Was ist PHP2Shell?
Unter dem Namen PHP2Shell werden zwei kritische Sicherheitslücken in der PHP-Laufzeit zusammengefasst. Unter geeigneten Bedingungen können Angreifer ohne Anmeldung Code auf betroffenen Servern ausführen. Das PHP Security Team hat am 21. Oktober 2026 Sicherheitsupdates veröffentlicht.
Es handelt sich nicht um einen einzelnen WordPress-Plugin-Fehler. Entscheidend ist die PHP-Laufzeit hinter einer Website. Auch ein aktuell gehaltenes CMS ersetzt deshalb nicht die Prüfung des PHP-Paketstands.
RCE via OOM corruption
Beim Umgang mit Speichermangel kann PHP eine Anfrage unterbrechen, während interne Daten noch nicht vollständig initialisiert sind. Werden diese Daten beim Aufräumen der Anfrage später als gültig behandelt, kann daraus eine ausnutzbare Speicherbeschädigung entstehen. Das Advisory bewertet die Lücke mit CVSS v4.0 9.2 als kritisch.
RCE via stale global state
Ein PHP-Worker kann internen Zustand behalten, obwohl der Speicher der zugehörigen Anfrage bereits freigegeben wurde. Eine spätere Anfrage desselben Workers kann auf diesen veralteten Zustand zugreifen. Auch diese Lücke ist als kritisch mit CVSS v4.0 9.2 eingestuft.
Welche PHP-Versionen enthalten die Fixes?
Die folgenden Mindeststände beziehen sich ausschließlich auf CVE-2026-109618 und CVE-2026-109619. Versionsnummern sind nicht zwischen PHP-Zweigen austauschbar.
| PHP-Zweig | Unter diesem Stand prüfen | Upstream-Fix für die zwei CVEs |
|---|---|---|
| PHP 8.2 | < 8.2.35 | 8.2.35 |
| PHP 8.3 | < 8.3.36 | 8.3.36 |
| PHP 8.4 | < 8.4.27 | 8.4.27 |
| PHP 8.5 | < 8.5.12 | 8.5.12 |
| 8.1 und älter | Kein regulärer Upstream-Support | Upgrade / LTS-Nachweis |
Distributionen und Hosting-Anbieter können Korrekturen zurückportieren. Ein älter wirkender Versionsstring beweist dann keine Verwundbarkeit. Lassen Sie sich den Patch für das konkrete Paket bestätigen.
Der ergänzende Hinweis vom 23. Oktober zu CVE-2026-115560 / Session Upload Progress muss zusätzlich bewertet werden. Der Versionsvergleich ist keine allgemeine Sicherheitsfreigabe.
Was sollten Website-Betreiber tun?
- PHP-Installationen und Hosting-Pakete erfassen. Öffentlich erreichbare Systeme zuerst bearbeiten.
- Den passenden Sicherheitsstand beim Hosting-Anbieter einspielen lassen und die laufenden Worker neu starten lassen.
- Paketversion, Anbieter-Advisory und Zeitpunkt des Updates dokumentieren.
- Ergänzende Konfigurationshinweise prüfen. War das System exponiert, auch mögliche Kompromittierung untersuchen lassen.
Ein Update entfernt nicht automatisch bereits installierte Hintertüren. Bei konkretem Verdacht ist eine Incident-Response-Prüfung sinnvoll.
Kann ein PHP-Sicherheitschecker meine Website freigeben?
Nein. Unser Check liest öffentlich sichtbare HTTP-Header und vergleicht einen gegebenenfalls erkennbaren PHP-Versionshinweis mit den veröffentlichten Mindestständen. Er löst die Schwachstellen nicht aus und kann weder versteckte Versionen noch alle Backends oder Hersteller-Backports verlässlich erkennen.
Ein Ergebnis „nicht feststellbar“ ist deshalb ein ehrlicher Befund. Für einen Nachweis braucht es Informationen aus dem Hosting-Panel, Paketverwaltung oder die Bestätigung des Betreibers.
PHP-Website-Check öffnen ↗Quellen und Einordnung
- PHP Security Team: Sicherheitsfreigabe vom 21. Oktober 2026 ↗
- CVE-2026-109618 / GHSA-w8hw-w9fx-j79w ↗
- CVE-2026-109619 / GHSA-6wmf-4rv5-p3rp ↗
- PHP: Ergänzender Hinweis vom 23. Oktober 2026 ↗
- NCSC: Handlungsempfehlungen zu PHP2Shell ↗
Redaktionelle Erstorientierung von HANECS, kein Penetrationstest und keine Zusicherung der Sicherheit. Keine automatische Aktualisierung: Stand dieses Briefings ist der 26. Oktober 2026.