Notfall-Patch! PHP2Shell ermöglicht Remote Code Execution auf PHP-Servern
●Laufende Entwicklung
Status: In Bewegung. Dieser Beitrag wurde zuletzt am 21. Oktober 2026 aktualisiert. Wir ergänzen ihn, sobald neue Informationen vorliegen.
PHP hat Patches für zwei kritische Schwachstellen veröffentlicht, CVE-2026-109618 und CVE-2026-109619, von Sicherheitsforschenden PHP2Shell genannt. Jede unterstützte PHP-Installation sollte noch heute aktualisiert werden. Laut PHP können beide Schwachstellen eine nicht authentifizierte Remote Code Execution ermöglichen, und das PHP-Sicherheitsteam bewertet beide mit CVSS v4.0 9,2. Die behobenen Versionen, am 21. Oktober 2026 veröffentlicht, sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.1 und älter haben ihr End of Life erreicht und erhalten offiziell keine Updates mehr, auch wenn das Sicherheitsteam von PHP minimale Quellcode-Backports für PHP 7.4, 8.0 und 8.1 veröffentlicht hat. Bislang wurde keine Ausnutzung in freier Wildbahn gemeldet, und keine der beiden CVEs steht im KEV-Katalog der CISA. Schnelles Handeln sorgt dafür, dass das so bleibt: Eine frühere kritische PHP-Schwachstelle, CVE-2024-4577, zog innerhalb eines Tages Exploit-Versuche nach sich.
Die unterstützten Zweige zu aktualisieren, ist der einfache Teil. Schwieriger ist es, jede PHP-Installation in Ihrem Netzwerk zu finden, auch die, die von außen nicht sichtbar sind, und die, die das PHP-Projekt nicht mehr aktualisiert. CERT-EU und das deutsche BSI haben zu beiden Schwachstellen Advisories veröffentlicht [1][2].
Prüfen Sie Ihr Netzwerk mit Greenbone auf PHP2Shell
Der OPENVAS ENTERPRISE FEED von Greenbone enthält Versionsprüfungen für CVE-2026-109618 und CVE-2026-109619 unter Linux und Windows. Die heute veröffentlichten authentifizierten Scans suchen systemweit nach ausführbaren Dateien und Binärdateien, um die PHP-Version zu bestimmen. Prüfungen auf Paketebene für Linux-Distributionen folgen, sobald die Distributionen ihre Advisories veröffentlichen. Die Prüfungen sind in der Version „Wed Oct 21, 07:20:00 2026“ des OPENVAS ENTERPRISE FEED enthalten. Um sie heute zu erhalten, starten Sie manuell ein Feed-Update. Andernfalls wird der Feed über Nacht automatisch geladen und die Prüfungen stehen morgen auf Ihrer Appliance bereit. OPENVAS SCAN können Sie jetzt kostenlos herunterladen. Es enthält eine zweiwöchige Testversion des ENTERPRISE FEED mit über 250.000 Schwachstellentests, und es werden täglich mehr.
Was PHP2Shell für End-of-Life-PHP bedeutet
PHP unterstützt derzeit vier Zweige: 8.2 und 8.3 erhalten nur noch Sicherheitsupdates, während 8.4 und 8.5 im aktiven Support sind. Der Sicherheitssupport für PHP 8.2 endet am 31. Dezember 2026. Jeder ältere Zweig hat sein End of Life erreicht: PHP 8.1 seit dem 31. Dezember 2025, PHP 8.0 seit dem 26. November 2023, PHP 7.4 seit dem 28. November 2022 und PHP 5.6 seit dem 31. Dezember 2018. Laut den Advisories von PHP ist jede Version unterhalb von 8.2.35 betroffen [3][4]. Für End-of-Life-Zweige verweist PHP auf Distributionen und LTS-Anbieter, die Korrekturen per Backport bereitstellen, und das Sicherheitsteam hat minimale Quellcode-Backports für PHP 7.4, PHP 8.0 und PHP 8.1 veröffentlicht, für alle, die aus dem Quellcode bauen. Ältere Zweige wie PHP 5.6 erhalten beides nicht. Bevor Sie diese Systeme beheben können, müssen Sie wissen, wo sie laufen.
Im Internet ist noch sehr viel altes PHP im Einsatz. Laut Mallorys Zählung von Shodan-Bannern vom 20. Oktober 2026 melden rund 884.000 aus dem Internet erreichbare Hosts eine End-of-Life-PHP-Version, das sind 59 % der rund 1,5 Millionen Hosts, die überhaupt eine Version anzeigen. Weitere rund 740.000 geben ihre Version nicht preis. Dabei handelt es sich um Banner-Zählungen, nicht um bestätigt betroffene Systeme.
Ein verborgenes Versionsbanner bedeutet nicht, dass dahinter kein PHP läuft. PHP steckt auch in Control Panels wie cPanel und Plesk, Content-Management-Systemen und Herstellersoftware, wo es nach fremdem Zeitplan aktualisiert wird, oder gar nicht.
Eine Risikoeinschätzung zu PHP2Shell
Informationen zu beiden Schwachstellen sind vor der geplanten koordinierten Offenlegung durchgesickert, und PHP hat seine Patches einen Tag früher als ursprünglich geplant veröffentlicht [5][6]. Stand 21. Oktober 2026 melden watchTowr und das BSI keine bestätigte Ausnutzung in freier Wildbahn, und keine der beiden CVEs steht im KEV-Katalog der CISA. Die Schwachstellen sind aber in der Praxis ausnutzbar: Laut dem Advisory von PHP wurde eine nicht authentifizierte Remote Code Execution über HTTP gegen mod_php validiert, und zwar mit Standard-Eingabe- und Speicherlimits.
