php2shell: zwei kritische Lücken in PHP selbst, angegriffen schon vor dem Patch

Am 17. Oktober registrierte eine Angreifer-Falle von Amazon einen Angriff auf eine PHP-Lücke, die noch keinen Namen und keinen Patch hatte. Vier Tage später, am 21. Oktober 2026, veröffentlichte das PHP-Projekt Notfall-Updates für zwei Schwachstellen, die zusammen php2shell heissen.

Jetzt aktualisieren: PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35

PHP läuft auf der Serverseite von etwa sieben von zehn Websites mit bekannter Sprache, darunter den meisten WordPress-Seiten. Die Lücken stecken in der PHP-Engine selbst: Updates von WordPress, Plugins oder dem eigenen Code helfen nicht.

Was ist das Problem?

Beide Lücken erlauben einem nicht angemeldeten Angreifer, eigenen Code auf dem Server auszuführen, mit den Rechten des Webserver-Prozesses. PHP bewertet beide mit 9,2 von 10 (CVSS 4.0), laut seinem Sicherheitshinweis.

• CVE-2026-109618: Geht PHP der Speicher aus, während eine Anfrage erst halb vorbereitet ist, kann die Aufräumroutine diesen halbfertigen Daten vertrauen.
• CVE-2026-109619: Übrig gebliebener Zustand einer Anfrage zeigt auf freigegebenen Speicher, den die nächste Anfrage desselben Prozesses erreichen kann.

Betroffen ist jede Art, PHP im Web auszuliefern: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed, so die Übersicht von Tenable. Der älteste betroffene Code reicht bis PHP 5.4 zurück.

Werden die Lücken ausgenutzt?

Ja, Versuche sind bestätigt. Amazon Threat Intelligence sah den ersten am 17. Oktober, am 21. Oktober weitere von mehreren Akteuren. Auch Cloudflare und watchTowr melden Angriffe. Ob sie gelingen, ist noch unklar; die PHP Foundation fand bei der Veröffentlichung keinen funktionierenden öffentlichen Exploit. Code, der sich als solcher ausgibt, kursiert und kann selbst Schadsoftware enthalten.

Die Veröffentlichung wurde vom 22. auf den 21. Oktober vorgezogen, weil die CVE-Nummern vorzeitig durchsickerten.

Was sollten Website-Betreiber tun?

1. PHP aktualisieren auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, oder das gepatchte Paket des Hosters bzw. der Linux-Distribution installieren, dann alle PHP-Prozesse neu starten.
2. Ältere Versionen: PHP 7.4 bis 8.1 erhalten nur Quellcode-Patches, 5.4 bis 7.3 gar nichts. Wechseln Sie auf einen unterstützten Zweig. PHP 8.2 endet am 31. Dezember 2026.
3. Wenn heute kein Update möglich ist: memory_limit=-1 so setzen, dass Anwendungen es nicht ändern können, und session.upload_progress.enabled=0 (bei PHP 8.5 auch fatal_error_backtraces=0), dann neu starten. Das sind Notlösungen, keine Fixes, betont Datadog Security Labs.
4. Bis zum 17. Oktober zurückschauen: riesige Formularanfragen mit megabytegrossen Feldnamen, Speicherfehler mit «Unknown on line 0», abgestürzte Apache-Prozesse und vor allem ein Webserver-Prozess, der eine Shell startet.

Was wir noch nicht wissen

Wie viele Server eingebrochen wurden und ob es einen zuverlässigen öffentlichen Exploit gibt. Schätzungen exponierter PHP-Server reichen von 1,3 bis über 1,9 Millionen. Stand: 22. Oktober 2026; spätere Meldungen werden nicht nachgeführt.

Die eigenen Websites von ARMSMA, armsma.org und Nocton, laufen nicht mit PHP. Unser kostenloser Schwachstellen-Tracker zeigt bereits ausgenutzte Lücken, und der Domain-Check zeigt, was Ihre eigene Website preisgibt.