PHP2Shell: Kritische PHP-Sicherheitslücke bedroht Millionen Webseiten – Was Sie jetzt tun müssen!

Hinter dem Begriff PHP2Shell stecken zwei schwerwiegende Speicherfehler im Kern der Programmiersprache PHP, die auf der CVSS-v4.0-Skala mit 9,2 von 10 Punkten (Kritisch) eingestuft wurden:

• CVE-2026-109618 (Gezielter Speichermangel): Ermöglicht eine Remotecodeausführung (RCE) über eine Speicherbeschädigung. Angreifer bringen PHP dazu, das Speicherlimit an einer exakt berechneten Stelle zu überschreiten (z. B. durch tief verschachtelte Dateinamen bei Uploads). Dadurch kollabiert der Speicher.
• CVE-2026-109619 (Use-After-Free via Upload Progress): Nutzt veraltete globale Zustände im Arbeitsspeicher aus. Bricht eine Anfrage wegen eines künstlichen Speicherfehlers ab, verweisen interne Session-Zustände plötzlich auf bereits freigegebenen Speicher. Bei einer Folgeanfrage arbeitet PHP mit diesen manipulierten Verweisen weiter.

Das Grundproblem ist ein über 20 Jahre alter Designfehler im PHP-Interpreter. Wenn das Standard-Speicherlimit (meist 128 MB) pro Anfrage überschritten wird, löste PHP bislang keinen sauberen Fehler aus, sondern einen sogenannten „Bailout“. Das ist ein interner Sprungbefehl in C, der die laufende Funktion sofort abbricht.

Dabei bleiben unvollständige Datenstrukturen im Speicher zurück, während interne Zähler fälschlicherweise weiterlaufen. Wer diese Fragmente im RAM kontrolliert, kontrolliert den gesamten PHP-Interpreter. Kriminelle können so nicht nur Server kapern, sondern auch sensible Daten wie Passwörter, Session-Tokens und API-Schlüssel direkt aus dem Arbeitsspeicher auslesen.

Nahezu jede PHP-Anwendung der letzten 20 Jahre ist potenziell gefährdet, sofern sie Webanfragen verarbeitet. Die Sicherheitslücke steckt tief im PHP-Interpreter selbst und ist völlig unabhängig vom verwendeten Content-Management-System (CMS).

Besonders gefährdet sind Webseiten auf Basis von:

• CMS: WordPress, Contao, Drupal, TYPO3, Joomla
• Cloud-Systeme: Nextcloud, ownCloud
• E-Commerce: Magento, Shopware

Akut gefährdete PHP-Versionen:

• PHP 8.5 (bis einschließlich 8.5.11)
• PHP 8.4 (bis einschließlich 8.4.26)
• PHP 8.3 (bis einschließlich 8.3.35)
• PHP 8.2 (bis einschließlich 8.2.34)
• PHP 5.x, 7.x, 8.0 & 8.1: Alle Versionen sind betroffen! Da diese Versionen das End of Life (EoL) erreicht haben, stellt das PHP-Projekt hierfür keine regulären Updates mehr bereit.

Wichtig zur Server-Architektur: Besonders gefährdet ist die Variante Mod PHP, weil sie die defekten Daten nach dem Absturz weiterverarbeitet. Bei PHP-FPM stürzt meist der gesamte Prozess ab, was eine vollständige Codeausführung (RCE) unter Standardbedingungen deutlich schwieriger macht.

Das BSI ordnete die Bedrohung mit der Warnstufe 3 (Orange) als außerordentlich hoch ein. Erste Behörden, Universitäten, Krankenhäuser und Kommunen (darunter die Städte Mainz und Potsdam) haben ihre Webauftritte vorübergehend komplett abgeschaltet, um keine Angriffsfläche zu bieten.

Eigentlich sollte die Schwachstelle erst am 22. Oktober veröffentlicht werden. Da jedoch am 20. Oktober Details des Exploit-Tools geleakt sind, zog das PHP-Team den Patch um einen Tag vor. Während der Sicherheitsdienstleister Cloudflare bereits erste Angriffsversuche auf Honeypots gemeldet hat, gibt es laut offiziellen Stellen noch keine flächendeckende Massenausnutzung.

Achtung vor Fake-Exploits: Im Netz kursieren derzeit viele angebliche "PHP2Shell-Exploits". Sicherheitsforscher warnen, dass diese oft gefälscht sind und Schadsoftware auf den Rechnern derer installieren, die sie ausführen wollen.

Da ein einfaches WordPress- oder Plugin-Update hier nicht hilft, müssen die Maßnahmen direkt auf Serverebene greifen.

1. Das zwingende Sicherheitsupdate (Die einzige echte Lösung)

Aktualisieren Sie Ihre PHP-Umgebung unverzüglich auf eine der folgenden fehlerbereinigten Versionen:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Wichtig bei PHP-FPM: Nach dem Update müssen Sie den PHP-FPM-Dienst zwingend neu starten, da die bereits laufenden Prozesse sonst im Arbeitsspeicher weiterhin die alte, verwundbare Version ausführen!

Hinweis für Shared-Hosting-Kunden: Wenn Sie ein normales Webspace-Paket nutzen, liegt das Einspielen des Patches in der Verantwortung Ihres Hosting-Anbieters. Fragen Sie im Zweifel aktiv beim Support nach.

2. Temporäre Workarounds (Falls kein sofortiges Update möglich ist)

Sollten Sie nicht sofort patchen können, empfehlen Experten zwei temporäre Notmaßnahmen in der php.ini. Achtung: Diese bieten keinen vollständigen Schutz und ersetzen kein Update!

• Workaround gegen Lücke 1 (Paradoxes Speicherlimit): Setzen Sie das Speicherlimit pro Anfrage auf unbegrenzt (memory_limit = -1). Das nimmt dem Angreifer die Möglichkeit, den notwendigen Speicher-Abbruch (Bailout) innerhalb von PHP zu erzwingen. Die Begrenzung des Speichers müssen Sie in diesem Fall temporär auf Betriebssystemebene (z. B. via systemd oder cgroups) regeln.

• Workaround gegen Lücke 2 (Upload-Fortschritt abschalten): Deaktivieren Sie den Upload-Fortschritt vollständig, da hier ein Hauptangriffsweg ansetzt:

  session.upload_progress.enabled = Off

   

  Hinweis: Starten Sie die PHP-Prozesse nach der Änderung neu.

3. System auf Kompromittierung prüfen

Ein nachträgliches Update schützt Sie vor zukünftigen Angriffen, löscht aber keine Schadsoftware, die eventuell kurz vor dem Patch eingeschleust wurde. Lassen Sie Ihre Systeme, Logfiles und Datenbanken auf unbekannte Administratoren oder modifizierte PHP-Dateien prüfen.

PHP2Shell gehört zu den gravierendsten Sicherheitslücken der jüngeren Web-Geschichte. Interessant ist die Entdeckung: Ein verwandter Fehler wurde noch 2024 als „nicht ausnutzbar“ eingestuft. Erst im Jahr 2026 gelang den Teams von Calif, Wiz und Ambionics der Durchbruch – unter Einsatz von KI-Modellen, welche die extrem aufwendige Analyse der alten Code-Schwachstellen massiv beschleunigten.

Das zeigt eindrucksvoll, dass dank moderner KI-Unterstützung auch theoretische Schwachstellen schneller denn je in scharfe Waffen verwandelt werden können. Verlieren Sie keine Zeit und bringen Sie Ihre Server noch heute auf den neuesten Stand!