Schützt eine WAF vor PHP2Shell?
Eine WAF senkt das Risiko, behebt PHP2Shell aber nicht. PHP2Shell (CVE-2026-109618 und CVE-2026-109619) steckt in der PHP-Laufzeitumgebung, und laut der Ankündigung von PHP ist nur ein Update eine vollständige Lösung. WAF-Regeln blockieren bekannte Angriffsmuster in Verkehr, der durch die WAF läuft. Angreifer variieren ihre Anfragen bereits, um sie zu umgehen, und Anfragen, die Ihren Server auf anderem Weg erreichen, werden nie geprüft.
Welche WAFs haben PHP2Shell-Regeln?
Diese Anbieter haben Schutz gegen PHP2Shell veröffentlicht. Alle Angaben in der Tabelle stammen aus den Beiträgen der Anbieter selbst, Stand 22. Oktober 2026:
| Anbieter | Was geliefert wurde | Müssen Sie handeln? |
|---|---|---|
| Cloudflare | Sieben verwaltete Notfallregeln am 21. Okt., dazu eine Regel auf Antwortseite (Beitrag) | Free: nein. Bezahlte Tarife: prüfen, ob das Managed Ruleset auf Blockieren steht. Siehe PHP2Shell und Cloudflare |
| AWS WAF | Empfehlungen im AWS-Bulletin 2026-143: eine Regel zur Body-Größe gegen CVE-2026-109618 und eine eigene Regel gegen CVE-2026-109619; AWS will seine verwaltete PHP-Regelgruppe aktualisieren | Ja: Regeln zu Ihrer Web ACL hinzufügen |
| Fastly Next-Gen WAF | Eine Vorlagenregel (virtueller Patch) für beide CVEs (Beitrag) | Ja: Vorlagenregel aktivieren |
| Imperva | Cloud WAF ab Werk geschützt; Elastic WAF 2.2.1 und WAF Gateway V14.7 / V15.5 LTS nach Updates (Beitrag) | Cloud WAF: nein. Elastic WAF und WAF Gateway: Updates einspielen |
| Tencent Cloud | WAF und Cloud Firewall unterstützen den Schutz; Host Security erkennt die Lücke (Meldung) | In der Konsole prüfen, ob der Schutz aktiv ist |
Die Sicherheitsmeldung von Alibaba Cloud (22. Oktober 2026) fordert Kunden mit Alibaba Cloud WAF oder Cloud Firewall auf, den Schutz eingeschaltet zu lassen, und betont, dass dies das Risiko nur senkt und das Update nicht ersetzt; konkrete Regeln nennt sie nicht. Eine offizielle PHP2Shell-Meldung von Akamai haben wir bis zum 22. Oktober 2026 nicht gefunden.
Was empfiehlt AWS WAF gegen PHP2Shell?
AWS nennt im Sicherheitsbulletin 2026-143-AWS zwei kompensierende Maßnahmen:
- Gegen CVE-2026-109618: die Regel SizeRestrictions_BODY aus dem AWS WAF Core Rule Set, die Anfragen mit mehr als 8 KB (8.192 Byte) im Body blockiert.
- Gegen CVE-2026-109619: eine eigene Regel, die POST-Anfragen blockiert, die
PHP_SESSION_UPLOAD_PROGRESSim Body und zugleichPHPSESSIDim Body oder in einem Cookie enthalten. Das JSON der Regel zum Kopieren steht im Bulletin.
Laut AWS ist keine der beiden eine vollständige Abhilfe, und AWS will die verwaltete PHP-Regelgruppe von AWS WAF aktualisieren. Wie Sie PHP selbst aktualisieren, beschreibt der PHP2Shell-Patch-Leitfaden.
Warum reicht eine WAF allein nicht?
Dafür gibt es drei Gründe:
- Umgehung: Die WAF sieht nur Verkehr, der durch sie läuft. Nimmt Ihr Server direkte Verbindungen an, kann ein Angreifer, der die IP-Adresse findet, die WAF komplett umgehen.
- Varianten: Cloudflare berichtete, dass Angreifer schon vor dem Patch ihre Payloads veränderten, um die Regeln zu umgehen. Regeln erkennen bekannte Muster; neue Varianten können durchrutschen, bis die Regeln nachgezogen werden.
- Die Lücke bleibt: Das verwundbare PHP liegt weiter auf Ihrem Server, ebenso jeder andere Weg dorthin.
Was sollte ich neben der WAF tun?
Aktualisieren Sie PHP auf die gepatchte Version Ihres Branches:
| Versionszweig | Erste gepatchte Version |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| 8.1 und älter | Keine neue Version; offizielle Quellcode-Patches für 7.4, 8.0 und 8.1 |
Prüfen Sie Ihre Version mit dem PHP2Shell-Checker und folgen Sie dem PHP2Shell-Patch-Leitfaden. Bis Sie aktualisieren können, kombinieren Sie die WAF mit den Übergangsmaßnahmen von PHP aus dem Workaround für CVE-2026-109618, und suchen Sie mit unserer Checkliste nach Anzeichen einer Kompromittierung: Eine WAF, die erst nach dem Leak eingerichtet wurde, macht einen früheren Einbruch nicht ungeschehen.
Kann eine WAF das PHP2Shell-Update ersetzen?
Nein. Alle hier genannten Anbieter bezeichnen ihre Regeln als kompensierende Maßnahme, und laut der Ankündigung von PHP ist nur ein Update eine vollständige Lösung. Nutzen Sie die WAF, um Zeit zu gewinnen, und aktualisieren Sie PHP.
Machen diese WAF-Regeln meine Website kaputt?
Das kann passieren. Die von AWS vorgeschlagene Regel zur Body-Größe blockiert Anfragen mit mehr als 8 KB im Body und damit große Formulare und Uploads. Testen Sie zuerst im Zähl- oder Protokollmodus, wo Ihr Anbieter das erlaubt, und beobachten Sie die blockierten Anfragen, nachdem Sie auf Blockieren umgestellt haben.
Prüfen Sie Ihr PHP auf PHP2Shell
Geben Sie die Version ein, die Ihre Website meldet. Wir vergleichen sie mit der ersten gepatchten Version ihres Versionszweigs und sagen Ihnen, was als Nächstes zu tun ist.
PHP2Shell-Checker →Quellen
Die Kernfakten dieser Seite (gepatchte Versionen, CVE-Details, Pakete der Anbieter und Warnungen von Behörden) stammen aus offiziellen Quellen. Forschung, Nachrichten und Community-Beiträge sind als solche gekennzeichnet.
- Cloudflare deploys protections against php2shell vulnerabilityCDN-Anbieter Cloudflare
- WAF Release 2026-10-21 Emergency: Cloudflare Free RulesetAnbieter Cloudflare
- WAF Release 2026-10-21 Emergency: Cloudflare Managed RulesetAnbieter Cloudflare
- Security Bulletin 2026-143-AWS: PHP CVE-2026-109618 and CVE-2026-109619Anbieter AWS
- Proactive protection for PHP2Shell (CVE-2026-109618 and CVE-2026-109619)CDN-Anbieter Fastly
- PHP2Shell: When PHP Runs Out of Memory at the Wrong MomentAnbieter Imperva
- 【安全通告】PHP "php2shell" 远程代码执行漏洞风险通告（CVE-2026-109618, CVE-2026-109619）Anbieter 腾讯云
- Security advisory: Critical remote code execution vulnerabilities, update nowOffiziell The PHP Group
- 【漏洞通告】PHP远程代码执行漏洞风险通告Anbieter 阿里云安全团队（官网公告·安全公告）