PHP2Shell erklärt: Was hinter der kritischen PHP-Sicherheitslücke steckt

PHP2Shell ist der Name für zwei kritische Sicherheitslücken im Kern der Programmiersprache PHP, geführt als CVE-2026-109618 und CVE-2026-109619. Über sie können Angreifer unter bestimmten Umständen ohne Anmeldung eigenen Code auf einem Webserver ausführen. Das PHP-Projekt hat die Lücken am 21. Oktober 2026 mit den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 geschlossen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet beide Schwachstellen mit einem CVSS-Wert von 9,2 von 10 möglichen Punkten (Cybersicherheitswarnung des BSI, Version 1.2 vom 22. Oktober 2026). Das betrifft nicht nur Entwicklerinnen und Entwickler, sondern jedes Unternehmen mit eigener Website, eigenem Shop oder eigenem Kundenportal.

Was ist PHP und warum betrifft die Lücke so viele Websites?

PHP ist eine Programmiersprache, die auf dem Server läuft und Webseiten zusammensetzt, bevor sie im Browser ankommen. WordPress, Shopware, TYPO3, Joomla und viele individuelle Anwendungen bauen darauf auf. Laut einem Bericht von CNN vom 21. Oktober 2026 läuft PHP unter rund 70 Prozent der Websites weltweit.

Der entscheidende Punkt: Die Lücke steckt nicht in einem einzelnen Plugin oder Theme, sondern eine Ebene tiefer, im Fundament. Deshalb schützt ein Update deines Content-Management-Systems allein nicht.

Was passiert bei PHP2Shell technisch?

Beide Lücken sind Speicherfehler. Bei CVE-2026-109618 kann der Aufräumcode von PHP nur teilweise angelegte Anfragedaten für gültig halten. Bei CVE-2026-109619 bleibt nach einer Anfrage ein Verweis auf bereits freigegebenen Speicher zurück, den eine spätere Anfrage an denselben Prozess ausnutzen kann. Fachleute nennen das „Use-after-free“. So beschreibt es die Analyse des Sicherheitsunternehmens Tenable. Betroffen sind laut den Sicherheitsforschern von Sansec die verbreiteten Betriebsarten Apache mod_php und PHP-FPM.

Für dich als Betreiberin oder Betreiber einer Website zählt vor allem die Folge. Wer die Lücke ausnutzt, kann im schlimmsten Fall den Server übernehmen, Daten auslesen, Schadcode einschleusen oder die Website für Angriffe auf deine Besucherinnen und Besucher missbrauchen.

Wie der Oktober 2026 abgelaufen ist

Entdeckt hat die erste Lücke laut CNN die kalifornische Sicherheitsfirma Calif im August 2026, mit Unterstützung eines KI-Modells von OpenAI. Die Veröffentlichung war für den 21. Oktober 2026 geplant, gemeinsam mit den Updates. Am 20. Oktober sickerten erste Details vorzeitig über die Plattform Hacker News durch. Einen Angriffsversuch hatte das Sicherheitsteam von Amazon laut Infosecurity Magazine schon am 17. Oktober beobachtet, vier Tage vor der Veröffentlichung.

Am 21. Oktober 2026 erschienen die Updates. Viele Betreiber hatten zu diesem Zeitpunkt noch keine fertigen Pakete von ihrem Hoster oder ihrer Linux-Distribution. Deshalb nahmen zahlreiche Organisationen ihre Websites vorsorglich vom Netz. heise online und der Tagesspiegel berichteten unter anderem, dass die Charité ihre Website abschaltete, Teile von berlin.de nicht erreichbar waren und die Internetwache der Berliner Polizei ausfiel. Die Charité betonte, dass es keinen Cyberangriff gegeben habe.

Wie gefährlich ist PHP2Shell wirklich?

Die Einschätzungen gehen auseinander. Das BSI hält eine breite Ausnutzung innerhalb weniger Stunden nach Veröffentlichung der Updates für wahrscheinlich, kannte mit Stand 22. Oktober 2026 aber noch keine erfolgreichen Angriffe. Sansec schreibt, dass die öffentlich bekannten Exploits gegen eine PHP-Standardinstallation nicht funktionieren. Datadog Security Labs hält Codeausführung dagegen auch in Standardkonfigurationen für möglich.

Unsere Einordnung bei Aubrey Company: Auf die günstigste Einschätzung zu setzen, lohnt sich nicht. Ein Update kostet wenig Zeit. Ein übernommener Server kostet Daten, Vertrauen und oft Wochen Arbeit.

Welche PHP-Versionen sind sicher?

Sicher sind laut PHP-Projekt die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie alle neueren Versionen dieser Zweige. Für PHP 7.4 bis 8.1 gibt es keine offiziellen neuen Versionen, nur minimale Korrekturen des Sicherheitsteams, die Hoster selbst einspielen müssen. PHP 5.4 bis 7.3 bekommen gar keine Korrektur mehr. Wer eine dieser alten Versionen betreibt, hat das größte Problem.

Wie du prüfst, ob deine Website betroffen ist, zeigen wir im zweiten Teil dieser Serie. Im dritten Teil geht es darum, wer dir hilft, wenn du die Lücke nicht selbst schließen kannst.

Häufige Fragen

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei kritische Sicherheitslücken im Kern von PHP, CVE-2026-109618 und CVE-2026-109619, die am 21. Oktober 2026 veröffentlicht und geschlossen wurden. Sie können Angreifern erlauben, ohne Anmeldung Code auf einem Webserver auszuführen.

Ist meine WordPress-Website von PHP2Shell betroffen?

Sehr wahrscheinlich ja, wenn sie auf einer PHP-Version vor 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 läuft und dein Hoster keine Korrektur eingespielt hat. Die Lücke steckt in PHP selbst, deshalb schützt ein Update von WordPress oder Plugins allein nicht.

Welche PHP-Versionen schließen die Lücke?

PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, veröffentlicht am 21. Oktober 2026. Für PHP 8.1 und älter gibt es keine offizielle neue Version.

Muss ich meine Website wegen PHP2Shell vom Netz nehmen?

Nur, wenn du nicht kurzfristig aktualisieren kannst. Das BSI nennt die vorübergehende Trennung vom Netz als Option für veraltete Versionen, die sich nicht schnell auf einen sicheren Stand bringen lassen.