PHP-Sicherheitslücke PHP2Shell (CVE-2026-109618 & CVE-2026-109619): Betroffene Versionen, Updates und Schutzmaßnahmen

PHP2Shell ist der Name für zwei kritische Sicherheitslücken in PHP selbst: CVE-2026-109618 und CVE-2026-109619. Beide sind mit CVSS 4.0 9,2 bewertet und ermöglichen Angreifern ohne Anmeldung, eigenen Code auf Webservern auszuführen. Behoben sind sie in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, veröffentlicht am 21. Oktober 2026. Wer PHP für Webanfragen nutzt, sollte jetzt aktualisieren, alle PHP-Prozesse neu starten und das System auf Angriffe prüfen.

Die Lücken betreffen nicht ein einzelnes CMS, sondern jede Website mit PHP, also auch TYPO3, WordPress, Shopware oder Laravel. Das BSI hat eine Warnung herausgegeben, und mehrere Sicherheitsfirmen berichten über Angriffsversuche.

Dieser Leitfaden erklärt, was PHP2Shell ist, welche PHP-Versionen und Server-Setups betroffen sind, wie Sie Ihren Server prüfen, die Lücke schließen und Spuren eines Angriffs finden, und wie NITSAN Sie dabei unterstützt.

Prüfen Sie Ihre PHP-Version sofort mit unserem kostenlosen PHP2Shell-Checker. Sind Sie betroffen, helfen wir Ihnen mit Priorität.

Was ist PHP2Shell?

PHP2Shell ist der Sammelname, den Sicherheitsforscher zwei zusammenhängenden Fehlern im PHP-Interpreter gegeben haben. Beide gehören zur Fehlerklasse Use-after-free (CWE-416) und stecken in Bereichen, die fast jede Anfrage durchläuft: Speicherverwaltung und Fehlerbehandlung.

Die beiden CVEs im Überblick:

Wie funktioniert der PHP2Shell-Angriff?

Ein Angriff über PHP2Shell läuft in vier Schritten ab:

• Präparierte HTTP-Anfrage: Ein Angreifer sendet ohne Anmeldung eine speziell aufgebaute Anfrage, meist mit Multipart-Body.
• Speicherlimit oder Fatal Error: PHP bricht die Verarbeitung ab, während Request-Daten noch aufgebaut werden.
• Defekter Speicherzustand: Halb initialisierte Daten oder veraltete Zeiger bleiben zurück und werden später weiterverwendet.
• Fremder Code wird ausgeführt: Die Speicherkorruption wird genutzt, um Befehle mit den Rechten des PHP-Benutzers auszuführen.

Warum ist PHP2Shell so gefährlich?

• Keine Anmeldung nötig: Der CVSS-4.0-Vektor (AV:N/AC:H/AT:P/PR:N/UI:N) setzt weder Zugangsdaten noch eine Nutzeraktion voraus.
• Der Angriff greift vor Ihrem Code: Unter mod_php läuft der Exploit, bevor CMS-Code startet. Plugins und Login-Schutz helfen nicht.
• Enorme Verbreitung: Palo Alto Networks Unit 42 zählt über 22,6 Millionen potenziell exponierte Instanzen. Der verwundbare Code existiert seit PHP 5.4 (2012).
• Frühe Angriffe: Die CVE-Kennungen wurden vor dem Patch geleakt. Cloudflare sah erste Angriffsversuche am 21. Oktober um 07:43 UTC, mehr als sechs Stunden vor dem Release.
• Abfluss von Zugangsdaten: Laut Wiz und Patchstack kann auch ohne Codeausführung Worker-Speicher mit Passwörtern, API-Schlüsseln und Session-Tokens ausgelesen werden.

Dem BSI war am 22. Oktober noch keine erfolgreiche Ausnutzung in der Breite bekannt. watchTowr meldet jedoch Angriffsversuche, und mehrere Behörden, Hochschulen und Kliniken in Deutschland haben Online-Angebote vorsorglich abgeschaltet.

Welche PHP-Versionen sind von PHP2Shell betroffen?

