PHP2Shell-Sicherheitslücke: was sie ist, wen sie betrifft und wie gefährlich sie ist

Was sind die beiden PHP2Shell-Sicherheitslücken?

Beide sind Speicherfehler (Memory-Safety-Bugs) in PHP selbst und wurden in denselben Versionen behoben.

Zu jeder Lücke gibt es eine eigene Seite: CVE-2026-109618 und CVE-2026-109619.

Wer ist von der PHP2Shell-Sicherheitslücke betroffen?

Jede PHP-Installation, die mit einer ungepatchten Version Webanfragen verarbeitet. Die Sicherheitswarnung von PHP nennt PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed und stuft das Risiko bei mod_php am höchsten ein, weil dort ein demonstrierter Exploit läuft, bevor überhaupt Anwendungscode ausgeführt wird. Laut der ursprünglichen Forschung reicht mindestens eine der Lücken bis PHP 5.4 zurück.

Für PHP 8.1 und älter erscheinen keine neuen Versionen; PHP hat nur für 7.4, 8.0 und 8.1 minimale Quellcode-Patches veröffentlicht. Die gepatchten Versionen sind:

Wie gefährlich ist PHP2Shell?

Kritisch. Ausführung von Code aus der Ferne bedeutet, dass Angreifer Befehle mit den Rechten Ihres Webservers ausführen könnten: Dateien ändern oder einschleusen, Konfigurationen wie Datenbankpasswörter auslesen und eine Hintertür installieren, die das Update überdauert. Die Forschung beschreibt außerdem einen Weg, Prozessspeicher auszulesen. Ob ein bestimmter Server angreifbar ist, hängt weiterhin von PHP-Version, Konfiguration, Speicherlayout und Anwendung ab.

Welche Regierungen und Behörden warnen vor PHP2Shell?

Nationale Cybersicherheitsbehörden in Asien, Europa und Nordamerika haben vor der PHP2Shell-Sicherheitslücke gewarnt. Die meisten fordern Organisationen auf, sofort zu aktualisieren; mehrere raten, Dienste vom Netz zu nehmen oder zu isolieren, wenn sie sich nicht patchen lassen, und einige weisen darauf hin, dass PHP auch in Produkten und Geräten steckt. In Deutschland hat das BSI schon vor Erscheinen des Fixes eine Cybersicherheitswarnung veröffentlicht, in der Schweiz warnt das BACS (NCSC.ch).

Warum sind wegen PHP2Shell so viele Websites offline?

Meist aus Vorsicht. Regierungen forderten Organisationen auf, PHP-Systeme vom Netz zu nehmen, wenn sie nicht sofort patchen konnten, und viele taten das. Reuters berichtete am 21. Oktober 2026, dass folgende Stellen Websites oder Dienste abgeschaltet hatten:

• Deutschland: der IT-Dienstleister des Bundes ITZBund, nach eigener Aussage rein vorsorglich.
• Frankreich: Websites von Präfekturen, bis der Patch verfügbar war.
• Belgien: Websites des Außenministeriums.
• Niederlande: der Hafen Rotterdam, Overheid.nl, die fünf größten Parteien und viele Krankenhäuser, nach dem Vorbild des Nationalen Cyber-Sicherheitszentrums.
• Finnland: von Valtori betriebene Webdienste der Regierung, als Vorsichtsmaßnahme.
• Tschechien: die Website der Regierung, auf Rat der nationalen Cybersicherheitsbehörde.
• Wikimedia Foundation: einige Systeme, bis sie sicher gepatcht werden können.

In Japan haben auch Hoster wie Xserver und Lolipop ihre Verwaltungsoberflächen vorsorglich pausiert. Dass eine Website offline oder im Wartungsmodus ist, heißt nicht, dass sie gehackt wurde.

Wie viele Server sind für PHP2Shell angreifbar?

Die Schätzungen gehen auseinander, weil jeder Scanner etwas anderes zählt. Palo Alto Networks Unit 42 meldete auf Basis eigener Telemetrie mehr als 22,6 Millionen exponierte Instanzen, die „potenziell verwundbar“ seien, ohne zu definieren, was eine Instanz ist. Ein Server, der eine alte PHP-Nummer meldet, kann bereits einen Backport des Anbieters enthalten, und ein Server kann viele Websites hosten. Verstehen Sie jede einzelne Zahl daher als grobe Größenordnung, nicht als Zahl hackbarer Websites.

