[{"data":1,"prerenderedAt":246},["ShallowReactive",2],{"news-php2shell-kritische-php-luecke":3},{"id":4,"title":5,"author":6,"body":7,"cover":234,"date":235,"description":236,"extension":237,"hero":238,"meta":239,"navigation":240,"path":241,"seo":242,"showContactForm":243,"showTechNav":243,"stem":244,"__hash__":245},"content\u002Fnews\u002Fphp2shell-kritische-php-luecke.md","PHP2Shell: Zwei kritische PHP-Lücken – jetzt patchen","Thomas K.",{"type":8,"value":9,"toc":227},"minimark",[10,14,19,22,30,33,36,40,43,46,50,61,114,138,161,168,182,186,195,199,223],[11,12,13],"p",{},"Zwei kritische Lücken im PHP-Kern ermöglichen Angreifern, ohne Anmeldung Code auf Webservern auszuführen, unabhängig davon, ob dort WordPress, Laravel oder eine selbst geschriebene Anwendung läuft. Seit heute gibt es Patches, und erste Angriffe werden bereits beobachtet. So gehen Sie jetzt vor.",[15,16,18],"h2",{"id":17},"was-ist-passiert","Was ist passiert?",[11,20,21],{},"Das PHP-Projekt hat am 21. Oktober 2026 die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie schließen zwei Schwachstellen, die unter dem Namen „PHP2Shell“ bekannt geworden sind: CVE-2026-109618 und CVE-2026-109619. Beide sind mit einem CVSS-v4.0-Wert von 9.2 als kritisch eingestuft. Im schlimmsten Fall können Angreifer ohne Anmeldung Code mit den Rechten des Webserver-Benutzers ausführen.",[11,23,24,25,29],{},"Die Ursache liegt im PHP-Kern selbst, nicht in einem Framework oder CMS. Vereinfacht gesagt kann PHP seinen Speicher in einem fehlerhaften Zustand hinterlassen, wenn eine Anfrage unerwartet abbricht, etwa bei Speichermangel oder einem schwerwiegenden Fehler. CVE-2026-109618 nutzt eine solche Out-of-Memory-Situation aus, CVE-2026-109619 einen veralteten globalen Zustand, der einen Use-after-free ermöglicht. Eine Rolle spielt laut Analysen unter anderem die Upload-Fortschrittsanzeige für Sessions (",[26,27,28],"code",{},"session.upload_progress",").",[11,31,32],{},"Betroffen sind alle PHP-Installationen, die Webanfragen verarbeiten: Apache mit mod_php, PHP-FPM, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko sieht das PHP-Projekt bei mod_php, wo eine Anfrage den Angriff auslösen kann, bevor überhaupt Anwendungscode läuft. Forschern zufolge reicht der fehlerhafte Code bis PHP 5.4 zurück. Gemeldet wurden die Lücken laut Berichten von der Sicherheitsfirma Calif, die im Rahmen von OpenAIs Programm „Patch the Planet“ arbeitete, sowie unabhängig davon von Wiz. Wiz soll Angriffe ohne Anmeldung gegen aktuelle WordPress-, Drupal- und Joomla-Installationen demonstriert haben.",[11,34,35],{},"Am 20. Oktober kündigte das PHP-Projekt das kritische Sicherheitsupdate an. Laut Berichten kursierten zu diesem Zeitpunkt bereits erste Details. Cloudflare beobachtet nach eigenen Angaben schon frühe Angriffe auf die Lücken.",[15,37,39],{"id":38},"warum-betrifft-sie-das","Warum betrifft Sie das?",[11,41,42],{},"PHP läuft auf einem großen Teil aller Webserver, oft dort, wo niemand mehr genau hinsieht: die alte WordPress-Seite einer Kampagne, ein internes Ticketsystem, ein Admin-Tool aus dem Jahr 2015 oder ein Container-Image, dessen Basis seit Monaten nicht aktualisiert wurde. Ein Update von WordPress, Plugins oder Framework hilft hier nicht, denn der Fehler liegt eine Ebene tiefer.",[11,44,45],{},"Besonders heikel sind alte