Heute, am 21. Oktober 2026, hat das PHP-Sicherheitsteam eine Notfallwarnung veröffentlicht: Zwei kritische Schwachstellen im Kern der Sprache, zusammen als PHP2Shell bezeichnet, erlauben es einem Angreifer, Code remote und ohne Authentifizierung auf jedem Server auszuführen, der PHP über das Web bereitstellt. Es handelt sich nicht um einen WordPress-Fehler, kein Plugin oder eine Fehlkonfiguration von Ihnen – es liegt im Interpreter.

Die größte Schwere kommt von einem wichtigen technischen Detail: Die bösartige Anfrage wird verarbeitet, bevor auch nur eine einzige Codezeile ausgeführt wird. Es spielt keine Rolle, wie gut Ihre Anwendung geschrieben ist – Login, Validierungen, Anwendungs-WAF – denn der Angriff erfolgt innerhalb von PHP selbst, während die Anfrage vorbereitet wird.

Die beiden neuen Teilnehmer in CVE

Beide haben dieselbe Ursache – PHP kann seinen Speicher beschädigt zurücklassen, wenn eine Anfrage anomal endet – aber sie werden auf unterschiedliche Weise ausgenutzt. Jeder hat einen CVSS-Wert von 9,2 (kritisch):

  • CVE-2026-109618 — Out-of-Memory-(OOM)-Fehlerbehandlung kann PHP unterbrechen, während die internen Anfragedaten nur teilweise initialisiert werden. Die anschließende Anfragebereinigung behandelt diese ungültigen Daten als gültig, was zu Speicherkorruption und Remote-Code-Ausführung mit Webworker-Rechten führt.
  • CVE-2026-109619 — Der interne Zustand, der einer Anfrage gehört, kann auch nach der Freigabe seines Speichers bestehen. Eine nachfolgende Anfrage, die vom selben Worker bedient wird, kann diesen veralteten Zustand verwenden, bevor die normale Initialisierung ihn zurücksetzt: use-after-free auf dem Heap, Speicheroffenlegung und erneut entfernte Codeausführung ohne Authentifizierung.

Sie betreffen alle PHP-Installationen, die Webanfragen bedienen: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das PHP-Team betrachtet das höchste Risiko in mod_php, wo bereits ein nachgewiesener Exploit ausgelöst wird, bevor der Anwendungscode ausgeführt wird.

Betroffene Seiten

Wir haben unsere gesamte Infrastruktur überprüft, und dies sind die Seiten, die PHP mit Versionen unterhalb der gepatchten Versionen bereitstellen – also verwundbar, bis das Update angewendet wird:

  • PHP 8.3.35 (verwundbar, benötigt 8.3.36): www.io-backup.com, www.dynamicdnspro.com, . www.fisem.com
  • PHP 8.4.25 (verwundbar, benötigt 8.4.27): www.emhaseasociados.es, app.emhaseasociados.es.
  • PHP 8.4.26 (verwundbar, benötigt 8.4.27): scanner.net-analyzer.com, app.fisem.com, . buy.dynamicdnspro.com

Wenn du deine eigenen Seiten betreust, kannst du die Version prüfen, die jede einzelne mit curl -sI https://tudominio.com | grep -i x-powered-byoffenlegt. Hinweis: Nur weil der Header nicht erscheint, heißt das nicht, dass du sicher bist, sondern nur, dass der Server ihn nicht ankündigt.

Dringende Maßnahmen

Die einzige vollständige Lösung ist die Aktualisierung von PHP. Die Versionen mit dem Patch sind:

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35

Für PHP 8.1 und früher – ohne Unterstützung – hat das PHP-Team Mindestbackports für 7.4, 8.0 und 8.1 veröffentlicht, aber die offizielle Empfehlung lautet, auf einen unterstützten Branch zu migrieren. In der Zwischenzeit sind hier die Maßnahmen, die wir umsetzen und empfehlen:

  1. Aktualisieren Sie so schnell wie möglich auf die gepatchte Version Ihres Zweigs und priorisieren Sie Server, die dem Internet zugänglich sind.
  2. Sofortige partielle Minderung: Deaktivieren session.upload_progress.enabled=0 in php.ini y, in PHP 8.5, ebenfalls fatal_error_backtraces=0. Alle Workers nach der Änderung neu starten. Hinweis: Laut Datadog- und JFrog-Analysen ist diese Minderung teilweise, nicht vollständig – sie ersetzt den Patch nicht.
  3. Beheben memory_limit=-1 anstatt RLIMIT-Limits zu verwenden, um die Pfade von Beschädigungen durch OOM zu reduzieren.
  4. Filter am Rand: Ein WAF oder Reverse Proxy vor PHP kann anomale Multipart-Anfragen blockieren, bevor sie den verwundbaren Parser erreichen.
  5. Überwachen: Überprüft Logs für sehr große Formulareinreichungen, Speichererschöpfungsfehler während der Anfrageinitialisierung und unerwartete Shell-Prozesse, die von PHP-Arbeitern gestartet werden.

Wenn du nicht sofort updaten kannst, empfiehlt CISA, sogar exponierte PHP-Systeme offline zu nehmen, bis sie gepatcht werden können. Das ist eine drastische Empfehlung für eine drastische Schwachstelle.

Fazit

PHP2Shell ist einer der Fehler, die nur alle paar Jahre auftreten: kritisch, ohne Authentifizierung und in der Schicht unter jeder Anwendung. Der Patch existiert bereits und die Anwendung dauert auf den meisten Systemen nur wenige Minuten. Wir aktualisieren bereits alle oben genannten betroffenen Seiten; wenn Sie eine Seite mit PHP bereitgestellt haben, ist dies der richtige Zeitpunkt dafür.