Wird die PHP2Shell-Sicherheitslücke bereits ausgenutzt?

Angriffsversuche wurden beobachtet, eine erfolgreiche Kompromittierung ist aber nicht bestätigt. Cloudflare meldete schon vor Erscheinen des Fixes Angriffsverkehr gegen seine Kunden und Angreifer, die ihre Payloads veränderten, um die Regeln zu umgehen. Keine der Quellen, die wir bis zum 22. Oktober 2026 geprüft haben, bestätigt eine erfolgreiche Übernahme über PHP2Shell; das heißt nicht, dass niemand die Lücke ausnutzt. CISA und das Canadian Centre for Cyber Security gaben beide an, zum Zeitpunkt ihrer Veröffentlichung keine Ausnutzung beobachtet zu haben. Sansec erwartet eine massenhafte Ausnutzung, nachdem Patch und Analysen öffentlich sind.

Inzwischen sind auch Repositorys aufgetaucht, die angeblich funktionierende Exploits enthalten. Wir haben sie nicht geprüft und verlinken sie nicht. Laden Sie keinen Code daraus herunter und führen Sie ihn nicht aus.

Betrifft PHP2Shell jede PHP-Website gleich?

Nein. „Mindestens eine Lücke seit PHP 5.4“ beschreibt, wo der verwundbare Code existiert, und ist kein Beweis, dass ein Angriff gegen jede Website funktioniert. Die CVSS-Bewertungen beider Lücken stufen die Angriffskomplexität als hoch ein und weisen darauf hin, dass bestimmte Bedingungen erfüllt sein müssen; PHP stuft mod_php als höchstes Risiko ein. Andererseits berichtet Sansec, dass Forschende die Ausführung von Code gegen verbreitete Anwendungen bestätigt haben und dass Standardkonfigurationen verwundbar sind. Gehen Sie daher sicherheitshalber davon aus, dass ein ungepatchtes, aus dem Web erreichbares PHP angreifbar ist.

Ist PHP2Shell dasselbe wie wp2shell?

Nein. wp2shell ist der Name einer eigenständigen kritischen Sicherheitslücke im WordPress-Core, die durch ein WordPress-Update behoben wird. PHP2Shell steckt in PHP selbst und wird durch ein PHP-Update behoben. Suchmaschinen verwechseln die beiden Namen manchmal; achten Sie beim Lesen von Ratschlägen daher auf die CVE-Nummern.

Betrifft PHP2Shell auch Node.js, Java oder andere Sprachen?

Nein. PHP2Shell ist ein Fehler in der PHP-Laufzeitumgebung und spielt nur dort eine Rolle, wo ein Server PHP ausführt. Eine Website auf Basis von Node.js, Java, Python oder einer anderen Sprache ohne PHP ist von diesen beiden CVEs nicht betroffen. Andere Laufzeitumgebungen veröffentlichen eigene Sicherheitsupdates; halten Sie sie über deren eigene Hinweise aktuell und denken Sie daran, dass auf einem Server mehrere Sprachen laufen können.

Warum heißt die Lücke PHP2Shell?

PHP2Shell ist der Name aus der ursprünglichen Veröffentlichung von Wiz Research. Er beschreibt den schlimmsten Fall: Eine Anfrage an eine PHP-Website könnte damit enden, dass Angreifer Befehle (eine Shell) auf dem Server ausführen. Die offiziellen Titel der Sicherheitswarnungen lauten „RCE via OOM corruption“ und „RCE via stale global state“.

Was sollten Sie jetzt tun?

1. Prüfen Sie Ihr PHP mit dem PHP2Shell-Checker.
2. Aktualisieren Sie nach der Anleitung zum PHP2Shell-Patch.
3. Wenn Sie spät aktualisiert haben, gehen Sie die Anleitung Prüfen, ob Ihre Website gehackt wurde durch.

Welche Quellen belegen diese Seite?

• The PHP Group: RCE via OOM corruption
• The PHP Group: RCE via stale global state
• The PHP Group: Sicherheitswarnung
• Wiz Research: ursprüngliche Forschung
• Cloudflare: WAF-Schutz
• Sansec: Forschung zu PHP2Shell
• Rapid7: wp2shell, eine eigenständige Sicherheitslücke im WordPress-Core