PHP2Shell: Kritische Lücken im PHP-Kern. Jetzt patchen.

Das Wichtigste in Kürze

• Zwei CVEs im PHP-Kern: CVE-2026-109618 und CVE-2026-109619, CVSS bis 9.2.

• Betroffen: jede PHP-Version seit 5.4, unabhängig von der Anwendung.

• Folgen: Codeausführung ohne Anmeldung und Auslesen von Speicherinhalten wie Passwörtern, Tokens und API-Keys.

• Lösung: PHP auf die gepatchte Version aktualisieren. Das ist die einzige vollständige Behebung.

Was ist passiert?

Wiz Research hat mehrere Speicherfehler im Kern von PHP gefunden und am 21.10. gemeinsam mit dem PHP-Team veröffentlicht. Die Fehler entstehen, wenn PHP eine Anfrage wegen eines Speicherfehlers abbricht und dabei einen beschädigten internen Zustand hinterlässt. Eine spätere Anfrage kann diesen Zustand wiederverwenden.

Wiz hat damit Codeausführung ohne Login auf aktuellen Installationen von WordPress, Drupal und Joomla demonstriert. Die drei Systeme sind nur Beispiele. Laut Wiz reicht schon eine einfache „Hello World“-Anwendung auf einer betroffenen PHP-Version.

Wer ist betroffen?

Jede Organisation, die PHP auf aus dem Internet erreichbaren Systemen betreibt. Das sind typischerweise:

• Websites und Shops auf WordPress, Drupal, Joomla oder anderen PHP-basierten CMS

• Intranets, Kundenportale und interne Tools auf PHP-Basis

• Gehostete Websites, bei denen der Hoster PHP bereitstellt

Wer nicht sicher ist, ob PHP im Einsatz ist: Der Webserver-Header oder die Hosting-Dokumentation gibt meist schnell Auskunft.

Was ihr jetzt tun solltet

1. PHP aktualisieren. Die gepatchten Releases sind seit 21.10. verfügbar (php.net). [Gepatchte Versionsnummern ergänzen, sobald vom SOC bestätigt]

2. Hoster fragen. Bei gehosteten Websites aktiv nachfragen, ob und wann das Update eingespielt wurde.

3. Übergangsweise WAF-Regeln aktivieren. Unter anderem Cloudflare, Akamai, AWS und Fastly stellen Schutzregeln bereit. Sie ersetzen den Patch nicht.

4. Zugangsdaten rotieren. Unsere Empfehlung: Für Systeme, die vor dem Patch aus dem Internet erreichbar waren, Passwörter, Tokens und API-Keys erneuern. Die Lücke erlaubt das Auslesen genau dieser Daten.

Woran ihr einen Angriff erkennen könnt

Die Angriffe laufen unterhalb der Anwendung, Anwendungslogs zeigen daher oft wenig. Wiz nennt diese Hinweise:

• Auffällige Multipart-Requests, gefolgt von Memory-Limit-Fehlern

• Gehäufte HTTP-500-Antworten

• Ungewöhnlich große oder fehlerhafte PHPSESSID-Cookies in Antworten

• Unerklärliche Neustarts von PHP-Workern

Einordnung

Der fehlerhafte Code steckt seit über zehn Jahren in PHP. Ihn auszunutzen war bisher extrem aufwendig. Wiz hat die Lücke mithilfe von KI-Modellen gefunden und die Exploits damit in Stunden statt Monaten gebaut. Genau das können Angreifer jetzt auch. Die Zeit zwischen Veröffentlichung und Angriff wird kürzer.

Unterstützung. Ihr seid unsicher, ob ihr betroffen seid, oder braucht Hilfe beim Patchen? Meldet euch bei gerne bei uns und bucht euch direkt einen kurzen Termin dazu.

Quellen

• Wiz Research: PHP2Shell

• PHP: Security-Release vom 21.10.2026