PHP2Shell: kritische PHP-Lücken, was tun

PHP2Shell: kritische PHP-Schwachstellen und was jetzt zu tun ist

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt dringende Updates für zwei kritische Schwachstellen namens „PHP2Shell“, mit denen ein Angreifer ohne Anmeldung Code auf einem Server ausführen kann. Das spanische CERT (INCIBE-CERT) hat eine Warnung der Stufe „kritisch“ herausgegeben. Wenn Ihre Website, Ihr Onlineshop oder Ihre Anwendung PHP nutzt, betrifft Sie das.

Aktualisiert 22. Oktober 2026 · GAITS Solutions

Was passiert ist

PHP hat zwei schwere Fehler in Bereichen behoben, die bei fast jeder Anfrage genutzt werden: Speicherverwaltung und Fehlerbehandlung.

CVE-2026-109618: Erreicht eine Anfrage genau im falschen Moment das Speicherlimit von PHP, können halb initialisierte interne Daten zurückbleiben und den Speicher beschädigen. Unter Apache mit mod_php lässt sich das ohne Anmeldung auslösen, noch bevor der Anwendungscode läuft.
CVE-2026-109619: Ein fataler Fehler im richtigen Moment kann Verweise auf Speicher einer vorherigen Anfrage hinterlassen, die eine andere Anfrage wiederverwenden kann.

Beide werden mit 9,2 von 10 (CVSS 4.0) bewertet und können Remote-Codeausführung ermöglichen – also die Übernahme des Servers durch einen Angreifer.

Korrigierte Versionen

Die Versionen, die beide Lücken schließen:

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

Nicht mehr unterstützte Zweige (8.1 und älter) erhalten keine offiziellen Versionen. Läuft Ihr Server mit einem davon, sollten Sie so bald wie möglich auf eine unterstützte Version migrieren.

Bin ich betroffen?

Wenn Ihre Website, Ihr Onlineshop (WordPress, WooCommerce, PrestaShop…), Ihr ERP oder Ihre Anwendung mit einer PHP-Version vor den korrigierten läuft: ja. Das Risiko ist auf Servern mit Apache und mod_php höher, aber auch unter PHP-FPM wurde Codeausführung über den Code einiger Anwendungen bestätigt. Mehrere Sicherheitsfirmen melden Angriffsversuche – handeln Sie jetzt.

Was heute zu tun ist

PHP-Version prüfen: im Hosting-Panel, im WordPress-Website-Zustand oder mit php -v auf dem Server.
Aktualisieren auf die korrigierte Version Ihres Zweigs (oder auf einen unterstützten Zweig) und den Webdienst bzw. PHP-FPM neu starten.
Bei Shared Hosting beim Anbieter nachfragen, ob und wann das Update eingespielt wurde.
Protokolle prüfen der letzten Tage auf Speicherfehler oder ungewöhnliche Prozessabstürze.
Backups sichern vor und nach dem Update.

Das Deaktivieren der Option session.upload_progress.enabled verringert einen Teil des Risikos einer der Lücken, ersetzt aber nicht das Update: Es ist die einzige vollständige Lösung.

Eine Lehre für alle Unternehmen

Ein aktueller Server pflegt sich nicht von selbst. Kritische Schwachstellen tauchen ohne Vorwarnung auf, Patches müssen innerhalb von Stunden eingespielt werden, nicht Wochen. Deshalb sind vorbeugende IT-Wartung und Serverüberwachung die Grundlage der Cybersicherheit jedes Unternehmens. Lesen Sie auch, was mit Synology-NAS und SonicWall-VPNs passiert.

Sollen wir Ihre Server heute prüfen und aktualisieren?

Ciberseguridad esencial

Wollen wir sprechen?

Sagen Sie uns, was Sie brauchen. In 30 Minuten wissen Sie, was zu tun ist, was es kostet und wie lange es dauert. Unverbindlich.

Kostenloses 30-minütiges Erstgespräch

Festpreisangebot innerhalb von 24 h

Betreuung auf Englisch und Spanisch