PHP2Shell: Kritische PHP-Lücken bedrohen Millionen Websites – was Betreiber jetzt tun müssen

Zwei kritische Sicherheitslücken in der Programmiersprache PHP setzen weltweit Websites unter Druck. Angreifer können über sie ohne Anmeldung eigenen Programmcode auf einem Webserver ausführen und so etwa Daten auslesen oder Seiten manipulieren. Das PHP-Projekt hat am Mittwoch, 21. Oktober 2026, korrigierte Versionen veröffentlicht. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt mit Kritikalitätsstufe 3 („Orange“: Maßnahmen müssen unverzüglich ergriffen werden) und rechnet damit, dass die Lücken innerhalb weniger Stunden breit ausgenutzt werden. Die wichtigste Botschaft ist deshalb einfach: Wer eine Website, einen Shop oder eine Webanwendung mit PHP betreibt, muss jetzt aktualisieren.

Was passiert ist

Das PHP-Projekt beschreibt zwei Schwachstellen, die beide mit 9,2 von 10 Punkten (CVSS 4.0) bewertet sind:

• CVE-2026-109618 („RCE via OOM corruption“): Erreicht PHP bei einer Anfrage sein Speicherlimit (Out of Memory), kann das interne Daten in einem halb fertigen Zustand hinterlassen. Beim Aufräumen nach der Anfrage werden diese ungültigen Daten dann wie gültige behandelt.
• CVE-2026-109619 („RCE via stale global state“): Interne Zustandsdaten einer Anfrage können weiterleben, obwohl ihr Speicher schon freigegeben ist. Eine spätere Anfrage an denselben PHP-Prozess kann diese veralteten Daten benutzen.

In beiden Fällen ist das Ergebnis dasselbe: Codeausführung aus der Ferne (Remote Code Execution), ohne dass der Angreifer ein Konto braucht. Bekannt geworden sind die Lücken unter dem Namen „PHP2Shell“. Nach Angaben des Sicherheitsunternehmens Huntress waren Einzelheiten schon am Morgen des 20. Oktober über einen später gelöschten Beitrag auf Hacker News durchgesickert. Die Veröffentlichung der Updates sei daraufhin um einen Tag vorgezogen worden.

Wer betroffen ist

Laut PHP-Projekt sind alle PHP-Installationen betroffen, die Webanfragen beantworten: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Auch PHP unter Windows ist laut heise angreifbar. Das höchste Risiko sieht das PHP-Projekt bei Apache mit mod_php. Dort ist ein Angriff mit Standardeinstellungen nachgewiesen, der greift, bevor überhaupt der Code der Anwendung läuft. PHP-FPM ist laut Advisory nach Codeanalyse ebenfalls verwundbar, ein vollständiger Angriff wurde dafür aber noch nicht gezeigt. Laut heise brauchen die Angriffe mitunter mehrere Tausend bis Zehntausend Anfragen, bis sie zuverlässig gelingen.

Weil PHP unter einem großen Teil des Webs liegt, ist der Kreis riesig. Das BSI nennt beispielhaft WordPress, Drupal, TYPO3, Joomla, Magento und Nextcloud sowie die Firewall-Systeme pfSense und OPNsense. Allein bei WordPress schätzen Experten laut dpa 400 bis 500 Millionen Seiten. Ungepatcht ist grundsätzlich jede dieser Installationen betroffen; entscheidend ist, wie schnell PHP auf dem jeweiligen Webserver aktualisiert wird.

Offen ist, wie weit die Lücke zurückreicht. Das PHP-Projekt liefert Korrekturen für die unterstützten Zweige 8.2 bis 8.5. Das BSI schreibt unter Berufung auf CERT-EU, verwundbar seien alle bekannten Versionen bis mindestens PHP 5. Wer eine ältere Version betreibt, sollte sie in jedem Fall als verwundbar betrachten.

Wird die Lücke schon ausgenutzt?

Stand Mittwochnachmittag: bestätigte Angriffe gibt es bislang nicht. Die Advisories des PHP-Projekts nennen keine Hinweise auf aktive Ausnutzung, Huntress hat keine beobachtet, und auch das BSI kennt keine bestätigten Fälle. Es spricht aber von unbestätigten Berichten, dass Angriffswerkzeuge bereits existieren, und rechnet mit einer breiten Ausnutzung, sobald Angreifer die Korrekturen ausgewertet haben. Auch heise erwartet, dass sich die Lage bald ändert. Das Sicherheitsunternehmen watchTowr hat nach Angaben von Huntress eine der beiden Lücken nachgestellt. Auf GitHub tauchen zudem Projekte auf, die sich als Angriffscode ausgeben; ob sie funktionieren, ist offen. Betreiber sollten solchen Code nicht ausprobieren: Angebliche Exploits zu aktuellen Lücken enthalten immer wieder selbst Schadsoftware.

