PHP2Shell: Zwei kritische PHP-RCE-Lücken geschlossen

Am 21. Oktober 2026 veröffentlichte das PHP-Sicherheitsteam Notfall-Patches für PHP2Shell, zwei kritische RCE-Lücken (CVE-2026-109618, CVE-2026-109619). Beide sind mit 9,2 (kritisch) nach CVSS v4.0 bewertet und betreffen PHP 5.4 bis 8.5 – die Sprache hinter rund 69 % der Websites. Angreifer brauchen keinen Login und lösen die Fehler mit einer einzigen manipulierten multipart/form-data-Anfrage aus.

Was ist PHP2Shell?

PHP2Shell bezeichnet eine Exploit-Kette aus zwei Speichersicherheitsfehlern im PHP-Kern. Entdeckt wurden sie unabhängig von Calif (mit OpenAI) und Wiz; Calif meldete am 11. August 2026, Wiz am 24. August. Der Name stammt aus einem geleakten Screenshot und Demo-Video mit funktionierendem Exploit.

Die Fehler entstehen, wenn eine PHP-Anfrage schwer scheitert – meist bei Speichermangel. Die Aufräumroutine gibt Speicher frei, auf den andere Teile des Worker-Prozesses noch zeigen. Angreifer manipulieren diesen Zustand, sodass die nächste Anfrage ihren Code ausführt – vor jeglichem Website-Code. Selbst perfekt programmierte Anwendungen sind betroffen.

Kritische PHP-Sicherheitslücken zeigen, wie schwierig Speicherbereinigung in lang laufenden Webprozessen ist.

Wie der Angriff funktioniert

CVE-2026-109618: RCE über OOM-Korruption

Diese als „RCE via OOM corruption“ bezeichnete Lücke wird über die Formular-Upload-Analyse erreicht. Fehlende Längen, endlose Part-Header oder leere Dateifelder mit verschachtelten Namen zwingen PHP aus der normalen Ausführung und hinterlassen defekten Anfragespeicher. Unter Apache mod_php funktioniert Code-Execution mit Standardlimits, bevor Anwendungscode läuft.

CVE-2026-109619: RCE über veralteten globalen Zustand

Die zweite Lücke, „RCE via stale global state“, nutzt Speicher eines PHP-Workers nach der Freigabe. PHP bestätigte Codeausführung über den Fatal-Error-Backtrace-Pfad unter mod_php sowie über den Session-Upload-Progress-Pfad unter mod_php und PHP-FPM. Betroffen sind PHP-FPM, mod_php (am gefährlichsten), php-cgi, FrankenPHP und LiteSpeed. Forscher bestätigten Angriffe gegen WordPress, Drupal, Joomla, Magento, Nextcloud, phpMyAdmin, Laravel und weitere. Wiz nannte die Funde „unter den schwersten in PHP und wohl in der Softwaregeschichte“.

Was bestätigt ist – und was nicht

Bestätigt

• Zwei kritische Fehler im PHP-Kern, beide 9,2 (CVSS v4.0).
• Notfall-Patches am 21. Oktober 2026, 14:00 UTC.
• Nicht authentifizierte RCE unter mod_php für beide Fehler; unter PHP-FPM über Session-Pfad validiert.
• Im Feld ausgenutzt: watchTowr sah Angriffe in Honeypots nach Cloudflares Meldung früher Versuche.
• Keine Einstellung schützt vollständig; nur ein Update schließt alle Pfade.

Berichtet, nicht von PHP bestätigt

• Dass jede genannte Anwendung verwundbar ist: PHP bestätigte Angriffspfade, nicht jede App.
• Verbreitung aktiver Angriffe: CISA listete die Fehler zum Redaktionsschluss nicht als ausgenutzt.
• Exposition: grob über 1,3 Millionen potenziell verwundbare Hosts.

Was tun, wenn Sie PHP betreiben

Fachleute raten einhellig: „Die einzige Gegenmaßnahme ist Patchen bzw. Upgraden von PHP“, so Gina Peter Banyard. Schritte:

1. Finden Sie jedes PHP: CLI- und Webserver-Version können abweichen; PHP-FPM und Apache-Module getrennt prüfen.
2. Sofort aktualisieren: PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35; Distributionen/Hoster-Advisories beachten.
3. Nicht auf Einstellungen verlassen: Workarounds wie session.upload_progress.enabled=0 oder memory_limit=-1 blockieren nur einige Pfade.
4. Zeit gewinnen: Cloudflare aktivierte Firewall-Regeln für alle Kunden, auch Free. Internetzugewandte PHP-Seite bis zum Patch offline nehmen.
5. Auf Kompromittierung prüfen: unerwartete PHP-Dateien, neue Admins, ungewöhnliche ausgehende Verbindungen, grundlos neu startende Worker.

Warum es wichtig ist

PHP betreibt Blogs, Shops, Foren, Regierungsportale und die meisten WordPress-Installationen. Der Fix legt den verwundbaren Code offen; Angreifer können Versionen vergleichen und schnell Exploits bauen. Sansec warnte, die massenhafte Ausnutzung von Webservern könne Minuten nach dem Release beginnen. Viele Seiten nutzen zudem EOL-PHP 7 und 5 mit nur Quellcode-Patches oder ohne Support.

Am Patch-Tag gingen mehrere europäische Regierungswebsites vorsorglich offline; Cloudflares CTO sah „erste Angriffe entstehen“. Verwandt ist die Sicherheit von Zertifizierungsstellen und anderer kritischer Infrastruktur, die am selben Tag separate Probleme hatte.

FAQ

Was ist PHP2Shell?

Zwei kritische PHP-Lücken (CVE-2026-109618, CVE-2026-109619), die nicht authentifizierte RCE auf Servern mit PHP 5.4 bis 8.5 ermöglichen.

Welche PHP-Versionen sind betroffen?

Alle von 5.4 bis 8.5. Gepatcht: 8.5.12, 8.4.27, 8.3.36, 8.2.35. Quellcode-Patches für EOL 7.4, 8.0 und 8.1.

Wie schütze ich meinen Server?

PHP sofort aktualisieren. Keine Konfiguration blockiert den Angriff vollständig; temporäre Maßnahmen überbrücken nur bis zum Patch.

Wurde PHP2Shell im Feld ausgenutzt?

Ja. Cloudflare meldete frühe Versuche vor dem Patch; watchTowr beobachtete am 21. Oktober 2026 Ausnutzung im Honeypot-Netz.

Behebt ein WordPress- oder Plugin-Update den Fehler?

Nein. Die Lücke steckt in PHP selbst, unterhalb des Anwendungscodes. Aktualisieren Sie PHP, nicht nur CMS oder Plugins.