PHP ist aus dem modernen Web kaum wegzudenken. Obwohl die Sprache oft für tot erklärt wird, laufen bis heute viele Websites, darunter WordPress, Wikipedia und unzählige individuelle Anwendungen, auf PHP. Aufgrund dieser enormen Verbreitung wird jede Sicherheitslücke in PHP automatisch zu einem potenziellen Massenproblem. Genau das ist im Oktober 2026 passiert: Zwei kritische Schwachstellen im PHP-Kern, die als „PHP2Shell“ bekannt sind, haben weltweit für Alarm gesorgt.
Was ist passiert?
Am 21. Oktober 2026 veröffentlichte das PHP-Team Sicherheitsupdates für zwei Schwachstellen, die unter den Bezeichnungen CVE-2026-109618 und CVE-2026-109619 registriert sind. Beide wurden mit einem CVSS-Score von 9,2 bewertet – ein Wert, der in der Cybersecurity-Welt die höchste Alarmstufe darstellt. Die Lücken befinden sich im PHP-Kern selbst und nicht in einer Anwendung oder einer falschen Konfiguration. Das heißt: Jeder Server, der eine verwundbare PHP-Version ausführt, ist angreifbar – unabhängig davon, welche Software darauf läuft.
Die technischen Details sind komplex, aber der Kern lässt sich so zusammenfassen:
CVE-2026-109618 ist eine Speicherkorruptionslücke, die bei Speichermangel auftritt. Sendet ein Angreifer eine speziell präparierte HTTP-Anfrage, die während der Verarbeitung einen Out-of-Memory-Zustand auslöst, kann PHP in einen Zustand geraten, in dem es nicht initialisierten oder bereits freigegebenen Speicher als gültig behandelt. Dadurch kann ein Angreifer potenziell beliebigen Code auf dem Server ausführen.
CVE-2026-109619 ist eine sogenannte Use-After-Free-Schwachstelle in der globalen Zustandsverwaltung. Ein PHP-Worker kann nach der Verarbeitung einer Anfrage eine Referenz auf bereits freigegebenen Speicher behalten. Wird die nächste Anfrage von demselben Worker verarbeitet, kann dieser auf den veralteten Zustand zugreifen, bevor er ordnungsgemäß zurückgesetzt wird. Auch dies kann zur Ausführung beliebigen Codes führen.
Warum ist das so gefährlich?
Die entscheidende Gefahr liegt in der Kombination aus Unauthentizität und Remote-Code-Execution. Ein Angreifer benötigt weder Anmeldedaten noch einen Zugang zum Administrationsbereich oder die Interaktion eines Opfers. Es kann ausreichen, einen speziell gestalteten HTTP-Request zu senden, um die Kontrolle über den Server zu übernehmen.
Besonders brisant: Die Schwachstellen schlagen ein, bevor überhaupt Anwendungscode ausgeführt wird. Das bedeutet, dass selbst gut abgesicherte PHP-Anwendungen mit Firewalls, Eingabevalidierung und sicheren Frameworks keinen Schutz bieten, wenn die zugrunde liegende PHP-Version verwundbar ist. Besonders betroffen sind Installationen mit Apache mod_php, bei denen sich Angriffe unauthentifiziert vor jeder Anwendungslogik auslösen lassen.
Bereits am Tag der Veröffentlichung des Patches warnten Sicherheitsbehörden weltweit, dass erste Proofs-of-Concept im Umlauf seien und die Wahrscheinlichkeit hoch sei, dass Angreifer die Lücken aktiv ausnutzen. Mögliche Konsequenzen sind Datendiebstahl, Serviceunterbrechungen, die vollständige Übernahme von Servern und die Nutzung als Sprungbrett für weitere Angriffe im Netzwerk.
Ein Blick zurück: Die Lage ist nicht neu
PHP2Shell ist der dramatischste Fall, aber nicht der einzige. Bereits im Dezember 2025 wurden mehrere ebenfalls ernst zu nehmende Schwachstellen in PHP geschlossen. CVE-2025-14178 beispielsweise war ein kritischer Heap-Buffer-Overflow in der Funktion array_merge(), der bei der Verarbeitung großer Arrays mit benutzergesteuerten Daten ausgelöst werden konnte und potenziell ebenfalls zu Remotecodeausführung führte. CVE-2025-14180 wiederum konnte bei Verwendung des PDO-PostgreSQL-Treibers mit aktivierter Emulation von Prepared Statements einen NULL-Pointer-Dereferenz auslösen und den Server zum Absturz bringen.
Diese Beispiele zeigen: Als fundamentale Infrastrukturtechnologie ist PHP ein permanentes Ziel für Angreifer. Die Schwere und Häufigkeit solcher Sicherheitslücken unterstreichen die Bedeutung eines konsequenten Patch-Managements.
Was bedeutet das für Betreiber?
Die klare Empfehlung lautet: sofort patchen. Die korrigierten PHP-Versionen sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Wer ältere Versionen wie PHP 8.1 oder darunter betreibt, sollte beachten, dass der offizielle Support für PHP 8.1 Ende 2025 ausgelaufen ist und keine regulären Sicherheitsupdates mehr bereitgestellt werden.
Sicherheitsbehörden empfehlen Organisationen, die nicht sofort patchen können, temporäre Maßnahmen: die Isolierung internetexponierter Anwendungen vom öffentlichen Netz, eine erhöhte Überwachung und die Analyse von Logs auf ungewöhnliche Aktivitäten. Indikatoren für eine Kompromittierung sind beispielsweise ungewöhnliche Prozesse, die von PHP-Diensten gestartet werden. Dennoch gilt: Diese Maßnahmen sind nur ein Pflaster – der einzige wirkliche Schutz ist ein Update.
Fazit: Wie gefährlich ist sie wirklich?
Die Antwort ist eindeutig: PHP2Shell ist sehr gefährlich, da es sich nicht um eine theoretische Bedrohung, sondern um eine praktisch ausnutzbare Schwachstelle in einer Technologie handelt, die einen Großteil des Webs am Laufen hält. Die Kombination aus unauthentifizierter Remotecodeausführung, der Anfälligkeit des PHP-Kerns selbst sowie der enormen Verbreitung von PHP macht diese Lücke zu einer der schwerwiegendsten Sicherheitsbedrohungen der jüngeren Vergangenheit. Die Sicherheitsbehörden weltweit haben reagiert – jetzt sind die Betreiber am Zug. Wer eine verwundbare PHP-Version einsetzt, sollte das Update nicht auf die lange Bank schieben.