21 Oktober 2026| News

Kritische PHP2Shell vulnerabilities

Zwei kritische Sicherheitslücken in der Programmiersprache PHP ermöglichen es einem nicht authentifizierten Angreifer unter Umständen, aus der Ferne Code auf einem erreichbaren Server auszuführen. Patches sind verfügbar: Unternehmen müssen ihre PHP-Anwendungen identifizieren, die bereinigten Versionen installieren und die betroffenen Dienste unverzüglich neu starten.

PHP2Shell: Zwei kritische Sicherheitslücken ermöglichen die Ausführung von Code aus der Ferne

PHP hat gerade Patches für zwei kritische Sicherheitslücken im Kern der Programmiersprache veröffentlicht: CVE-2026-109618 und CVE-2026-109619. Diese von mehreren Forschern als „PHP2Shell“ bezeichneten Schwachstellen können die Ausführung von Code aus der Ferne ohne Authentifizierung ermöglichen, insbesondere auf PHP-Servern, die über das Internet erreichbar sind.

Die bereinigten Versionen stehen ab sofort zur Verfügung. Allen Nutzern wird empfohlen, ihre Installationen unverzüglich zu aktualisieren: Das Risiko gilt insbesondere für Apache-Umgebungen mit mod_php als hoch: Forscher haben gezeigt, dass eine Ausnutzung bereits vor der Ausführung des Anwendungscodes möglich ist.
Siehe die offizielle PHP-Sicherheitsmitteilung.

Welche Versionen enthalten die Korrekturen?

Die folgenden Versionen enthalten Sicherheitspatches:

PHP-Versionszweig	Bereinigte Version
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35

Installationen mit PHP 8.1 oder älter erhalten im Rahmen des regulären Sicherheitssupports des PHP-Projekts keine Unterstützung mehr. Einige Softwareanbieter, Linux-Distributionen oder Anbieter von Langzeitunterstützung stellen möglicherweise dennoch Patches bereit. Andernfalls muss zeitnah eine Migration auf einen unterstützten Versionszweig geplant werden.

PHP 8.2 erhält mit dieser Veröffentlichung noch eine Fehlerbehebung. Dieser Versionszweig erreicht jedoch voraussichtlich am 31. Dezember 2026 sein Supportende. Daher sollte ein Upgrade auf eine neuere Version eingeplant werden.

Security notices issued by PHP assign these vulnerabilities a CVSS v4.0 score of 9.2, corresponding to a critical criticality level.
Sichheitshinweis zu CVE-2026-109618 · Sicherheitshinweis zu CVE-2026-109619

Warum ist diese Warnung so wichtig?

PHP wird von sehr vielen Websites, Unternehmensportalen und über das Internet erreichbaren Anwendungen verwendet. Das Risiko beschränkt sich nicht auf ein bestimmtes Framework oder Content-Management-System (CMS): Jede Anwendung, die auf einer verwundbaren PHP-Laufzeitumgebung ausgeführt wird, kann betroffen sein. Insbesondere WordPress-, Drupal- und Joomla-Umgebungen wurden in Demonstrationsszenarien verwendet. Eine Aktualisierung des CMS allein reicht daher nicht unbedingt aus: Die zugrunde liegende PHP-Laufzeitumgebung muss identifiziert und aktualisiert werden.

Laut dem Bericht von CERT Orange Cyberdefense, der dieser Analyse zugrunde liegt, wurden nach der Veröffentlichung technischer Details bereits Ausnutzungsversuche beobachtet. Öffentlich verfügbare Machbarkeitsnachweise (Proofs of Concept) und mehrere Millionen erreichbare PHP-Dienste könnten Angriffskampagnen in den kommenden Tagen beschleunigen.

Mögliche Folgen sind:

Ausführung von Befehlen mit den Berechtigungen des Webserver-Prozesses;
Installation von Schadsoftware oder Webshells;
Zugriff auf sensible Informationen im Arbeitsspeicher, etwa Passwörter, Tokens oder API-Schlüssel;
Veränderung von Anwendungsinhalten;
Zugriff auf die vom Server verarbeiteten Daten;
Vordringen zu weiteren Komponenten der IT-Infrastruktur.

Welche Maßnahmen sollten sofort ergriffen werden?

Betroffene Unternehmen müssen die Behebung dieser Schwachstellen mit hoher Priorität behandeln.

1. Alle erreichbaren PHP-Installationen identifizieren

Die Bestandsaufnahme sollte über das Internet erreichbare Server, Cloud-Umgebungen, Container, Hosting-Plattformen und die von Geschäftsanwendungen genutzte Infrastruktur umfassen. Dabei sind insbesondere folgende Punkte zu erfassen:

die genaue PHP-Version;
die verwendete Ausführungsart: mod_php, PHP-FPM, CGI, FrankenPHP oder LiteSpeed;
Apache-Server und Anwendungen, die aus dem Internet erreichbar sind;
PHP-Versionszweige, deren Support bereits ausgelaufen ist;
Installationen, die nicht im zentralen Inventar verzeichnet sind.

2. Auf eine bereinigte Version aktualisieren

PHP empfiehlt – abhängig von der Kompatibilität der Anwendung und der verwendeten Distribution – die Aktualisierung auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35.