Versionen. PHP 8.1 und älter erhalten vom PHP-Projekt keine fertigen Updates mehr. Für 7.4, 8.0 und 8.1 gibt es lediglich Quellcode-Backports, einige Linux-Distributionen und Anbieter von Langzeit-Support liefern eigene Patches.",[15,47,49],{"id":48},"was-sie-jetzt-tun-sollten","Was Sie jetzt tun sollten",[51,52,53],"ul",{},[54,55,56,60],"li",{},[57,58,59],"strong",{},"Alle PHP-Installationen inventarisieren:"," Webserver, Hosting-Pakete, interne Tools, Container-Images und CI-Pipelines. Prüfen Sie die Version dort, wo Anfragen verarbeitet werden:",[62,63,68],"pre",{"className":64,"code":65,"language":66,"meta":67,"style":67},"language-bash shiki shiki-themes material-theme-lighter material-theme material-theme-palenight","php -v\ndocker run --rm \u003Cihr-image> php -v\n","bash","",[26,69,70,83],{"__ignoreMap":67},[71,72,75,79],"span",{"class":73,"line":74},"line",1,[71,76,78],{"class":77},"sBMFI","php",[71,80,82],{"class":81},"sfazB"," -v\n",[71,84,86,89,92,95,99,102,106,109,112],{"class":73,"line":85},2,[71,87,88],{"class":77},"docker",[71,90,91],{"class":81}," run",[71,93,94],{"class":81}," --rm",[71,96,98],{"class":97},"sMK4o"," \u003C",[71,100,101],{"class":81},"ihr-imag",[71,103,105],{"class":104},"sTEyZ","e",[71,107,108],{"class":97},">",[71,110,111],{"class":81}," php",[71,113,82],{"class":81},[51,115,116,122,128],{},[54,117,118,121],{},[57,119,120],{},"Sofort patchen:"," Aktualisieren Sie auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Bei Distributionspaketen prüfen Sie die Sicherheitshinweise Ihres Anbieters. Container-Images müssen neu gebaut und ausgerollt werden.",[54,123,124,127],{},[57,125,126],{},"Altversionen ersetzen:"," Systeme mit PHP 8.1 oder älter auf einen unterstützten Zweig migrieren oder bis dahin vom Netz nehmen bzw. hinter eine Zugangskontrolle legen.",[54,129,130,133,134,137],{},[57,131,132],{},"Übergangsweise absichern, falls Sie nicht sofort patchen können:"," Das PHP-Projekt nennt unter anderem diese Einstellungen in ",[26,135,136],{},"php.ini"," oder im FPM-Pool, betont aber, dass sie keinen vollständigen Schutz bieten:",[62,139,143],{"className":140,"code":141,"language":142,"meta":67,"style":67},"language-ini shiki shiki-themes material-theme-lighter material-theme material-theme-palenight","session.upload_progress.enabled = 0\nmemory_limit = -1        ; zusätzlich Container- oder cgroup-Limit setzen\npost_max_size = 8M       ; 32M, falls Datei-Uploads nötig sind\n","ini",[26,144,145,150,155],{"__ignoreMap":67},[71,146,147],{"class":73,"line":74},[71,148,149],{},"session.upload_progress.enabled = 0\n",[71,151,152],{"class":73,"line":85},[71,153,154],{},"memory_limit = -1        ; zusätzlich Container- oder cgroup-Limit setzen\n",[71,156,158],{"class":73,"line":157},3,[71,159,160],{},"post_max_size = 8M       ; 32M, falls Datei-Uploads nötig sind\n",[11,162,163,164,167],{},"Unter PHP 8.5 kommt ",[26,165,166],{},"fatal_error_backtraces = 0"," hinzu. Danach alle PHP-Worker neu starten und die Werte über eine echte Webanfrage prüfen, nicht über die Kommandozeile.",[51,169,170,176],{},[54,171,172,175],{},[57,173,174],{},"Auf Kompromittierung prüfen:"," Achten Sie auf unbekannte Dateien im Webroot, neue Cronjobs und auffällige ausgehende Verbindungen. Bei Verdacht Zugangsdaten, API-Schlüssel und Datenbankpasswörter