PHP-Sicherheitslücke "php2shell" bedroht Millionen Webseiten

PHP steht heute im Zentrum eines der größten Sicherheitsvorfälle der letzten Jahre: Am 20. Oktober 2026 sind Details zu zwei kritischen Schwachstellen im Kern der Skriptsprache vorzeitig öffentlich geworden, noch bevor das PHP-Team die geplanten Updates veröffentlichen konnte. Die Lücken tragen die Bezeichnungen CVE-2026-109618 und CVE-2026-109619, werden von Sicherheitsforschern unter dem Namen "php2shell" zusammengefasst und erlauben einem Angreifer die Ausführung beliebigen Codes auf betroffenen Servern.

Was ist passiert?

Anders als bei üblichen Schwachstellen in Plugins oder CMS-Systemen stecken beide Lücken direkt im PHP-Kern selbst – also in der Programmiersprache, auf der grob geschätzt ein großer Teil aller Webseiten weltweit aufbauen, von WordPress über Laravel bis MediaWiki. Die Details wurden am 20. Oktober 2026 geleakt, bevor die koordinierte Veröffentlichung mit Patches abgeschlossen war.

Das PHP-Sicherheitsteam stuft beide Schwachstellen mit einem Score von 9,2 im CVSS v4.0-System als relativ kritisch ein. Die Forscher von watchTowr, die die Lücken untersucht haben, sprachen zunächst sogar von einem möglichen CVSS-Score von 10 und konnten CVE-2026-109618 in einer Laborumgebung erfolgreich reproduzieren. Laut CERT-EU deutet die Einstufung auf unauthentifizierte Remote Code Execution hin – die Lücken wären also ohne jegliche Zugangsdaten und direkt übers Netz ausnutzbar.

Wichtig zur Einordnung: Eine aktive Ausnutzung wurde bislang von keiner Stelle bestätigt – weder von Huntress in den überwachten Umgebungen noch von watchTowr. Ein kursierendes Video, das eine Ausnutzung zeigen soll und ein öffentlich verbreiteter Proof-of-Concept ließen sich laut Heise in einer Laborumgebung nicht nachstellen; der PoC soll ohnehin nur auf ein bestimmtes Server-API (LiteSpeed, lsphp8) ausgelegt sein. Angesichts der geleakten Details ist jedoch mit vermehrten Scan- und Exploit-Versuchen aber in jedem Fall zu rechnen.

Welche Versionen sind betroffen?

Die Angaben zur genauen Betroffenheit sind noch nicht offiziell bestätigt, da das PHP-Team technische Details erst mit der Patch-Veröffentlichung publiziert. Sowohl watchTowr als auch CERT-EU gehen jedoch davon aus, dass grundsätzlich alle PHP-Versionen seit PHP 5 betroffen sind – also die Versionen 5, 6, 7 und 8. PHP 5 erschien im Jahr 2004, die Lücke wäre demzufolge also schon über zwei Jahrzehnte in der Software vorhanden.

Bitter für viele Betreiber: Offizielle Fixes werden vorrangig für die aktuell unterstützten PHP-8-Zweige erwartet. End-of-Life-Versionen wie PHP 5.x, 7.x, 8.0 und 8.1 bleiben ohne Hersteller-Patch und damit dauerhaft angreifbar.

Die geleakten technischen Details verorten die Ursache in PHPs Session-Upload-Progress-Mechanismus (session.upload_progress), der den Fortschritt laufender Datei-Uploads verfolgt und in der Benutzersession speichert. Beschrieben wird ein Heap-Use-after-free im Session-Callback, über den sich letztlich beliebige Systembefehle ausführen lassen.

Wann kommt der Patch?

Das PHP-Projekt veröffentlicht die Sicherheitsupdates heute, den 21. Oktober 2026, um 16:00 Uhr mitteleuropäischer Sommerzeit (14:00 Uhr UTC) für verschiedene PHP-Versionen. Die PHP-Foundation hatte bereits am 20. Oktober auf ihrer Website und per Mailingliste vorgewarnt und angekündigt, die Patches früher herauszubringen, falls Details vorzeitig publik werden oder aktive Ausnutzung entdeckt wird.

Das offizielle deutsche Warnsystem der Allianz für Cybersicherheit hat ebenfalls eine Warnung veröffentlicht und empfiehlt, die Updates direkt nach Erscheinen einzuspielen.

Erste Reaktionen: Behörden warnen, Dienste gehen offline

Die Reaktion in Deutschland und Europa fällt außergewohnt scharf aus. Die Universität Freiburg hat alle dezentralen PHP-Systeme vorsorglich vom Netz genommen und bittet Administratoren, eigene PHP-Systeme im Zweifel herunterzufahren, bis die Patches eingespielt sind. Auch erste Städte und Kommunen haben ihre Online-Dienste aus Sicherheitsgründen vorübergehend offline genommen, die EU-Behörde CERT-EU warnt vor den Lücken. Selbst Reuters berichtet über die beiden kritischen Fehler, die zahlreiche Internetseiten für Angriffe anfällig machen.

CERT-EU rät Administratoren, umgehend ein Inventar aller PHP-basierten Server und Anwendungen zu erstellen und sich auf ein sofortiges Update vorzubereiten.

Was Admins jetzt konkret tun können

Wer den Patch heute Nachmittag nicht sofort einspielen kann, sollte vorübergehende Schutzmaßnahmen ergreifen. Aus der Community-Diskussion auf Reddit (r/msp) und den bisherigen Veröffentlichungen lassen sich diese Optionen ableiten:

• Patches einspielen: Sobald die Updates um 16 Uhr erscheinen, sollten alle unterstützten PHP-Versionen aktualisiert werden – insbesondere Systeme, die öffentlich im Internet erreichbar sind.
• Session-Upload-Progress deaktivieren: Da die Lücken im Upload-Progress-Mechanismus vermutet werden, bietet session.upload_progress.enabled = Off in der php.ini einen möglichen Schutz. Der Haken: Die Einstellung lässt sich über eine .user.ini im Document Root wieder aktivieren.
• Multipart-Requests auf Webserver-Ebene blockieren: Wer sicher gehen will, blockiert Multipart-Formular-Requests (also Datei-Uploads) direkt in nginx oder Apache, bevor sie PHP überhaupt erreichen. file_uploads = Off in PHP allein reicht dafür nicht, da PHP den Multipart-Body trotzdem verarbeitet.
• Notfall-Extensions nutzen: Auf Reddit hat ein Hosting-Anbieter eine Open-Source-PHP-Erweiterung veröffentlicht, die den Upload-Progress-Handler bereits beim PHP-Start deaktiviert – unabhängig von php.ini und .user.ini – und PHP 5.6 bis 8.5 unterstützt.

Für den Fall, dass EOL-Versionen im Einsatz sind, die keine Patches mehr erhalten, bleibt nur die Isolierung der Systeme: Extern erreichbare PHP-Dienste sollten eingeschränkt oder vom Netz getrennt werden.