eine Website betreibt, sollte jetzt handeln.
Was hinter PHP2Shell steckt
PHP arbeitet im Hintergrund von Millionen Websites, darunter alle, die mit WordPress, Joomla oder Drupal gebaut sind. Laut Cloudflare nutzen fast 70 Prozent aller Websites PHP. Die beiden Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619 erhalten jeweils 9,2 von 10 Punkten auf der CVSS-Skala und gelten damit als kritisch.
Beide Fehler entstehen, wenn PHP die Bearbeitung einer Anfrage unerwartet abbricht. Im ersten Fall geht dem Server der Speicher aus, während interne Daten erst halb vorbereitet sind. Beim Aufräumen behandelt PHP diese unfertigen Daten trotzdem als gültig. Im zweiten Fall bleiben nach einem schweren Fehler Verweise auf bereits freigegebenen Speicher zurück, die eine spätere Anfrage an denselben Prozess nutzen kann. Mit präparierten Anfragen können Angreifer so Speicher auslesen und Code mit den Rechten des Webservers ausführen. Laut heise sind PHP-Versionen der vergangenen rund 20 Jahre betroffen.
Wer betroffen ist
Laut PHP-Projekt ist jede PHP-Installation gefährdet, die Webanfragen beantwortet, egal ob über PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed. Am höchsten schätzen die Entwickler das Risiko bei mod_php ein: Dort wurde ein Angriff demonstriert, der greift, bevor überhaupt Code der Website ausgeführt wird. Wichtig: Der Fehler steckt in PHP selbst. Ein Update von WordPress, Themes oder Plugins schließt die Lücke nicht, wie Cloudflare betont.
Heise weist außerdem darauf hin, dass auch Geräte mit PHP-Weboberfläche betroffen sein können, etwa NAS-Systeme, Router und Firewalls verschiedener Hersteller. Wer deren Verwaltungsoberfläche aus dem Internet erreichbar gemacht hat, sollte auf Firmware-Updates achten.
Erste Angriffe beobachtet
Brisant: Details zu den Lücken sind schon vor der offiziellen Veröffentlichung durchgesickert. Cloudflare berichtet, bereits Angriffsverkehr auf Kunden beobachtet zu haben, und hat seine Web Application Firewall auch für Gratis-Kunden mit Schutzregeln ausgestattet. Das sei aber nur eine zusätzliche Schutzschicht und ersetze das Update nicht. Laut CERT-EU, dem Sicherheitsteam der EU-Institutionen, kursieren bereits erste Beispiel-Angriffe, sogenannte Proofs of Concept. Das erhöhe die Wahrscheinlichkeit, dass die Lücken schon ausgenutzt werden.
Das sollten Website-Betreiber jetzt tun
Das PHP-Projekt hat die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Laut den Entwicklern ist nur ein Update ein vollständiger Schutz. Die wichtigsten Schritte:
- PHP-Version prüfen: Bei WordPress steht sie im Backend unter Werkzeuge → Website-Zustand im Reiter „Bericht“ (Abschnitt Server).
- Beim Hoster nachsehen: Bei Webhosting-Paketen spielt meist der Anbieter das Update ein. Ein Blick in den Kundenbereich oder auf die Wartungsseite zeigt, ob das schon passiert ist.
- Eigene Server patchen: Linux-Distributionen haben die Patches laut PHP-Projekt vorab erhalten. Nach dem Update PHP neu starten, damit die Korrektur auch wirklich geladen wird.
- Alte Versionen ersetzen: PHP 8.1 und älter bekommen vom PHP-Projekt keine regulären Updates mehr, für 7.4, 8.0 und 8.1 gibt es nur minimale Quellcode-Korrekturen. PHP 8.2 erreicht am 31. Dezember 2026 sein Lebensende.
Wer nicht sofort aktualisieren kann, findet in den Warnungen von PHP-Projekt und CERT.at Einstellungen, die einzelne Angriffswege erschweren. Laut den Entwicklern sind sie aber nur eine Notlösung und machen eine Installation nicht sicher.
Einschätzung
PHP2Shell ist der seltene Fall, in dem nicht eine einzelne Anwendung, sondern das Fundament eines großen Teils des Webs wackelt. Für Betreiber kleiner Websites in Österreich heißt das vor allem: kurz beim Hoster nachsehen, ob das Update schon eingespielt ist. Wer eigene Server betreibt, sollte heute patchen und nicht erst nach dem Wochenende. Bemerkenswert ist auch, wie die Lücken gefunden wurden: Laut BleepingComputer waren Forscher von Calif, OpenAI und Wiz beteiligt, laut heise halfen dabei auch KI-Sprachmodelle. Dieselbe Technik dürfte künftig auch Angreifern helfen, und das macht schnelle Updates wichtiger denn je.
Quellen
- PHP.net – Security advisory: Critical remote code execution vulnerabilities, update now (21.10.2026): https://www.php.net/archive/2026.php
- CERT.at – Kritische Sicherheitslücken in PHP – Updates verfügbar (21.10.2026): https://www.cert.at/de/warnungen/2026/10/kritische-sicherheitslucken-in-php-updates-verfugbar
- heise online – php2shell: Kritische Sicherheitslücken erlauben Codeeinschleusung in PHP (21.10.2026): https://www.heise.de/news/php2shell-Kritische-Sicherheitsluecken-erlauben-Codeeinschleusung-in-PHP-11492938.html
- Cloudflare Blog – Cloudflare deploys protections against php2shell vulnerability (21.10.2026): https://blog.cloudflare.com/php-vulnerabilities-waf-protection/
- CERT-EU – Critical Vulnerabilities in PHP, Advisory 2026-018 (21.10.2026): https://cert.europa.eu/publications/security-advisories/2026-018
- BleepingComputer – PHP ships emergency patches for critical PHP2Shell flaws (21.10.2026): https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/
- BleepingComputer auf X (21.10.2026): https://x.com/BleepinComputer/status/2112908598321758361
Hinweis: Dieser Artikel wurde mit KI-Unterstützung erstellt und redaktionell geprüft.