Entwarnung ist das nicht. Das BSI hält eine breite Ausnutzung innerhalb weniger Stunden nach Veröffentlichung der Patches für wahrscheinlich, auch weil sich Angriffe heute mit KI-Hilfe schneller entwickeln lassen. BSI-Vizepräsident Thomas Caspers: „Es besteht also unverzüglicher Handlungsbedarf!“ Erste Stellen reagierten: Die Stadt Mainz hat laut dpa ihre Website und mehrere Onlinedienste abgeschaltet, Ämter sind per Telefon und E-Mail erreichbar. Laut Handelsblatt war am Mittwoch auch die Website des Bundesinnenministeriums nicht erreichbar; einen Grund nennt der Bericht nicht.

Was Betreiber jetzt tun sollten

1. Sofort aktualisieren – das ist der einzige vollständige Schutz

Die korrigierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Das PHP-Projekt ist unmissverständlich: Es gibt keine vollständigen Gegenmaßnahmen, nur das Update macht eine Installation sicher. Danach alle PHP-Prozesse neu starten (PHP-FPM, Apache), sonst läuft der alte Code weiter.

• Website oder Shop bei einem Hoster (Shared Hosting, Managed WordPress, Shop-Hosting): Hier spielt in der Regel der Anbieter die Updates ein. Prüfen Sie in der Verwaltungsoberfläche, welche PHP-Version eingestellt ist, und fragen Sie beim Hoster nach, ob die korrigierte Fassung schon aktiv ist. Steht dort noch eine Version unter 8.2, ist jetzt der Moment, umzustellen.
• Eigener Server oder VPS mit Linux: Paket-Updates der Distribution einspielen. Die Hersteller der Linux-Distributionen haben die Korrekturen vorab erhalten. Achtung: Distributionen bauen Korrekturen oft in ältere Versionsnummern ein. Die Ausgabe von php -v allein zeigt dann nicht, ob Sie geschützt sind – zumal sie nur die PHP-Version der Kommandozeile nennt, während PHP-FPM oder Apache eine andere nutzen können. Prüfen Sie die Version, mit der die Website tatsächlich läuft; maßgeblich ist der Sicherheitshinweis Ihrer Distribution, etwa bei Ubuntu (öffnet in neuem Fenster), Debian (öffnet in neuem Fenster) oder Red Hat (öffnet in neuem Fenster).
• Paketquelle von Remi (rpms.remirepo.net): Das PHP-Projekt weist ausdrücklich darauf hin, dass dieses von Freiwilligen gepflegte Archiv am 21. Oktober keine Updates bekommt, und rät, auf Pakete der Distribution umzusteigen oder selbst aus dem Quellcode zu bauen.
• Docker und Container: Images mit der neuen PHP-Version neu bauen und ausrollen. Ein laufender Container aktualisiert sich nicht von selbst.
• Geräte und Appliances mit PHP-Oberfläche (etwa Firewalls): auf Updates des Herstellers achten, gegebenenfalls ist neue Firmware nötig.

2. Alte PHP-Versionen: jetzt umziehen

PHP 8.1 und älter bekommen vom PHP-Projekt keine Updates mehr. Wegen der Schwere der Lücken hat das Sicherheitsteam trotzdem minimale Korrekturen für 7.4, 8.0 und 8.1 als Quellcode bereitgestellt; manche Distributionen und Anbieter von Langzeitunterstützung liefern zudem eigene Korrekturen. Der sichere Weg bleibt der Wechsel auf eine unterstützte Version. Auch PHP 8.2 erreicht am 31. Dezember 2026 das Ende seiner Unterstützung.

3. Wenn das Update nicht sofort möglich ist

Das PHP-Projekt nennt Einstellungen, die einzelne bekannte Angriffswege erschweren. Es betont aber, dass sie eine Installation nicht sicher machen. Sie sind eine Überbrückung für Stunden, kein Ersatz für das Update:

• memory_limit=-1 so setzen, dass Anwendungen es nicht überschreiben können (etwa per php_admin_value im FPM-Pool oder in der Apache-Konfiguration), und eine niedrige post_max_size wählen – 8 MB ohne Datei-Uploads, 32 MB mit Uploads.
• Weil damit PHPs eigene Speichergrenze fällt, den Speicher stattdessen über einen Container oder eine cgroup begrenzen. Grenzen über RLIMIT_AS oder RLIMIT_DATA rät das PHP-Projekt ausdrücklich ab, weil sie genau den verwundbaren Fehlerfall auslösen können.
• Größenlimits für Anfragen zusätzlich am Webserver oder Proxy durchsetzen.
• session.upload_progress.enabled=0 in der php.ini, im FPM-Pool oder in der Serverkonfiguration setzen und alle PHP-Prozesse neu starten; unter PHP 8.5 zusätzlich fatal_error_backtraces=0.

