In der weit verbreiteten Programmiersprache PHP wurden zwei kritische Sicherheitslücken entdeckt. Dadurch sind weltweit Millionen Webseiten und Webanwendungen gefährdet. Unter bestimmten Voraussetzungen können Angreifer die Schwachstellen ausnutzen, um ohne Anmeldung Schadcode auf betroffenen Servern auszuführen.
Die beiden Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und werden gemeinsam als „PHP2Shell” bezeichnet. Auf der CVSS-v4.0-Skala erreichen beide einen Schweregrad von 9,2 von 10 Punkten.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor den möglichen Auswirkungen. Inzwischen hat das PHP-Entwicklerteam am 21. Oktober 2026 Sicherheitsupdates veröffentlicht.
Was steckt hinter den PHP-Sicherheitslücken?
Die Schwachstellen betreffen die interne Speicherverwaltung und Fehlerbehandlung von PHP. Sie ermöglichen unter bestimmten Bedingungen eine sogenannte Remote Code Execution (RCE). Dadurch können Angreifer aus der Ferne eigene Befehle auf einem verwundbaren Server ausführen.
Technisch unterscheiden sich die beiden Sicherheitslücken:
- CVE-2026-109618: Ein Fehler beim Umgang mit erschöpftem Arbeitsspeicher (Out-of-Memory) kann dazu führen, dass PHP unvollständig initialisierte Speicherstrukturen verarbeitet. Dadurch lässt sich unter bestimmten Bedingungen Schadcode ausführen.
- CVE-2026-109619: Durch einen sogenannten Use-after-free-Fehler können bereits freigegebene Speicherbereiche erneut verwendet werden. Auch diese Schwachstelle ermöglicht eine Codeausführung und unter bestimmten Umständen das Auslesen sensibler Speicherinhalte.
Die Konfiguration mit Apache und mod_php ist besonders kritisch. Sicherheitsforscher konnten nachweisen, dass bereits eine speziell präparierte Anfrage ausreicht, um den Angriff auszulösen - noch bevor der eigentliche Anwendungscode ausgeführt wird. Auch für PHP-FPM wurden erfolgreiche Angriffswege demonstriert.
Welche Webseiten sind betroffen?
PHP ist eine der am häufigsten eingesetzten serverseitigen Programmiersprachen. Zahlreiche Content-Management-Systeme, Onlineshops und Webanwendungen basieren darauf.
Dazu gehören beispielsweise WordPress, Joomla, Drupal, TYPO3 und verschiedene Shopsysteme. Entscheidend ist jedoch nicht die eingesetzte Webanwendung, sondern die PHP-Version auf dem Server.
Betroffen sind unter anderem Installationen mit PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed. Nicht jede Webseite ist automatisch kompromittiert, die Sicherheitslücken betreffen jedoch eine sehr große Zahl potenziell erreichbarer Systeme.
Sicherheitsupdates für PHP bereits verfügbar
Am 21. Oktober 2026 haben die PHP-Entwickler vier aktualisierte Versionen veröffentlicht, die die beiden Sicherheitslücken schließen.
| PHP-Version | Sichere Version |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1 und älter | Kein reguläres Sicherheitsupdate |
Ältere PHP-Versionen erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Einige ältere Versionen haben jedoch Quellcode-Patches beziehungsweise Sicherheitskorrekturen von Linux-Distributoren und Langzeit-Support-Anbietern erhalten.
Zudem erreicht PHP 8.2 am 31. Dezember 2026 das Ende seines offiziellen Supports. Betreiber sollten daher bereits einen Umstieg auf eine neuere Version einplanen.
Die aktualisierten Versionen stehen auf der offiziellen PHP-Webseite bereit.
Was sollten Webseitenbetreiber jetzt tun?
Betreiber von Webseiten, die mit PHP erstellt wurden, sollten möglichst schnell überprüfen, welche PHP-Version auf dem Server installiert ist, und verfügbare Sicherheitsupdates einspielen.
Bei WordPress lässt sich die installierte PHP-Version über den Pfad „Werkzeuge > Website-Zustand > Info > Server” überprüfen. Alternativ ist diese Information häufig im Verwaltungsbereich des Webhosters zu finden.
Wichtig: Ein Update von WordPress selbst reicht nicht aus, da sich die Schwachstellen direkt in PHP befinden. Die WordPress-Entwickler haben ausdrücklich erklärt, dass deshalb kein gesondertes WordPress-Update geplant ist.
Falls ein PHP-Update nicht unmittelbar möglich ist, können zusätzliche Schutzmaßnahmen wie Zugriffsbeschränkungen oder angepasste Firewall-Regeln das Risiko vorübergehend reduzieren. Einen vollständigen Schutz bieten diese Maßnahmen allerdings nicht. Besonders gefährdete Systeme sollten bis zur Aktualisierung gegebenenfalls vom Internet getrennt werden.
Gibt es bereits aktive Angriffe?
Schon vor der Veröffentlichung der Updates hatten die Sicherheitslücken für erhebliche Aufmerksamkeit gesorgt. Im Internet kursierten bereits erste Demonstrationen und Angriffskonzepte, die eine mögliche Ausnutzung zeigen.
Laut der PHP Foundation konnten die Entwickler zum Zeitpunkt der Veröffentlichung noch keine öffentlich verbreiteten, funktionsfähigen Exploits bestätigen. Sicherheitsbehörden rechnen allerdings damit, dass Angreifer die Schwachstellen zeitnah gezielt ausnutzen könnten.
Ob bereits größere Angriffskampagnen stattfinden, ist bislang nicht bestätigt. Angesichts der weiten Verbreitung von PHP und der Schwere der Schwachstellen sollten Webseitenbetreiber die Sicherheitsupdates dennoch mit hoher Priorität installieren.
