PHP2Shell: Kritische Sicherheitslücke bedroht »70 Prozent des Internets«

PHP2Shell: Zwei kritische PHP-Lücken (CVE-2026-109618, -109619) erlauben Codeausführung aus der Ferne.

Laut den Sicherheitsforschern von Wiz Research »treibt PHP rund 70 Prozent des Internets an« – und genau diese Skriptsprache hat mit zwei schwerwiegenden Sicherheitslücken zu kämpfen.

Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und sind mit einem Schweregrad von 9,2 enorm kritisch; schließlich lässt sich über diese Schwachstellen ohne Anmeldung aus der Ferne Code auf dem Server ausführen.

58:42 Squadron 42 gespielt: Ist das, was uns versprochen wurde? | mit Knebel

Zwei Fehler, ein Ziel: Code auf dem Webserver

Im Verbund wurden die beiden entdeckten Schwachstellen auf den Namen »PHP2Shell« getauft. Laut den beiden GitHub-Advisories stecken zwei verschiedene Speicherfehler dahinter:

• CVE-2026-109618 entsteht, wenn PHP der Arbeitsspeicher ausgeht: Halb vorbereitete Daten bleiben zurück und können beim Aufräumen der Anfrage als gültig behandelt werden. Auslösen kann das unter anderem die Verarbeitung von Multipart-Anfragen, etwa bei Uploads.
• CVE-2026-109619 beruht darauf, dass ein Worker Zustandsdaten einer beendeten Anfrage behält und die nächste darauf zugreift. Hier sind etwa die Option »fatal_error_backtraces« in PHP 8.5 und die Fortschrittsanzeige für Session-Uploads betroffen.

Beide Fehler können im schlimmsten Fall in sogenannter »Remote Code Execution« (RCE) münden – also der Ausführung fremden Codes aus der Ferne, und zwar mit den Rechten des Webserver-Kontos. Wie das in der Praxis aussieht, zeigt ein Video von Calif, einem weiteren beteiligten Forscherteam. Darin führt ein Server nach nicht einmal einer Minute fremde Systembefehle aus.

Link zum YouTube-Inhalt

Die jeweiligen CVE-Berichte stufen die Angriffskomplexität als hoch ein. Laut Heise braucht ein Exploit mitunter mehrere Tausend Anfragen, funktioniert dann aber zuverlässig und lässt sich automatisieren.

Immerhin: Das Bundesamt für Sicherheit in der Informationstechnik konnte bisher keine Angriffe bestätigen – noch nicht, denn eine großflächige Ausnutzung gilt hier als wahrscheinlich, schließlich ist PHP für Plattformen wie WordPress, Moodle oder Drupal von großer Relevanz.

Mehr zum Thema

Neue Malware-Generation: Forscher zeigen selbstlernende Internet-Würmer, die ihre Angriffe eigenständig anpassen

von Jusuf Hatic

Zwischen Normalnutzern und Betreibern

Wie die offizielle PHP-Webseite empfiehlt, sollten Webseitenbetreiber entsprechend schleunigst auf die Versionen 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren – Heise zufolge gilt das auch für Docker-Container. Das PHP-Projekt schreibt hierzu weiter, dass es außerhalb des sicheren Updates keine vollständige Abhilfe gebe.

• Wer bei einem Hoster liegt, prüft dessen Wartungsseite. Laut Heise warnten einige Hoster ihre Kunden schon vorab; Uberspace etwa wollte PHP-Dienste um 15:45 Uhr zeitweise abschalten.
• Cloudflare setzt hingegen eigene Firewall-Regeln ein, die nach Angaben des CTOs alle bekannten Angriffswege schließen, aber ebenfalls nicht alles abfangen können.
• Laut heise setzen auch verschiedene vernetzte Geräte PHP für ihre Verwaltungsoberfläche ein, Admins sollten also etwa NAS und Router im Blick behalten.

Für euch als Nutzer gilt wiederum: Beim normalen Surfen müsst ihr nichts tun, denn die Lücke liegt auf den Servern und nicht auf euren Geräten. Indirekt können aber Ausfälle wichtiger Dienste oder Datenlecks bei Seiten drohen, die nicht zeitnah gepatcht werden.