Eine Web Application Firewall hilft laut BSI nur, wenn sie passende Erkennungsregeln für diese Angriffe hat. Cloudflare hat laut heise solche Regeln gegen die bekannten Angriffswege eingerichtet, spricht selbst aber nur von einem vorübergehenden Flicken. Kann ein Server nicht zeitnah aktualisiert werden, empfiehlt das BSI, ihn vorübergehend vom Internet zu trennen.

4. Server beobachten und auf Spuren achten

Das BSI rät, öffentlich erreichbare Server verstärkt zu überwachen und Personal bereitzuhalten. Huntress nennt ein typisches Warnzeichen: Der Webserver- oder PHP-Prozess startet plötzlich Programme wie eine Shell, curl oder wget. Weil die Angriffe viele Anfragen brauchen, lohnt auch ein Blick in die Zugriffsprotokolle auf auffällige Serien von Anfragen aus derselben Quelle. Wer einen Angriff vermutet, sollte den Server isolieren, Protokolle sichern und nach Webshells, neuen Cronjobs und unbekannten Benutzerkonten suchen. Nach einer Kompromittierung reicht das Update allein nicht mehr: Üblich ist dann, das System sauber neu aufzusetzen oder aus einer Sicherung von vor dem Angriff wiederherzustellen und alle Passwörter und Zugangsschlüssel zu tauschen – auch die in Konfigurationsdateien, etwa das Datenbank-Passwort. Wurde ein Server mit personenbezogenen Daten kompromittiert, etwa mit Kundendaten eines Shops, sollten Betreiber umgehend ihren Datenschutzbeauftragten oder Rechtsberater einschalten, um mögliche Meldepflichten zu klären; die Fristen dafür sind kurz.

Grundlegendes zur Absicherung von Shops beschreibt unser Beitrag Datensicherheit im E-Commerce; worauf es beim Hosting ankommt, erklärt das Glossar unter Webhosting.

Was Internetnutzer wissen sollten

Wer Websites nur besucht, muss laut dpa nichts direkt unternehmen; ein Update auf dem eigenen Rechner oder Smartphone hilft gegen diese Lücken nicht. Anders ist es, wer zu Hause selbst eine Firewall, ein NAS oder eine eigene Cloud wie Nextcloud betreibt: Dann ist man selbst Betreiber und sollte nach Updates des Herstellers sehen. Indirekt kann es Nutzer aber treffen: Seiten und Onlinedienste können vorübergehend nicht erreichbar sein, und bei erfolgreichen Angriffen könnten Daten abfließen. Gesunde Vorsicht hilft wie immer: Passwörter nicht mehrfach verwenden, wo möglich eine Zwei-Faktor-Anmeldung nutzen und bei ungewöhnlichen Mails im Namen bekannter Händler genau hinsehen.

Häufig gestellte Fragen

Welche PHP-Versionen schließen die Lücken?

PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, veröffentlicht am 21. Oktober 2026. Bei Linux-Distributionen können die Korrekturen auch in Paketen mit älterer Versionsnummer stecken; maßgeblich ist dann der Sicherheitshinweis der Distribution.

Ist meine WordPress-Seite betroffen?

WordPress läuft auf PHP, deshalb hängt die Sicherheit davon ab, welche PHP-Version auf dem Server läuft. Ein Update von WordPress oder seinen Plugins schließt diese Lücken nicht. Bei gehosteten Seiten muss der Hoster PHP aktualisieren; fragen Sie im Zweifel nach.

Wird die Lücke schon aktiv ausgenutzt?

Bestätigte Angriffe waren am Nachmittag des 21. Oktober 2026 nicht bekannt. Das BSI rechnet aber mit einer breiten Ausnutzung innerhalb weniger Stunden nach Veröffentlichung der Patches.

Reicht es, Einstellungen in der php.ini zu ändern?

Nein. Das PHP-Projekt schreibt ausdrücklich, dass es keine vollständigen Gegenmaßnahmen gibt. Die genannten Einstellungen erschweren nur bekannte Angriffswege und überbrücken die Zeit bis zum Update.

Muss ich als Besucher von Websites etwas tun?

Nein, nicht direkt. Betroffen sind Server, nicht die Geräte der Besucher. Wer aber zu Hause selbst Dienste mit PHP betreibt, etwa eine Firewall, ein NAS oder Nextcloud, sollte Updates des Herstellers einspielen. Sinnvoll bleibt der übliche Schutz durch eigene Passwörter für jeden Dienst und Zwei-Faktor-Anmeldung.