PHP-Schwachstellen wurden schon früher sehr schnell angegriffen. Als die kritische PHP-Schwachstelle CVE-2024-4577 im Juni 2024 bekannt wurde, beobachtete Akamai die ersten Exploit-Versuche gegen seine Honeypots bereits innerhalb eines Tages.
Technische Details zu CVE-2026-109618 und CVE-2026-109619 in PHP
PHP sieht alle PHP-Installationen, die Webanfragen bearbeiten, als gefährdet an, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das Risiko stuft PHP bei mod_php am höchsten ein, wo eine nicht authentifizierte Anfrage den Angriff auslösen kann, bevor irgendein Anwendungscode läuft. Beide Advisories nennen Use-after-free [CWE-416] unter den Schwächen, und das ChangeLog verzeichnet beide unter einer einzigen Korrektur im PHP-Kern („Avoid state corruption via bailout“).
Die zwei CVEs, die in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben sind, jeweils mit CVSS-Schweregrad und EPSS-Ausnutzungswahrscheinlichkeit
RCE durch OOM-Korruption (GHSA-w8hw-w9fx-j79w): Wenn PHP der Arbeitsspeicher ausgeht, während interne Anfragedaten erst teilweise initialisiert sind, kann die Bereinigung der Anfrage die ungültigen Daten als gültig behandeln.
RCE durch veralteten globalen Zustand (GHSA-6wmf-4rv5-p3rp): Interner Zustand, der zu einer Anfrage gehört, kann in einem dauerhaft laufenden Worker bestehen bleiben, nachdem sein Speicher freigegeben wurde, und eine spätere Anfrage, die derselbe Worker bearbeitet, kann ihn verwenden.
Die Advisories von PHP enthalten alle technischen Details [7][8].
Betroffene Versionen und Gegenmaßnahmen für CVE-2026-109618 und CVE-2026-109619 in PHP
Aktualisieren Sie jede unterstützte PHP-Installation auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Wenn Sie einen End-of-Life-Zweig betreiben, steigen Sie auf einen unterstützten Zweig um. Da der Sicherheitssupport für PHP 8.2 am 31. Dezember 2026 endet, ist PHP 8.4 oder 8.5 das bessere Ziel. Wenn Sie noch nicht umsteigen können, prüfen Sie, ob Ihre Distribution oder Ihr LTS-Anbieter eine Korrektur per Backport bereitstellt, oder bauen Sie aus den Quellcode-Backports von PHP für 7.4, 8.0 und 8.1.
Wenn Sie nicht sofort aktualisieren können, nennt PHP Konfigurationsänderungen, die das Risiko für bestimmte Angriffspfade verringern, zum Beispiel das Erzwingen von memory_limit=-1 gegen CVE-2026-109618 und das Setzen von session.upload_progress.enabled=0 gegen CVE-2026-109619. PHP stellt klar, dass diese Maßnahmen eine Installation nicht sicher machen und dass nur das Update vollständig schützt. CERT-EU empfiehlt zusätzlich, internetexponierte Anwendungen von öffentlichen Netzen zu isolieren, bis der Patch eingespielt ist.
Linux-Distributionen übernehmen Korrekturen manchmal per Backport in ihre eigenen PHP-Pakete, ohne die Versionsnummer zu ändern. Laut PHP haben Distributionen und LTS-Anbieter die Patches vorab erhalten, prüfen Sie daher bei Ihrem Anbieter, ob aktualisierte Pakete vorliegen. Bei PHP, das mit Control Panels, Content-Management-Systemen oder Appliances mitgeliefert wird, fragen Sie den jeweiligen Hersteller.
So finden Sie anfällige PHP-Installationen mit Greenbone
Die Prüfungen für CVE-2026-109618 und CVE-2026-109619 funktionieren in nicht authentifizierten und in authentifizierten Scans, doch beide sehen Unterschiedliches. Ein nicht authentifizierter Scan sieht nur, was ein Server preisgibt. Verbirgt ein Host seine PHP-Version, kann der Scan nicht feststellen, welche Version läuft, und das Ergebnis ist nur so zuverlässig wie die Versionsinformation, die der Server sendet. Ein authentifizierter Scan meldet sich an und untersucht die installierte Software; er findet daher PHP auf jedem Host, den Sie mit Zugangsdaten scannen, unabhängig davon, ob dieser eine Version anzeigt. Für eine tiefere Suche auf Windows-Hosts aktivieren Sie vor dem Scan die Portable-App-Erkennung: Bearbeiten Sie Ihre Scan-Konfiguration (zum Beispiel eine Kopie von Full and fast), scrollen Sie zu Network Vulnerability Test Preferences, suchen Sie Options for Local Security Checks, setzen Sie Enable Detection of Portable Apps on Windows auf yes und speichern Sie. Authentifizierte Scans dauern länger und belasten die gescannten Systeme stärker, daher sollten Sie Umfang und Zeitpunkt des Scans entsprechend planen.
Zusammenfassung
CVE-2026-109618 und CVE-2026-109619 sind zwei kritische Schwachstellen in PHP, die eine nicht authentifizierte Remote Code Execution ermöglichen können. PHP hat sie in 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben, während End-of-Life-Zweige auf Backports angewiesen sind. Bislang wurde keine Ausnutzung gemeldet, doch eine frühere kritische PHP-Schwachstelle, CVE-2024-4577, zog innerhalb eines Tages Exploit-Versuche nach sich. Sicherheitsverantwortliche sollten jetzt aktualisieren und dann jede PHP-Installation finden, die sie vergessen haben: End-of-Life-Versionen, Hosts, die ihre Version verbergen, und PHP, das in andere Software eingebettet ist.
Updates
- 21. Oktober 2026: Erstveröffentlichung.