Nach der Aktualisierung müssen auch die Komponenten neu gestartet werden, die die PHP-Laufzeitumgebung laden. Dazu gehören insbesondere:

Apache;
PHP-FPM;
dauerhaft laufende PHP-Worker;
die betroffenen Container oder Dienste.

3. Ältere Versionen berücksichtigen

Für PHP 8.1 und ältere Versionszweige ist beim Anbieter der Linux-Distribution, beim Softwareanbieter oder beim Supportdienstleister zu prüfen, ob ein Patch verfügbar ist. Sind keine verlässlichen Patches erhältlich, muss die Migration auf eine unterstützte Version beschleunigt werden.

4. Schutzmaßnahmen vorübergehend verstärken

PHP dokumentiert mehrere Maßnahmen zur Verringerung der Angriffsfläche für Unternehmen, die nicht sofort aktualisieren können.

Diese Maßnahmen sind vorübergehend und bieten keinen vollständigen Schutz. Laut PHP stellt nur die Aktualisierung eine vollständige Behebung dar. Die Übergangsmaßnahmen dürfen die Installation der bereinigten Versionen daher nicht verzögern.

5. Nach Hinweisen auf eine Ausnutzung suchen

Sicherheitsteams müssen Web-, Apache- und PHP-FPM-Protokolle, Meldungen von Erkennungssystemen sowie prozessbezogene Ereignisse untersuchen. Dabei sollten sie insbesondere auf Folgendes achten:

ungewöhnlich große oder wiederholt auftretende Anfragen;
ungewöhnliche schwerwiegende Fehler (Fatal Errors);
häufige Neustarts von Worker-Prozessen;
unerwartet erstellte oder veränderte Dateien;
von Webdiensten gestartete Kindprozesse;
ungewöhnliche ausgehende Verbindungen von PHP-Servern;
verdächtige Zugriffe auf Konfigurationsdateien oder sensible Zugangsdaten.

Das Ausbleiben einer sichtbaren Warnmeldung schließt eine Kompromittierung nicht aus. Bei Untersuchungen müssen die Aufbewahrungsdauer der Protokolle und die verfügbaren Überwachungsmöglichkeiten auf den betroffenen Servern berücksichtigt werden.

Die Rolle von Threat Intelligence beim Umgang mit dieser Sicherheitslücke

In einer solchen Krisensituation hängt die Reaktionsgeschwindigkeit ebenso von der Verfügbarkeit eines Patches ab wie von der Fähigkeit, betroffene Systeme, Ausnutzungsversuche und mögliche Hinweise auf eine Kompromittierung schnell zu erkennen.

CERT Orange Cyberdefense kann Unternehmen in folgenden Bereichen unterstützen:

Bewertung ihrer Gefährdung;
Priorisierung verwundbarer Systeme;
Prüfung und Einordnung der eingesetzten PHP-Versionen und -Konfigurationen;
proaktive Suche nach Hinweisen auf eine Kompromittierung;
Beobachtung von Angriffskampagnen;
Koordination zwischen Infrastruktur-, Anwendungs- und Sicherheitsteams;
Umsetzung von Erkennungs- und Reaktionsmaßnahmen.

Benötigen Sie Unterstützung bei der Bewertung Ihrer Gefährdung durch PHP? CERT Orange Cyberdefense hilft Ihnen dabei, betroffene Umgebungen zu identifizieren, Maßnahmen zur Behebung zu priorisieren und nach möglichen Hinweisen auf eine Kompromittierung zu suchen. Kontaktieren Sie unsere Teams: cert-contact.ocd@orange.com

Fragen und Antworten

Betreffen diese Sicherheitslücken nur WordPress?

Nein. Sie betreffen die PHP-Laufzeitumgebung selbst. WordPress, Drupal, Joomla und andere Anwendungen können betroffen sein, wenn sie auf einer verwundbaren PHP-Version ausgeführt werden.

Reicht es aus, mein CMS zu aktualisieren?

Nein. Sie müssen die PHP-Laufzeitumgebung aktualisieren und die betroffenen Dienste neu starten. Eine Aktualisierung des CMS behebt die Schwachstellen in der auf dem Server installierten PHP-Laufzeitumgebung nicht automatisch.

Ist PHP-FPM betroffen?

PHP weist darauf hin, dass alle PHP-Installationen, die Webanfragen verarbeiten, geprüft werden müssen – einschließlich PHP-FPM. Das Ausmaß der Gefährdung hängt insbesondere von der Konfiguration, dem vorgeschalteten Server und den verwendeten Ausführungspfaden ab.

Gibt es eine ausreichende Übergangsmaßnahme?

Nein. PHP stellt klar, dass Maßnahmen zur Verringerung der Angriffsfläche keine vollständige Behebung darstellen. Die Installation einer bereinigten Version bleibt die einzige dauerhafte Lösung.

Werden PHP 8.2 und ältere Versionen unterstützt?

PHP 8.2 erhält den Patch noch mit Version 8.2.35. Dieser Versionszweig erreicht jedoch voraussichtlich am 31. Dezember 2026 sein Supportende. Die Versionen 8.1 und älter sind nicht mehr durch den regulären PHP-Sicherheitssupport abgedeckt.