php2shell: Kritische Sicherheitslücken erlauben Codeeinschleusung in PHP
Zwei schwere Fehler im PHP-Interpreter machen Webserver weltweit angreifbar. Unter dem Namen „php2shell“ fassen Sicherheitsexperten die Schwachstellen CVE-2026-109618 und CVE-2026-109619 zusammen. Beide sind mit einem CVSS-Wert von 9,2 als kritisch eingestuft und ermöglichen Angreifern aus dem Internet, ohne Anmeldung eigenen Code auf dem Server auszuführen.
Bei Providern wie Ionos und Strato wurden die letzten Tage entsprechende Updates eingespielt. Dabei kam es zeitweise auch zu Ausfällen von Webseiten. Kunden mussten sich aber keine Sorgen machen, denn es wurde rechtzeitig eingegriffen.
Betroffen sind praktisch alle PHP-Versionen der letzten zwei Jahrzehnte – von der längst veralteten Version 5 bis zu den aktuellen 8.x-Zweigen. Da PHP die Grundlage für einen Großteil aller Websites bildet (WordPress, Magento, Drupal, Laravel und viele andere Systeme), betrifft das Problem Millionen von Installationen. Die Lücken stecken im Kern der Sprache selbst, nicht in einzelnen Anwendungen. Selbst sauber programmierte und aktuell gehaltene CMS oder Shops bleiben verwundbar, solange die zugrunde liegende PHP-Version ungepatcht ist.
Der erste Fehler (CVE-2026-109618) liegt in der Speicherverwaltung. Wird das in der Konfiguration festgelegte Speicherlimit (memory_limit) erreicht, bricht PHP die Ausführung ab und soll den Speicher aufräumen. Unter bestimmten Bedingungen – etwa bei geschickt präparierten Upload-Formularen oder tief verschachtelten Arrays – gerät dieses Aufräumen durcheinander. Angreifer können dann Speicherbereiche auslesen, freigeben und eigenen Schadcode im Kontext des Webserver-Benutzers ausführen.
Die zweite Schwachstelle (CVE-2026-109619) steckt im Error-Handling. Hier genügen unter ähnlichen Voraussetzungen mindestens zwei HTTP-Anfragen, um einen Use-after-Free-Zustand auszunutzen und ebenfalls Code einzuschleusen. Besonders gefährdet sind Installationen mit Apache und mod_php; bei PHP-FPM ist der Angriffspfad etwas enger, aber ebenfalls real.
Das PHP-Team hat die Lücken am 21. Oktober 2026 mit den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 geschlossen. Für ältere, nicht mehr offiziell unterstützte Zweige existieren teilweise Backports. Temporäre Abschwächungen (etwa Deaktivieren bestimmter Session-Funktionen) reduzieren das Risiko nur teilweise. Vollständigen Schutz bietet ausschließlich das Update. Administratoren sollten daher umgehend patchen – vor allem bei öffentlich erreichbaren Servern.
Die Enthüllung erfolgte nach einem Leak einen Tag früher als geplant. Erste Ausnutzungsversuche wurden bereits gemeldet. Wer PHP im Einsatz hat, sollte die Version prüfen und die verfügbaren Sicherheitsupdates zeitnah einspielen.