Am 21. Oktober 2026 hat das PHP-Projekt außerplanmäßige Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht. PHP läuft auf rund 70 Prozent aller Websites.
Worum handelt es sich?
Die beiden Lücken werden unter dem inoffiziellen Namen „PHP2Shell“ geführt und tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. PHP stuft beide mit einem CVSS-Wert von 9.2 als kritisch ein. Über beide können Angreifer aus dem Internet eigenen Code auf dem Webserver ausführen, und zwar ohne Anmeldung und ohne Zutun eines Benutzers. Der Code läuft dann mit den Rechten des Webserver-Prozesses.
Die erste Lücke (CVE-2026-109618) entsteht, wenn PHP der Arbeitsspeicher ausgeht. PHP bricht die Anfrage dann ab, obwohl interne Daten erst teilweise vorbereitet sind. Beim anschließenden Aufräumen werden diese fehlerhaften Daten weiterverwendet. Angreifer können diesen Speichermangel gezielt mit präparierten Anfragen auslösen.
Die zweite Lücke (CVE-2026-109619) betrifft interne Daten, die nach dem Ende einer Anfrage im System zurückbleiben, obwohl der dazugehörige Speicher bereits freigegeben ist. Die nächste Anfrage, die derselbe PHP-Prozess bearbeitet, kann diese veralteten Daten verwenden.
Laut dem Sicherheitsunternehmen Wiz lässt sich zusätzlich Speicher des PHP-Prozesses auslesen. Darin können Passwörter, Zugriffstoken, API-Schlüssel und Zertifikate liegen. Die Angriffe gelingen nicht bei jedem Versuch, Angreifer können es aber beliebig oft probieren.
PHP-Security-Advisory: https://www.php.net/index.php#2026-10-21-5
Wer oder was ist betroffen?
Betroffen ist jede PHP-Installation, die Webanfragen verarbeitet, unabhängig von der Anwendung, die darauf läuft. Dazu zählen Apache mit mod_php, PHP-FPM, php-cgi, LiteSpeed und FrankenPHP. Das höchste Risiko sieht PHP bei Apache mit mod_php. Anfällig sind alle Versionen vor 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Damit sind auch Webseiten auf Basis von WordPress, Joomla, Drupal, TYPO3, Magento oder Shopware betroffen. Wichtig dabei: Ein Update im WordPress-Dashboard schließt diese Lücken nicht, denn der Fehler liegt in PHP selbst und nicht in der Anwendung.
Vergessen Sie auch PHP an weniger offensichtlichen Stellen nicht: Hosting-Panels wie Plesk oder cPanel, Docker-Images, Appliances mit Weboberfläche (etwa Telefonanlagen oder Zeiterfassung), Windows-Software mit eingebautem PHP und ältere Intranet-Werkzeuge.
Was ist zu tun?
- Bestandsaufnahme: Ermitteln Sie alle Systeme, auf denen PHP läuft. Beginnen Sie mit den Systemen, die aus dem Internet erreichbar sind.
- Sofort aktualisieren: Installieren Sie PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Laut PHP ist nur das Update eine vollständige Lösung. Für PHP 8.1 und ältere Versionen liefert das PHP-Projekt keine regulären Updates mehr.
- Distributionspakete richtig prüfen: Debian, Ubuntu und Red Hat bauen den Fix in ihre Pakete ein, ohne die Versionsnummer zu erhöhen. Ob der Fix installiert ist, zeigt daher das Changelog des Pakets und nicht die Ausgabe von php -v.
- Hoster und Dienstleister fragen: Wenn Ihre Webseite bei einem Hoster läuft, lassen Sie sich bestätigen, dass die PHP-Umgebung gegen beide CVEs abgesichert ist.
- Ältere Versionen: Wenn Sie PHP 8.1 oder älter betreiben, wechseln Sie auf eine unterstützte Version oder nutzen Sie Backports Ihres Anbieters. Systeme, die sich nicht zeitnah absichern lassen, gehören vom öffentlichen Netz getrennt. Beachten Sie außerdem, dass PHP 8.2 nur noch bis Ende 2026 Sicherheitsupdates erhält.
- Übergangsmaßnahmen, falls das Update warten muss: PHP empfiehlt unter anderem, session.upload_progress.enabled=0 zu setzen, post_max_size niedrig zu halten und memory_limit=-1 so zu setzen, dass Anwendungen es nicht überschreiben können. Danach müssen alle PHP-Worker neu gestartet werden. Diese Einstellungen senken das Risiko, machen ein System aber nicht sicher. Der nach dem Leak verbreitete Tipp, allein Session Upload Progress abzuschalten, genügt nicht.
- Auf Angriffsspuren achten: Warnsignale sind gehäufte HTTP-500-Fehler, abstürzende PHP-Prozesse und vor allem Webserver-Prozesse, die eine Shell oder Werkzeuge wie curl oder wget starten. In diesem Fall gilt das System als kompromittiert. Nehmen Sie es vom Netz, sichern Sie Logs und Spuren, setzen Sie das System neu auf und ändern Sie alle Zugangsdaten.
Warnung des österreichischen CERT
https://www.cert.at/de/warnungen/2026/10/kritische-sicherheitslucken-in-php-updates-verfugbar
Ergänzung in eigener Sache
Unser Hosting-Partner Pure Host hat schnell gehandelt und bereits am 21.10.2026 die PHP-Versionen aktualisiert – unsere Website ist somit aktuell und sicher.
