PHP2Shell: Zwei kritische PHP-Lücken erlauben Codeausführung auf Webservern ohne Anmeldung

Am 21. Oktober 2026 hat das PHP-Projekt die Notfall-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht, die CVE-2026-109618 und CVE-2026-109619 schließen – zwei Speicherfehler, über die ein nicht angemeldeter Angreifer per präparierter HTTP-Anfrage Code ausführen kann. CERT-FR hat eine Warnung herausgegeben: Jede PHP-Installation mit Webverkehr muss aktualisiert werden, auch alte 7.x- und 8.0–8.1-Zweige.

Was geschah

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt ein kritisches Sicherheitsupdate, PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, das zwei als PHP2Shell bezeichnete Lücken zur Remote-Codeausführung schließt, jeweils mit 9,2 nach CVSS 4.0 bewertet. CERT-FR gab am selben Tag die Warnung CERTFR-2026-ALE-014 heraus. CVE-2026-109618 liegt in der Behandlung von Speichermangel: Eine Anfrage kann abbrechen, während ihre internen Daten nur teilweise initialisiert sind, und die Aufräumphase verwendet diese ungültigen Daten anschließend. Übergroße Multipart-Anfragen sind ein Auslöser. CVE-2026-109619 ist ein Use-after-free: Zustand einer Anfrage bleibt im Worker-Prozess erhalten und wird von einer späteren Anfrage weiterverwendet.

Wer betroffen ist

Laut php.net ist jede Installation betroffen, die Webanfragen bedient: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Nach den PHP-Hinweisen wurde vollständige Codeausführung ohne Anmeldung gegen mod_php in der Standardkonfiguration nachgewiesen, bei der zweiten Lücke auch gegen FPM. CERT-FR führt alle Versionen 5.x, 6.x, 7.x, 8.0 und 8.1 als verwundbar; ausnahmsweise hat das PHP-Team minimale Quellcode-Patches für die nicht mehr unterstützten Zweige 7.4, 8.0 und 8.1 bereitgestellt. Offizielle Quellen meldeten bei Redaktionsschluss keine aktive Ausnutzung; laut ZATAZ kursieren Demonstrationen in Foren. WordPress, Drupal, Joomla und Eigenentwicklungen laufen alle auf PHP.

Was jetzt zu tun ist

1. PHP-Versionen erfassen auf jedem Server und Container: php -v, und die tatsächlich vom Webserver genutzte Version prüfen (FPM-Pool, Apache-Modul).
2. Aktualisieren auf 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 oder die korrigierten Pakete der Distribution einspielen (apt update && apt upgrade, dnf upgrade 'php*'), danach PHP-FPM oder Apache neu starten, damit kein alter Worker weiterläuft.
3. Falls heute kein Patch möglich ist: session.upload_progress.enabled = Off in der php.ini setzen, wie von CERT-FR empfohlen, und fatal_error_backtraces auf Off stellen; das PHP-Team warnt, dass dies nicht alle Angriffswege abdeckt.
4. Unter 7.4 bis 8.1: die Backports oder Herstellerpatches sofort einspielen und den Umstieg auf einen unterstützten Zweig planen (auch 8.2 endet am 31. Dezember 2026).
5. Protokolle überwachen: Abstürze von PHP-Workern, Speicherfehler und unerwartete Dateien in Webverzeichnissen.

Unsere Einschätzung

PHP steckt unter einem Großteil der Unternehmenswebsites, oft in Versionen, an deren Installation sich niemand erinnert. Diese Lücken zeigen, dass man Laufzeitumgebungen inventarisieren muss, nicht nur Anwendungen, und dass ein PHP-Zweig am Lebensende ein zu beseitigendes Risiko ist, kein hinzunehmendes Erbe.

Quellen

• PHP — Critical security release: PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35
• CERT-FR — CERTFR-2026-ALE-014 : Multiples vulnérabilités dans PHP
• PHP (GitHub security advisory) — RCE via OOM corruption
• PHP (GitHub security advisory) — RCE via stale global state
• ZATAZ — PHP2Shell : deux failles critiques menacent les serveurs web

Wie wir unsere Analysen auswählen, prüfen und schreiben →