rotieren, denn die Lücken können laut Forschern auch Speicherinhalte der PHP-Prozesse preisgeben.",[54,177,178,181],{},[57,179,180],{},"WAF als Zusatz nutzen:"," Regeln von Cloudflare oder anderen Anbietern verschaffen Zeit, ersetzen aber kein Update.",[15,183,185],{"id":184},"fazit","Fazit",[11,187,188,189,194],{},"PHP2Shell gehört zu den Lücken, bei denen Abwarten keine Option ist: Angriffe ohne Anmeldung, ein breites Spektrum betroffener Versionen und erste Angriffe noch vor dem Patch. Wer heute inventarisiert und aktualisiert, schließt das Fenster, bevor es breit ausgenutzt wird. Wenn Sie Unterstützung bei Bestandsaufnahme, Patchen oder der Migration alter PHP-Anwendungen brauchen, ",[190,191,193],"a",{"href":192},"\u002Fkontakt","sprechen Sie uns an",".",[15,196,198],{"id":197},"quellen","Quellen",[51,200,201,209,216],{},[54,202,203],{},[190,204,208],{"href":205,"rel":206},"https:\u002F\u002Fwww.php.net\u002Farchive\u002F2026.php#2026-10-21-5",[207],"nofollow","Security advisory: Critical remote code execution vulnerabilities, update now – PHP.net",[54,210,211],{},[190,212,215],{"href":213,"rel":214},"https:\u002F\u002Fbleepingcomputer.com\u002Fnews\u002Fsecurity\u002Fphp-ships-emergency-patches-for-critical-php2shell-flaws",[207],"PHP ships emergency patches for critical PHP2Shell flaws – BleepingComputer",[54,217,218],{},[190,219,222],{"href":220,"rel":221},"https:\u002F\u002Fwww.sophos.com\u002Fen-us\u002Fsecurity-advisories\u002Fsophos-sa-20261021-php2shell",[207],"PHP2Shell (CVE-2026-109618, CVE-2026-109619) – Sophos Security Advisory",[224,225,226],"style",{},"html pre.shiki code .sBMFI, html code.shiki .sBMFI{--shiki-light:#E2931D;--shiki-default:#FFCB6B;--shiki-dark:#FFCB6B}html pre.shiki code .sfazB, html code.shiki .sfazB{--shiki-light:#91B859;--shiki-default:#C3E88D;--shiki-dark:#C3E88D}html pre.shiki code .sMK4o, html code.shiki .sMK4o{--shiki-light:#39ADB5;--shiki-default:#89DDFF;--shiki-dark:#89DDFF}html pre.shiki code .sTEyZ, html code.shiki .sTEyZ{--shiki-light:#90A4AE;--shiki-default:#EEFFFF;--shiki-dark:#BABED8}html .light .shiki span {color: var(--shiki-light);background: var(--shiki-light-bg);font-style: var(--shiki-light-font-style);font-weight: var(--shiki-light-font-weight);text-decoration: var(--shiki-light-text-decoration);}html.light .shiki span {color: var(--shiki-light);background: var(--shiki-light-bg);font-style: var(--shiki-light-font-style);font-weight: var(--shiki-light-font-weight);text-decoration: var(--shiki-light-text-decoration);}html .default .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}html.dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}",{"title":67,"searchDepth":85,"depth":85,"links":228},[229,230,231,232,233],{"id":17,"depth":85,"text":18},{"id":38,"depth":85,"text":39},{"id":48,"depth":85,"text":49},{"id":184,"depth":85,"text":185},{"id":197,"depth":85,"text":198},"\u002Fimages\u002Fnews\u002Fphp2shell-kritische-php-luecke.webp","2026-10-21","Zwei kritische Lücken im PHP-Kern ermöglichen Angriffe ohne Anmeldung, unabhängig vom Framework. Seit heute gibt es Patches. So gehen Sie jetzt vor.","md",null,{},true,"\u002Fnews\u002Fphp2shell-kritische-php-luecke",{"title":5,"description":236},false,"news\u002Fphp2shell-kritische-php-luecke","og85Xt3a_LsxdIERn9mAM_hIruBBN6ZHDvM80sd0s3I",1793714089318]