PHP2Shell: Warum 70 % aller Websites jetzt sofort handeln müssen
Unter dem Namen „PHP2Shell“ wurden am 21. Oktober 2026 zwei extrem kritische Sicherheitslücken im Kern der Programmiersprache PHP veröffentlicht. Da detaillierte Informationen dazu vorab unbeabsichtigt geleakt wurden, herrscht im gesamten Web akuter Handlungsbedarf.
Auch das CERT hat dazu eine Mitteilung veröffentlicht. Zahlreiche Betreiber haben ihre Webseiten bereits vorsorglich vom Netz genommen.
Worum handelt es sich?
Die Schwachstellen betreffen direkt die Speicherverwaltung von PHP und werden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt. Mit einem CVSS-Score von 9.2 aus 10.0 erreichen beide ein kritisches Bedrohungspotenzial.
Angreifer können die Schwachstellen aus der Ferne und komplett ohne vorherige Anmeldung oder Benutzerinteraktion ausnutzen. Da es sich um eine klassische Remote Code Execution handelt, lässt sich dadurch eigener Schadcode direkt auf dem Webserver ausführen.
Nahezu alle PHP-Versionen der letzten 20 Jahre sind betroffen, was potenziell bis zu 70 % aller weltweiten Webseiten gefährdet. Gefunden wurden diese Sicherheitslücken von Sicherheitsforschern mithilfe von KI.
Was genau ist das Problem?
Es handelt sich um gravierende Fehler im Umgang mit der Speichersicherheit:
CVE-2026-109618 (Out-of-Memory): Wenn während einer Anfrage der Arbeitsspeicher knapp wird, bricht PHP ab. Dabei bleiben interne Datenstrukturen unvollständig initialisiert. Bei der anschließenden Bereinigung stuft PHP diese fehlerhaften Daten fälschlicherweise als valide ein, was zu einer gezielten Speicherbeschädigung führt.
CVE-2026-109619 (Stale State): Anfragebezogene interne Zustände bleiben fälschlicherweise im Arbeitsspeicher erhalten, selbst nachdem dieser eigentlich freigegeben wurde. Ein nachfolgender Webseiten-Aufruf, der vom selben Server-Prozess verarbeitet wird, kann auf diese veralteten oder manipulierten Daten zugreifen.
Updates stehen bereit!
Die absolute Devise lautet: Updates unverzüglich einspielen!
Folgende Versionen enthalten die notwendigen Fixes:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Sollten für dein System derzeit noch keine Updates verfügbar sein oder ein direktes Patchen nicht möglich sein, empfiehlt es sich dringend, den Server vorsorglich vorübergehend vom Netz zu nehmen.
Schutz durch Cloudflare
Wie Cloudflare in einem Blogpost bekannt gab, wurden globale WAF Regeln ausgerollt, die bekannte Exploit Vektoren direkt auf Netzwerkebene blockieren.
Dieser Schutz ist für alle Cloudflare Kunden – auch im kostenlosen Tarif – automatisch aktiv.