php2shell: Kritische PHP-Lücke, was du jetzt tun musst

Am 20. Oktober 2026 hat das PHP-Team ein kritisches Sicherheitsupdate angekündigt. Am 21. Oktober um 16:00 Uhr (MESZ) kamen die Patches. Die beiden Lücken tragen die Nummern CVE-2026-109618 und CVE-2026-109619, in der Szene heißen sie „php2shell“. Ein Angreifer kann damit ohne Anmeldung eigenen Code auf dem Server ausführen. Das europäische CERT-EU hat eine Warnung herausgegeben.

Was passiert ist

Beide Lücken stecken im Kern von PHP, nicht in einem Plugin oder Theme. Das PHP-Team bewertet sie mit CVSS 9.2 von 10. Eigentlich sollten die Details erst später veröffentlicht werden. Weil Informationen vorab durchgesickert sind, wurde das Update vorgezogen.

• CVE-2026-109618: Geht PHP während einer Anfrage der Speicher aus, kann es mitten im Aufbau der Daten abbrechen. Beim Aufräumen behandelt PHP die halbfertigen Daten dann als gültig.
• CVE-2026-109619: Interne Daten einer Anfrage bleiben nach dem Freigeben des Speichers erhalten. Die nächste Anfrage auf demselben Prozess kann sie verwenden, bevor sie zurückgesetzt sind.

Laut Cloudflare gibt es erste Angriffsversuche. Im Netz kursiert Code, der die Lücken ausnutzen soll. Ob er funktioniert, ist nicht bestätigt. Darauf warten solltest du nicht.

Welche Websites betroffen sind

Jede öffentlich erreichbare Website, die mit PHP läuft. Das sind die meisten Websites im Netz. Typisch sind:

• WordPress und WooCommerce
• Shopware, Magento und Adobe Commerce
• TYPO3, Joomla und Drupal
• eigene Anwendungen mit Laravel oder Symfony

Laut CERT-EU könnten alle Versionen ab PHP 5 betroffen sein. Eine vollständige Liste hat das PHP-Team noch nicht veröffentlicht.

Nicht direkt betroffen sind Websites ohne eigenes PHP auf dem Server. Dazu gehören Shops bei Shopify, Seiten auf Webflow oder Framer und Next.js-Websites auf Vercel. Dort betreibt der Anbieter die Server, du hast keine eigene PHP-Installation.

Welche PHP-Versionen sicher sind

Linux-Distributionen wie Debian, Ubuntu und Red Hat haben die Patches vorab bekommen. Sie spielen die Korrektur oft in ihre eigenen Pakete ein, ohne die Versionsnummer zu ändern. Prüf deshalb die Sicherheitsmeldungen deiner Distribution oder frag deinen Hoster.

Was du heute tun musst

1. PHP-Version herausfinden. In WordPress steht sie unter Werkzeuge → Website-Zustand → Bericht → Server. Bei Webhosting findest du sie im Kundenbereich deines Hosters.
2. Update einspielen. Bei eigenem Server über die Paketverwaltung, danach PHP-FPM oder den Webserver neu starten. Bei Webhosting die neue Version im Kundenbereich wählen oder beim Hoster nachfragen, ob der Patch schon aktiv ist.
3. Alte Versionen ablösen. Läuft deine Website auf PHP 8.1, 7.4 oder älter, bekommt sie keinen Patch. Der Sprung auf PHP 8.3 oder 8.4 kann alte Plugins und Themes brechen. Teste ihn auf einer Kopie der Website.
4. Logs prüfen. Ungewöhnlich viele Abstürze von PHP-Prozessen, neue Admin-Konten oder unbekannte PHP-Dateien im Upload-Ordner sind Warnzeichen.

Wenn du nicht sofort updaten kannst

Das PHP-Team sagt klar: Nur das Update schließt die Lücken. Übergangsweise senken diese Schritte das Risiko:

• Upload-Fortschritt abschalten. session.upload_progress.enabled=0 in der php.ini oder im FPM-Pool setzen. In einer .user.ini oder per ini_set() wirkt es nicht.
• Cloudflare nutzen. Cloudflare hat Firewall-Regeln gegen bekannte Angriffsmuster eingespielt, auch im kostenlosen Tarif. Sie schützen nur Anfragen, die über Cloudflare laufen.
• Website vom Netz nehmen. Das CERT-EU rät, öffentlich erreichbare Anwendungen zu isolieren, bis der Patch eingespielt ist. Bei Shops und Portalen mit Kundendaten ist das die sichere Wahl.

Häufige Fragen