Alle PHP-Versionen vor den folgenden Releases sind verwundbar:

Welche Server-Setups sind gefährdet?

Betroffen ist jede PHP-Installation, die Webanfragen verarbeitet. Das Risiko unterscheidet sich je nach Server-API (SAPI):

Was bedeutet PHP2Shell für TYPO3-Websites?

TYPO3 selbst braucht keinen Code-Fix. Jede TYPO3-Instanz erbt aber das Risiko ihrer PHP-Version. Die TYPO3-Version bestimmt, wie weit Sie PHP anheben können:

Ihre aktuelle TYPO3-Version finden Sie schnell mit dem kostenlosen TYPO3 Version Check. Für ältere Installationen hilft unser TYPO3 Upgrade Service. Was ein TYPO3-Sicherheitsupdate ist und wie Sie TYPO3 dauerhaft aktuell halten, lesen Sie in unserem Beitrag TYPO3-Sicherheit und Wartung.

Zeitleiste: Wann ist was passiert?

Wie prüfen Sie, ob Ihr Server von PHP2Shell betroffen ist?

Entscheidend ist die PHP-Version, die Ihre Website ausliefert. Die Version auf der Kommandozeile kann davon abweichen. So prüfen Sie es:

• In TYPO3: Admin Tools › Environment › PHP Info oder das Systeminformations-Menü oben rechts im Backend.
• Auf dem Server: php -v zeigt nur die CLI-Version. Prüfen Sie zusätzlich mit apachectl -M | grep php, ob mod_php geladen ist, und mit systemctl list-units | grep fpm, welche PHP-FPM-Dienste laufen.
• Beim Hoster: Fragen Sie nach der exakten PHP-Version und ob alle PHP-Prozesse nach dem Update neu gestartet wurden.
• Bewerten: Liegt Ihre Version unter 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, ist der Server verwundbar. PHP 8.1 und älter gilt ohne Backport immer als verwundbar.

PHP2Shell beheben: 5 Schritte

1. Alle PHP-Laufzeiten erfassen

Listen Sie alle Server, vHosts, Container und Appliances mit PHP auf, auch PHP in Control-Panels und Herstellerprodukten. Notieren Sie je System die Version und die SAPI.

2. Gepatchte PHP-Version installieren

Installieren Sie PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 über Ihre Distribution, Ihren Hoster oder php.net. Debian, Ubuntu und Red Hat haben den Patch vorab erhalten. Nutzer von rpms.remirepo.net sollten laut PHP-Projekt auf Distributionspakete oder einen eigenen Build wechseln.

3. Alle Worker neu starten

Ein laufender PHP-FPM-Master oder Apache mit mod_php hält den alten Code im Speicher. Starten Sie jeden PHP-FPM-Pool und den Webserver neu. Container müssen neu gebaut und ausgerollt werden.

4. Live-Version prüfen

Rufen Sie die Website auf und bestätigen Sie die neue Version im TYPO3-Environment-Modul oder über ein temporäres, geschütztes Info-Skript, das Sie danach löschen.

5. Auf Angriffe prüfen

War das System seit dem 20. Oktober ungepatcht im Internet erreichbar, prüfen Sie es auf Spuren eines Angriffs (siehe unten) und tauschen Sie Zugangsdaten aus.

Was tun, wenn Sie nicht sofort aktualisieren können?

Das PHP-Sicherheitsteam nennt Übergangsmaßnahmen. Sie verringern das Risiko, machen den Server aber nicht sicher. Setzen Sie sie in der php.ini, im FPM-Pool oder in der Webserver-Konfiguration, nicht per ini_set() oder .user.ini:

Wurde Ihr Server über PHP2Shell angegriffen?

