PHP hat dringende Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht, die Angreifern ermöglichen könnten, ohne Anmeldung schädlichen Code auf einem Webserver auszuführen.

Die Schwachstellen, die als CVE-2026-109618 und CVE-2026-109619 geführt und gemeinsam als PHP2Shell bezeichnet werden, stecken in PHP selbst – der Programmiersprache hinter Websites und Anwendungen wie WordPress, Drupal und Joomla. Jede erreicht 9,2 von 10 Punkten auf der Common Vulnerability Scoring System (CVSS)-Skala und liegt damit im kritischen Bereich.

Was ist PHP2Shell?

PHP läuft auf einem Webserver, wo es Besucheranfragen verarbeitet, Informationen aus Datenbanken abruft, Formulare verarbeitet und Seiten erstellt. Laut dem Sicherheitsunternehmen Qualys besteht PHP2Shell aus zwei Fehlern in der Verarbeitung von Speicher und dem Zustand einer Webanfrage. Die Schwachstellen befinden sich in PHP selbst, nicht in WordPress, Drupal oder Joomla.

WordPress erklärte in einem Beitrag auf X, dass die Schwachstellen jeden Server betreffen, der eine PHP-Anwendung hostet, und dass kein WordPress-Update erforderlich oder geplant sei. Da jede Anwendung auf einem Server auf dieselbe Laufzeitumgebung angewiesen ist, schließt ein gepatchtes PHP die Lücke für alle – und eine einzige ungepatchte Laufzeitumgebung setzt sie alle der Gefahr aus, unabhängig davon, wie aktuell ihre Anwendungen und Plugins sind.

Der erste Fehler, CVE-2026-109618, tritt auf, wenn PHP einer Anfrage der Speicher ausgeht und Daten halb initialisiert zurückbleiben. Der zweite, CVE-2026-109619, tritt auf, wenn PHP weiterhin auf Anfragedaten verweist, nachdem der dahinterliegende Speicher freigegeben wurde.

Wiz, eines der Unternehmen, das die Fehler meldete, erklärte, es habe Angriffe demonstriert, die Code auf WordPress- und Drupal-Seiten vor der Anmeldung ausführen. Das Unternehmen fügte hinzu, dass ein Fehler auch den Speicher eines laufenden PHP-Prozesses auslesen kann. Ein Angreifer benötigt kein Konto, und was danach geschieht, hängt von der Konfiguration des Servers und den Berechtigungen des kompromittierten PHP-Prozesses ab.

Wer ist betroffen?

PHP teilte in seiner Ankündigung mit, dass jede Installation, die Webanfragen verarbeitet, gefährdet ist, einschließlich PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das Projekt erklärte, das Risiko sei bei Apaches mod_php am höchsten, und verwies darauf, dass ein demonstrierter Exploit es einer nicht authentifizierten Anfrage ermöglicht, den Angriff auszulösen, bevor jeglicher Anwendungscode ausgeführt wird – das heißt, der Auslöser hängt nicht von einer Schwäche im Code der gehosteten Website selbst ab.\nWiz erklärte, die betroffenen Versionen reichen zurück bis PHP 5.4 – ein Zeitraum, der langlebige Legacy-Server einschließt. Die korrigierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.1 und älter erhalten keine Updates mehr vom Projekt, wobei PHP minimale Source-Backports für 7.4, 8.0 und 8.1 für diejenigen bereitstellt, die aus dem Quellcode bauen oder keine Herstellerunterstützung haben.

PHP erklärte außerdem, dass 8.2 zum Jahresende keine Sicherheitsfixes mehr erhält, sodass Nutzer dieses Zweigs ein Upgrade planen sollten. Einige Linux-Distributionen und Anbieter könnten die Fixes auf ältere Versionen zurückportieren; Administratoren sollten die entsprechenden Hinweise prüfen und, falls keine existieren, einen Wechsel zu einer unterstützten Version planen. Produkte, Container und Hosting-Panels, die ihr eigenes PHP mitbringen, benötigen separate Updates.

Laut dem Sicherheitsunternehmen Huntress sind Details zu den Schwachstellen einen Tag vor der geplanten Veröffentlichung online durchgestochen. PHP zog die Veröffentlichung vor und veröffentlichte die Fixes am 21. Oktober.

Sansec, ein weiteres Sicherheitsunternehmen, erklärte, es erwarte eine massenhafte Ausnutzung, da die Patches und technischenysen nun öffentlich sind. Das Unternehmen wies darauf hin, dass Cloudflare bereits frühe Angriffe gemeldet hat. Da die technischen Details offengelegt sind und Angriffe bereits registriert wurden, sind Ausnutzungsversuche gegen noch nicht aktualisierte Server das, worauf Verteidiger sofort achten sollten.

Wie sollte man reagieren?

Ein Update von WordPress, Drupal, Joomla oder einem Plugin behebt keine Schwachstelle in PHP selbst. Administratoren können folgende Schritte unternehmen:

PHP aktualisieren. Installieren Sie eine korrigierte Version über den Paketmanager und bestätigen Sie dann, dass der Webserver diese verwendet. WordPress-Nutzer können ihre Version unter Tools > Website-Zustand > Informationen > Server einsehen, und viele Hosts zeigen sie in ihrem Control Panel an.

Jede Installation prüfen. Sehen Sie sich Container, Control Panels und jede Anwendung an, die ihr eigenes PHP mitbringt.

Host fragen. Bei Shared Hosting liegt PHP möglicherweise außerhalb der Kontrolle des Betreibers. Fragen Sie den Anbieter, ob er gepatcht hat, und gehen Sie nicht davon aus. WordPress erklärte, Hosts patchen möglicherweise bereits und fügen Firewall-Regeln hinzu, empfiehlt aber dennoch, beim Host nachzufragen.

Repository überwachen. Sansec warnte, dass Remis Repository, das auf PHP-Servern verbreitet ist, zum Veröffentlichungstag den Fix nicht enthielt, und empfahl, die Pakete der Distribution zu verwenden oder aus dem Quellcode zu bauen.

Abhilfemaßnahmen nur als Übergangslösung nutzen. PHP erklärte, es gebe keine vollständigen Abhilfemaßnahmen und ein Update sei die einzige sichere Wahl. Maßnahmen wie die Begrenzung der Anfragegröße und das Deaktivieren des Upload-Trackings machen eine Installation nicht sicher.

Auf Kompromittierung prüfen. Achten Sie auf unerwartete Prozesse, die von PHP gestartet wurden, unbekannte Dateien und ungewöhnliche ausgehende Verbindungen. Ein Patch entfernt bereits eingeschleuste Malware nicht.

Gewöhnliche Besucher können die Schwachstellen nicht beheben, da sie auf Servern und nicht auf Smartphones oder Laptops liegen. Das bedeutet nicht, dass jede PHP-Website gehackt wurde, aber ein Update auf eine korrigierte Version ist die einzige vollständige Lösung.