Zwei kritische Sicherheitslücken im PHP-Kern sorgen aktuell für Aufmerksamkeit in der IT-Sicherheitsbranche. Unter dem Namen PHP2Shell sind die Schwachstellen CVE-2026-109618 und CVE-2026-109619 bekannt geworden. Sie können es Angreifern unter bestimmten Bedingungen ermöglichen, eigenen Code auf einem betroffenen Server auszuführen, ohne sich vorher anmelden zu müssen.
Betroffen sind nicht nur einzelne Content-Management-Systeme, sondern PHP selbst. Damit können unter anderem Websites auf Basis von WordPress, Joomla und Drupal gefährdet sein. Die Sicherheitsupdates wurden am 21. Oktober 2026 veröffentlicht. Wer PHP auf einem eigenen Server betreibt oder einen Hostinganbieter nutzt, sollte jetzt prüfen, ob die eingesetzte Version bereits abgesichert ist.
Was ist PHP2Shell?
PHP ist eine der wichtigsten Programmiersprachen für das Web. Zahlreiche Websites, Onlineshops und Webanwendungen nutzen PHP, um Inhalte dynamisch bereitzustellen, Datenbanken anzusprechen oder Benutzeranfragen zu verarbeiten.
PHP2Shell bezeichnet zwei kritische Sicherheitslücken in der PHP-Laufzeitumgebung. Beide hängen mit der internen Speicherverwaltung zusammen. Vereinfacht gesagt kann PHP unter bestimmten Umständen mit unvollständig initialisierten oder bereits freigegebenen Speicherbereichen weiterarbeiten. Das kann zu Speicherfehlern führen, die Angreifer unter geeigneten Bedingungen ausnutzen können.
Die Folgen können erheblich sein: Neben dem Auslesen sensibler Daten aus dem Arbeitsspeicher ist auch die Ausführung eigener Befehle auf dem Server möglich. Welche Auswirkungen konkret entstehen, hängt unter anderem von der PHP-Version und der Serverkonfiguration ab.
Beide Schwachstellen wurden mit einem CVSS-v4.0-Wert von 9,2 von 10 bewertet. Das entspricht einem kritischen Sicherheitsrisiko.
Welche Sicherheitslücken stecken dahinter?
PHP2Shell umfasst zwei eigenständige Schwachstellen:
CVE-2026-109618: Fehler bei der Speicherverwaltung
Bei bestimmten Speicherfehlern kann PHP interne Anfragedaten in einem unvollständigen Zustand hinterlassen. Werden diese Daten anschließend bei der Bereinigung einer Anfrage weiterverarbeitet, kann dies zu Speicherbeschädigungen und unter bestimmten Bedingungen zur Ausführung von Schadcode führen.
CVE-2026-109619: Veraltete interne Zustände
Hier können interne Daten nach der Freigabe des zugehörigen Speichers weiterhin referenziert werden. Wird dieser veraltete Zustand bei einer späteren Anfrage verwendet, kann daraus eine Sicherheitslücke entstehen.
Beide Probleme betreffen die PHP-Laufzeitumgebung selbst. Es handelt sich also nicht um eine klassische Schwachstelle in einem bestimmten WordPress-Plugin oder Theme. Ein Update der jeweiligen Website allein reicht deshalb nicht unbedingt aus. Entscheidend ist, dass die tatsächlich ausgeführte PHP-Version abgesichert ist.
Welche Systeme sind betroffen?
Die Sicherheitslücken betreffen PHP-Versionen aus mehreren Generationen. Die folgenden Systeme und Betriebsumgebungen sollten deshalb überprüft werden:
WordPress: Websites, Unternehmensauftritte und Blogs
Joomla und Drupal: Content-Management-Systeme
PHP-Webanwendungen: Individuell entwickelte Software und Onlineshops
PHP-FPM: Häufig eingesetzte Prozessverwaltung für PHP
Apache mit mod_php: PHP direkt im Apache-Webserver
Weitere PHP-Umgebungen: Beispielsweise php-cgi, FrankenPHP und LiteSpeed
Besonders wichtig: Eine aktuelle WordPress-Version bedeutet nicht automatisch, dass auch die zugrunde liegende PHP-Installation geschützt ist. Umgekehrt behebt ein PHP-Update nicht automatisch Sicherheitslücken in veralteten Plugins, Themes oder Anwendungen.
Welche PHP-Versionen enthalten die Sicherheitsupdates?
Für die unterstützten PHP-Versionen wurden am 21. Oktober 2026 Sicherheitsupdates veröffentlicht. Folgende Versionen enthalten die Korrekturen für PHP2Shell:
PHP 8.5: Version 8.5.12
PHP 8.4: Version 8.4.27
PHP 8.3: Version 8.3.36
PHP 8.2: Version 8.2.35
Wenn du eine ältere Version verwendest, solltest du prüfen, ob dein Hostinganbieter einen entsprechenden Sicherheitsfix bereitstellt. PHP 8.1 und ältere Versionen erhalten keine regulären Sicherheitsupdates mehr vom PHP-Projekt.