Sicherheitsteams empfehlen, jedes System, das ab dem 20. Oktober ungepatcht im Internet erreichbar war, bis zur Prüfung als möglicherweise kompromittiert zu behandeln. Achten Sie bei TYPO3- und anderen PHP-Websites auf diese Anzeichen:

• Neue oder geänderte PHP-Dateien in beschreibbaren Ordnern wie fileadmin/, typo3temp/, uploads/ oder var/
• Auffällige Multipart-POST-Anfragen, gehäufte HTTP-500-Fehler oder abgestürzte PHP-Worker (Segfaults) in den Logs seit dem 20. Oktober
• Neue Backend- oder Systembenutzer, unbekannte Cronjobs, SSH-Schlüssel oder ausgehende Verbindungen des Webbenutzers
• Abweichungen zwischen vendor/ beziehungsweise Core-Dateien und composer.lock oder einer sauberen Installation

Tauschen Sie nach dem Patch Datenbankpasswörter, API-Schlüssel, SMTP-Zugänge, den TYPO3-encryptionKey und aktive Backend-Sessions aus. Wurden möglicherweise personenbezogene Daten abgerufen, verlangt die DSGVO (Art. 33) eine Meldung an die Aufsichtsbehörde binnen 72 Stunden.

Welche Konfigurationsfehler Angreifern zusätzlich helfen, zeigt unser Beitrag 12 TYPO3-Sicherheitsfehler.

So hilft NITSAN bei PHP2Shell

NITSAN ist eine TYPO3 Agentur mit Büros in Dresden, Berlin und Viernheim, Gold Member der TYPO3 Association und hat mehr als 20 TYPO3-Entwickler im Team. Wir schließen PHP2Shell für Organisationen in Deutschland, Österreich und der Schweiz:

• Notfall-Patch-Service: PHP-Update auf Ihren Servern oder gemeinsam mit Ihrem Hoster, Neustart aller Worker, Prüfung der Live-Version
• Kompromittierungs-Check: Prüfung von Logs, Dateien, Benutzern und Cronjobs seit dem 20. Oktober, Austausch kritischer Zugangsdaten
• EOL-Rettung und Upgrade: Backport-Weg für PHP 7.4 bis 8.1 und sicheres Upgrade auf TYPO3 v13 oder v14 LTS
• TYPO3-Sicherheits-SLA: geplante PHP- und TYPO3-Updates, Monitoring und schnelle Reaktion über unseren TYPO3 Support & Wartung, ab 149 € pro Monat

PHP2Shell-Anfragen bearbeiten wir mit Priorität. Wir prüfen Ihre Anfrage vorrangig, melden uns schnellstmöglich zurück und schließen die Lücke gemeinsam mit Ihnen oder Ihrem Hoster. Kunden mit TYPO3-Wartungsvertrag nennen PHP2Shell einfach in ihrer Support-Anfrage.

Unser Ablauf bei PHP2Shell

Sie möchten PHP2Shell auf Ihren Servern schließen lassen? Fordern Sie priorisierte Hilfe an, schreiben Sie an st@nitsantech.de oder rufen Sie Sven Thelemann direkt an: +49 351 48196661.

Fazit

PHP2Shell gehört zu den schwersten PHP-Sicherheitslücken der letzten Jahre. Die Lücken stecken im PHP-Kern, betreffen jede Website mit PHP und lassen sich ohne Anmeldung ausnutzen. Die einzige vollständige Lösung ist ein Update auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 mit anschließendem Neustart aller PHP-Prozesse.

Für Systeme auf PHP 8.1 oder älter braucht es einen Backport und einen Upgrade-Plan. Prüfen Sie außerdem jedes ungepatchte, öffentlich erreichbare System auf Spuren eines Angriffs. Mit einem erfahrenen TYPO3-Partner schließen Sie die Lücke schnell und dokumentiert. Damit das nächste kritische Release nicht wieder zum Notfall wird, übernimmt unser TYPO3-Wartungsvertrag PHP- und TYPO3-Updates planmäßig.

Quellen

• PHP Foundation: Today's PHP Security Release
• php.net: Security advisory zu CVE-2026-109618 und CVE-2026-109619
• BSI: PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit
• WordPress.org: Critical PHP Security Release
• Palo Alto Networks Unit 42: Threat Brief
• watchTowr: PHP2Shell FAQ
• Plesk: PHP2Shell in mitgeliefertem PHP