Sicherheitshinweis: Kritische Sicherheitslücken php2shell

Millionen Websites und Onlineshops laufen auf PHP, einer Sprache, auf der ein großer Teil des Internets aufbaut. Mit php2shell sind nun zwei kritische Sicherheitslücken im PHP-Kern bekannt geworden, die eine unauthentifizierte Remote Code Execution (RCE) erlauben. Das BSI hält eine großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich. Wir fassen zusammen, was über die Lücken bekannt ist, wer betroffen ist und welche Schritte Sie jetzt gehen sollten.

Was ist php2shell?

php2shell besteht aus zwei getrennten Schwachstellen im PHP-Kern, die unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt werden und nicht in einem CMS, Plugin oder Theme stecken.

CVE-2026-109618 tritt auf, wenn PHP bei der Verarbeitung einer Anfrage der Speicher ausgeht. Das anschließende Aufräumen behandelt die nur halb angelegten Daten dann als gültig. Ein Angreifer löst diesen Zustand gezielt über präparierte Multipart-Anfragen aus, etwa mit sehr vielen Headern je Teil oder verschachtelten Feldnamen.

CVE-2026-109619 nutzt einen veralteten Zustand zwischen zwei Anfragen in demselben Prozess aus. Man spricht hier von einem Use-after-free (UAF). Bestätigte Angriffswege laufen in der Praxis über die Funktion "Session Upload Progress".

Beide Wege münden in Remote Code Execution. Für die Ausnutzung ist weder eine Anmeldung noch eine Nutzerinteraktion nötig. Weil die Schwachstellen im Sprachkern liegen, greifen keine Konfigurationen im CMS. Schließen lässt sich die Lücke nur auf Server-Ebene durch ein PHP-Update.

Wer ist betroffen?

Betroffen sind alle PHP-Versionen von 5.4 bis 8.x, die Web-Anfragen bedienen. Das umfasst die üblichen Betriebsarten wie PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko sieht das PHP-Team bei Apache mit mod_php, wo ein Angriff schon abläuft, bevor Anwendungscode startet.

Weil PHP die Grundlage für WordPress, Drupal, Joomla, Magento und Shopware bildet, betrifft die Lücke einen Großteil der Websites und Onlineshops im Internet. Auch viele andere Systeme verwenden PHP, ohne es offen zu bewerben, etwa Control-Panels, Appliances oder Software mit gebündeltem PHP.

Der zeitliche Ablauf

Die Lücken wurden am 20. Oktober 2026 vor Ablauf der Sperrfrist öffentlich. Screenshots eines Exploit-Werkzeugs namens php2shell kursierten anschließend in sozialen Netzwerken. Das PHP-Team zog die Veröffentlichung der Notfall-Patches daraufhin vor und veröffentlichte am 21. Oktober die Security-Releases PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 .

Das BSI hat eine Warnung mit der Kritikalitätsstufe 3 von 4 herausgegeben und rechnet damit, dass eine breite Ausnutzung innerhalb weniger Stunden nach Erscheinen der Patches beginnt. Zuverlässige Workarounds sind laut BSI nicht bekannt. Sicherheitsanbieter gehen davon aus, dass Angreifer die Code-Änderungen mit der alten Version vergleichen und daraus funktionierende Exploits rekonstruieren.

Was sollten Sie jetzt tun?

Das Wichtigste ist, die PHP-Installationen auf eine gepatchte Version zu bringen und alle PHP-Worker neu zu starten. Ohne Neustart läuft im Speicher weiterhin die alte, verwundbare Version. Für PHP 8.1 und älter gibt es kein offizielles Release, nur Quellcode-Backports einzelner Distributionen oder LTS-Anbieter.

Sollte ein Update nicht sofort möglich sein, helfen nur Übergangsmaßnahmen. Dazu zählen das Abschalten von "Session Upload Progress", begrenzte Anfragegrößen und die Isolierung internet-erreichbarer Anwendungen vom öffentlichen Netz, wie sie auch das BSI und CERT-EU empfehlen. Solche Maßnahmen verringern das Risiko, machen eine Installation aber nicht sicher.

Zusätzlich lohnt es sich, alle PHP-Installationen zu inventarisieren, auch die weniger offensichtlichen. Dazu gehören Control-Panels, Appliances und Software mit gebündeltem PHP. Gerade dort bleibt eine Schwachstelle sonst unbemerkt, weil kein regelmäßiger Patch-Prozess greift.

Verdacht auf eine Kompromittierung durch php2shell?

Da die Exploits vor dem Patch verfügbar waren, ist es möglich, dass ein Angreifer bereits eingedrungen ist, bevor die Lücke geschlossen wurde. Anzeichen sind verdächtige Prozesse, die PHP startet, etwa Shells oder Download-Tools, neue Dateien im Web-Root, neu angelegte Cronjobs oder unbekannte Benutzerkonten.

aramido unterstützt Sie bei der Incident Response : Wir trennen betroffene Systeme vom Netz, sichern die Spuren gerichtsfest und klären, ob und wie weit sich der Angreifer Zugriff verschafft hat. Anschließend schließen wir die Lücke dauerhaft und stellen Ihren Betrieb forensisch sauber wieder her.