Beachte außerdem, dass Linux-Distributionen und Hostinganbieter Sicherheitskorrekturen teilweise in ihre eigenen Pakete übernehmen. Deshalb kann eine abweichende Versionsnummer trotzdem einen Sicherheitsfix enthalten. Entscheidend sind die offiziellen Sicherheitshinweise deines Anbieters und der tatsächliche Patch-Stand deiner PHP-Installation.
Was sollten Websitebetreiber jetzt tun?
Wenn du eine Website betreibst, solltest du die folgenden Schritte möglichst zeitnah umsetzen.
1. PHP-Version überprüfen
Prüfe im Hosting-Control-Panel, welche PHP-Version deiner Website zugewiesen ist. Bei einem eigenen Server solltest du zusätzlich kontrollieren, welche Version tatsächlich von PHP-FPM, Apache oder einem anderen PHP-Dienst ausgeführt wird.
Achte darauf, dass nicht nur die Hauptwebsite, sondern auch Subdomains, Testsysteme und weitere Anwendungen berücksichtigt werden.
2. Sicherheitsupdate installieren
Aktualisiere PHP auf eine korrigierte Version innerhalb eines unterstützten Zweigs. Bei Managed Hosting oder einem verwalteten Server solltest du deinen Hostinganbieter kontaktieren, wenn du die PHP-Version nicht selbst aktualisieren kannst.
Bei eigenen Servern muss gegebenenfalls auch der betroffene PHP-Dienst neu gestartet werden, damit die aktualisierte Laufzeitumgebung tatsächlich verwendet wird.
3. Nicht nur die Website prüfen
Ein Update von WordPress, Joomla oder Drupal ersetzt kein PHP-Sicherheitsupdate. Prüfe deshalb die gesamte technische Umgebung. Dazu gehören auch weitere Anwendungen, die auf demselben Server laufen.
4. Bei Verdacht auf einen Angriff genauer hinsehen
Werden auf einem öffentlich erreichbaren Server ungewöhnliche PHP-Abstürze, unerwartete Prozesse oder unbekannte Dateien festgestellt, sollte die Ursache untersucht werden. Auch verdächtige Änderungen an geplanten Aufgaben, Benutzerkonten oder Webanwendungen können relevant sein.
Ein Update allein entfernt keine bereits installierte Schadsoftware. Bei konkreten Hinweisen auf eine Kompromittierung sollte das System isoliert und professionell untersucht werden.
5. Nicht auf eine vermeintlich ausreichende Zwischenlösung verlassen
Konfigurationsänderungen können das Risiko unter bestimmten Umständen reduzieren. Sie ersetzen aber keine vollständige Behebung der Sicherheitslücken. Wenn ein kritisches System nicht zeitnah abgesichert werden kann, sollte eine vorübergehende Abschaltung nach einer Risikobewertung in Betracht gezogen werden.
Was bedeutet PHP2Shell für Hostingkunden?
Für Hostingkunden ist vor allem wichtig, wer für die Aktualisierung der PHP-Laufzeitumgebung verantwortlich ist.
Bei klassischem Webhosting übernimmt der Anbieter üblicherweise die Wartung der zentralen Hostingplattform. Bei einem VPS oder Root-Server liegt die Verantwortung für Betriebssystem, PHP-Pakete und Dienste dagegen häufig beim Kunden, sofern keine entsprechende Verwaltungsleistung vereinbart wurde.
Auch bei verwalteten Systemen lohnt sich eine Nachfrage, wenn unklar ist, ob die betroffenen PHP-Versionen bereits aktualisiert wurden.
Unabhängig vom Hostingmodell bleiben regelmäßige Updates, sichere Zugangsdaten, aktuelle Anwendungen und funktionierende Backups wichtige Bestandteile eines zuverlässigen Sicherheitskonzepts.
Fazit: PHP jetzt überprüfen und aktualisieren
PHP2Shell zeigt, wie weitreichend Sicherheitslücken in grundlegenden Webtechnologien sein können. Weil die Schwachstellen die PHP-Laufzeitumgebung betreffen, reicht es nicht aus, ausschließlich die eigene Website oder deren Plugins zu aktualisieren.
Unsere Empfehlung: Prüfe deine PHP-Version, installiere die verfügbaren Sicherheitsupdates und kontrolliere bei eigenen Servern auch die übrige Systemumgebung. Gerade öffentlich erreichbare Systeme sollten bei der Behebung priorisiert werden.
Weitere technische Informationen und aktuelle Hinweise findest du in den offiziellen Sicherheitsmeldungen des PHP-Projekts:
