PHP2Shell: Was IT-Verantwortliche jetzt tun müssen
Am 21. Oktober 2026 hat das PHP-Sicherheitsteam zwei kritische Schwachstellen geschlossen, die unter dem Namen „PHP2Shell“ bekannt geworden sind: CVE-2026-109618 und CVE-2026-109619. Beide lassen sich nach Einschätzung der Forschenden für Remotecode-Ausführung missbrauchen, ohne dass ein Angreifer sich anmelden oder auf eine Interaktion des Opfers warten muss.
Betroffen ist nicht nur die Programmiersprache selbst, sondern alles, was PHP mitbringt: Content-Management-Systeme, Webshops, Fachanwendungen, Firewall-Distributionen wie OPNsense, NAS-Geräte mit Web-Oberfläche und Container-Images. Das BSI hat dazu einen IT-Sicherheitshinweis veröffentlicht und die Lage mehrfach aktualisiert.
Für KMU und Kommunen ist das heikel, weil PHP selten bewusst betrieben wird. Es steckt in der Vereinshomepage, im Intranet, im Ticketsystem und in Appliances, die niemand als Webserver wahrnimmt. Genau dort fehlt meist ein belastbarer Patch-Prozess.
Was die Lücken technisch bedeuten
CVE-2026-109618 hängt mit der Speicherverwaltung zusammen. Geht PHP während einer Anfrage der Arbeitsspeicher aus, geraten interne Datenstrukturen in einen Zustand, den ein Angreifer für eigene Zwecke ausnutzen kann. CVE-2026-109619 betrifft dieselbe Codebasis und wird von den Forschenden als zweiter Weg zu Codeausführung beschrieben.
Beide Lücken sind als kritisch eingestuft. Entscheidend ist die Angriffsfläche: Ein erreichbarer PHP-Interpreter genügt, eine Anmeldung ist nicht nötig. Damit gehören auch Anwendungen ins Blickfeld, die nur intern erreichbar sind – denn nach einem ersten Fußabdruck im Netz suchen Angreifer genau dort weiter.
Geschlossen sind die Lücken in den Upstream-Versionen PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Wer Distributionspakete einsetzt, braucht die entsprechenden Updates von Debian, Ubuntu, AlmaLinux oder SUSE – die Versionsnummern weichen dort ab.
Fünf Handlungsempfehlungen für IT-Verantwortliche
- Inventar statt Annahme. Erfassen Sie jede PHP-Instanz: Webserver, Container, virtuelle Hosts, Fachanwendungen beim Dienstleister, Appliances und NAS-Systeme. Prüfen Sie die tatsächlich laufende Version mit
php -vund in den Admin-Oberflächen der Geräte. Was nicht im Inventar steht, wird nicht gepatcht. - Patchen und Dienste wirklich neu starten. Nach dem Update von
php-fpmodermod_phpmüssen die Worker-Prozesse neu geladen werden, sonst läuft der alte Code im Speicher weiter. Bei Containern reicht eindocker pullnicht: Das Image muss neu gebaut und der Container ersetzt werden. - Appliances und Geräte mitdenken. OPNsense hat ein eigenes Advisory veröffentlicht, weil PHP mitgeliefert wird. Prüfen Sie Hersteller-Meldungen für Firewalls, NAS-Systeme, Drucker-Webinterfaces und Monitoring-Tools. Bei Geräten ohne Update-Zusage bleibt nur das Abschalten der Weboberfläche oder die Beschränkung auf ein Management-Netz.
- Angriffsfläche sofort verkleinern. Beschränken Sie administrative Oberflächen auf VPN oder Verwaltungs-VLAN, verbieten Sie die Ausführung von Skripten in Upload-Verzeichnissen und aktivieren Sie
expose_php = Off. Vorgeschaltete WAF-Regeln für bekannte PHP2Shell-Muster kaufen Zeit, ersetzen aber keinen Patch. - Nachkontrolle dokumentieren. Prüfen Sie nach dem Update per HTTP-Header und lokalem Aufruf, welche Version antwortet, und halten Sie Patch-Datum, Verantwortlichen und verbleibende Systeme fest. Ohne diese Liste ist beim nächsten Advisory kein Fortschritt belegbar.
Was tun, wenn der Verdacht auf Ausnutzung besteht
Erste Priorität hat die Beweissicherung. Trennen Sie das System vom Netz, ohne es herunterzufahren, und sichern Sie Webserver-Logs, Zugriffsprotokolle und den Speicherabzug, bevor Sie Dienste neu starten. Suchen Sie in den Upload- und Cache-Verzeichnissen nach kürzlich geänderten Dateien und nach ungewöhnlichen Prozessen, die von www-data gestartet wurden.
Prüfen Sie ausgehende Verbindungen des Webservers. Ein kompromittierter PHP-Prozess fällt häufig zuerst durch Verbindungen zu unbekannten Adressen auf. Ziehen Sie eine Incident-Response-Dienstleistung hinzu und melden Sie den Vorfall dem BSI oder der zuständigen CERT-Stelle. Sind personenbezogene Daten betroffen, greift die Meldefrist von 72 Stunden nach DSGVO.
Wichtig: Ein Neustart des Servers löscht Spuren im Arbeitsspeicher. Wer nur „rebootet und hofft“, verliert die Information, ob Daten abgeflossen sind.
Die nächsten 30 Tage
Definieren Sie eine Patch-Frist für kritische Lücken: 48 Stunden für internetexponierte Systeme, sieben Tage für interne. Legen Sie ein Inventar aller PHP-Installationen an und tragen Sie ein, wer für welche Anwendung verantwortlich ist – gerade bei Fachverfahren, die ein Dienstleister betreibt.
Richten Sie eine Testinstanz ein, in der Updates vor dem Produktivsystem laufen, und testen Sie die Wiederherstellung aus dem Backup an einem echten System. Ein Notfallplan für den Webserver, der nur auf Papier existiert, hilft im Ernstfall nicht. Und behalten Sie die Advisories von BSI und Herstellern im Blick: PHP2Shell ist derzeit eines von mehreren Themen mit hoher Dynamik.
Quellen
- BSI: Kritische Schwachstellen in PHP (BITS-H # 2026-297981-1232), 22.10.2026
- PwC: PHP2Shell – Kritische PHP-Schwachstellen, 21.10.2026
- Greenbone: PHP2Shell – jetzt patchen, 21.10.2026
- Fortinet: PHP2Shell verstehen und Risiken reduzieren, 23.10.2026
- CERT Universität Stuttgart: Kritische Schwachstellen in PHP, 21.10.2026
Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.
No responses yet