PHP2Shell: Zwei kritische PHP-Fehler führen zu weltweiten Webseitenstilllegungen

PHP, die Skriptsprache, die einen großen Teil des serverseitigen Codes des Webs antreibt, wurde im Oktober 2026 von zwei kritischen Sicherheitslücken heimgesucht. Die beiden unter dem Spitznamen "PHP2Shell" bekannten und als CVE-2026-109618 und CVE-2026-109619 erfassten Fehler ermöglichen es einem Angreifer ohne Konto oder Passwort, beliebigen Code auf einem betroffenen Webserver auszuführen.

Was die Sicherheitslücken bewirken

Nach Angaben des Sicherheitsunternehmens watchTowr tritt CVE-2026-109618 auf, wenn PHP während des Aufbaus einer eingehenden Anfrage wenig Speicher hat und die internen Anfragedaten nur teilweise initialisiert werden; die Cleanup-Routine von PHP behandelt diese ungültigen Daten dann irrtümlich als gültig. CVE-2026-109619 betrifft einen internen Zustand, der an eine Anfrage gebunden ist und nach dem Freigeben des Speichers, auf den er verweist, überlebt; eine nachfolgende Anfrage, die derselbe Worker-Prozess verarbeitet, kann diesen veralteten Zustand verwenden, bevor die normale Initialisierung ihn zurückgesetzt.

Das Forschungsunternehmen Wiz, das die Fehler untersuchte, teilte Help Net Security mit, dass die Probleme jahrelang unbemerkt geblieben waren und zu den schwerwiegendsten gehörten, die jemals in der Sprache gefunden wurden. watchTowr sagte, dass die Fehler über die vollständige Remote-Code-Ausführung hinaus auch PHP-Worker-Prozesse zum Absturz bringen, beliebige Dateien lesen oder Serverspeicher durchsickern lassen können.

Wer hat es gefunden und wann

Die beiden Fehler wurden durch separate Forschungsbemühungen gemeldet. Die watchTowr-Empfehlung schreibt die Sicherheitsforschungsgruppe von Calif die Entdeckung zu, während die Berichterstattung von Help Net Security die Identifizierung und Offenlegung Forschern von Wiz zuschreibt. Der Offenlegungszeitplan war ungewöhnlich: Die zur Geheimhaltung bestimmten Details durchsickerten öffentlich am 20. Oktober 2026, und watchTowr bestätigte, dass die durchgesickerten Informationen authentisch waren. Die PHP-Betreuer reagierten, indem sie Patches einen Tag vor dem ursprünglich geplanten Termin am 22. Oktober um 14:00 UTC am 21. Oktober 2026 veröffentlichten.

Umfang: Wer führt anfälliges PHP aus

PHP bleibt eine der am häufigsten verwendeten serverseitigen Sprachen im Web, und die Fehler können jedes Setup beeinträchtigen, das eingehende HTTP-Anfragen damit verarbeitet. Betroffene Setups umfassen PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed, wie watchTowr angibt, was bedeutet, dass der Fehler selbst in der Serverschicht sitzt und nicht in einer einzelnen Anwendung.

Da PHP 7.4, 8.0 und 8.1 nicht mehr offiziell unterstützt werden, gibt es watchTowr zufolge keinen Patch des PHP-Kernprojekts für Websites, auf denen diese Zweige noch laufen, obwohl Backports von Linux-Distributionen oder Langzeit-Support-Anbietern als vorläufige Option verfügbar sein können; andernfalls müssen diese Installationen zu einem unterstützten Zweig wechseln. PHP 7.3 und älter haben nach Angaben von watchTowr überhaupt keinen Fix. Die Empfehlung von PHP besagt, dass keine Konfigurationsänderung die Sicherheitslücken vollständig schließt, ohne die Software zu aktualisieren.

Auswirkung und Ausbeutung

Help Net Security berichtete, dass ein von Amazon betriebenes Honeypot-Netzwerk Exploitationsversuche am 17. Oktober 2026 erkannte – vier Tage vor dem öffentlichen Patch – was darauf hindeutet, dass einige Angreifer frühen Zugang zu Exploit-Details hatten. WatchTowr sagte, dass sein eigenes "Attacker Eye"-Honeypot-Netzwerk nach der Patch-Freigabe am 21. Oktober eine aktive Ausbeutung in freier Wildbahn beobachtete.

Content-Management-Systeme, die auf PHP basieren, einschließlich WordPress, Drupal und Joomla, sowie Laravel-basierte Anwendungen und E-Commerce-Plattformen, liegen alle im betroffenen Bereich, da sie auf dem anfälligen PHP-Engine laufen.

Als Patches unterwegs waren, wurden Behörden, Online-Foren, Gaming-Plattformen und einige infrastrukturbezogene Websites vorsorglich offline genommen, während Betreiber Fixes anwendeten, wie die Berichterstattung in der PHP2Shell-Wikipedia-Eintrag zusammengefasst wird. Das Nationale Cyber-Sicherheitszentrum des Vereinigten Königreichs forderte Organisationen, die nicht sofort patchen konnten, auf, anfällige Systeme stattdessen offline zu nehmen, wie Help Net Security berichtete.

Schweregradbeurteilung und was Website-Betreiber tun sollten

Die Entwickler von PHP selbst bewerteten beide Fehler mit 9,2 von 10 auf der CVSS-v4.0-Skala, eine "kritische" Bewertung, wie in der Empfehlung von watchTowr angegeben. Der klare Sanierungsweg ist laut PHP-Empfehlung und watchTowr das Aktualisieren auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, je nachdem welcher Zweig ein Server ausführt; Sites auf 7.4, 8.0 oder 8.1 sollten einen Distributions-Backport verwenden oder zu einem unterstützten Zweig wechseln, während Server auf 7.3 oder älter keinen Fix verfügbar haben und aktualisiert werden müssen.