Am 21.10.2026 wurde öffentlich bekannt, dass in PHP kritische Sicherheitslücken vorhanden sind, die laut CVSS‑Rating mit 9,2 als „kritisch“ eingestuft wurden. Entdeckt wurden diese Schwachstellen bereits im August (lt. Wikipedia).Ein Patch war ursprünglich für den 22.10.2026 geplant, wurde jedoch aufgrund eines Leaks bereits am 21.10.2026 vorgezogen.
Warum ist PHP2Shell so gefährlig?
- Remote Code Execution: Angreifer können aus der Ferne beliebigen Code auf PHP-Server ausführen.
- Keine Authentifizierung nötig: Es ist keine Anmeldung nötig, um die Lücke auszunutzen.
- Keine Nutzerinteraktion: Der Angriff funktioniert ohne Klicks oder andere Aktion der Opfer.
- CVSS-Score 9.2: Extrem Kritisch.
- Betrofffen sind alle PHP-Versionen: Es ist dringend nötig die entsprechenden Sicherheitsupdates zu installieren.
- Warnstufe 3 / Orange laut BSI, so müssen Maßnahmen unverzüglich ergriffen werden.
Beschreibung der Sicherheitslücke CVE-2026-109618
Über diese Schwachstelle kann ein Angreifer durch manipulierte Eingaben die PHP‑Engine kompromittieren und eigenen Code ausführen.
Beschreibung der Sicherheitslücke CVE-2026-109619
Eine eng verwandte Schwachstelle ist CVE‑2026‑109619, die denselben Angriffsweg ermöglicht, jedoch über einen anderen internen Mechanismus der PHP‑Verarbeitung ausgenutzt wird.
Für welche PHP Versionen gibt es diesen Patch?
Für folgende PHP Versionen wurden am 21.10.2026 gegen 14 Uhr deutsche Zeit Patches veröffentlicht:
- PHP 8.2.35
- PHP8.3.36
- PHP 8.4.27
- PHP 8.5.12
Betrifft mich das als Benutzer, Anwender?
Es besteht zunächst keine direkte Gefahr für einen normalen Benutzer bzw. Anwender. Der Angriff findet nämlich nicht auf deinem Gerät statt, sondern auf den Servern der Webseiten, die du besuchst.
Was passiert mir als Benutzer im schlimmsten Fall?
Viele Behörden, Kliniken und Firmen haben ihre Webseiten vorsorglich vom Netz genommen. Das bedeutet: Die Seite, die du besuchen möchtest, ist schlicht offline.
Es können jedoch auch Webseiten manipuliert sein. Wenn ein Server kompromittiert wurde, bestehen unter anderem folgende Möglichkeiten:
- Dir werden falsche Seiten oder Informationen angezeigt.
- Du auf andere Seiten geleitet wirst.
- Es wird versucht dich zu täuschen (Phishing)
Sollte extrem selten sein, große Anbieter haben sofort gepatcht.
Kompromittierte Seiten könnten Malware ausliefern
Der extreme Worst Case, du bekommst Malware. Was unwahrscheinlich ist.
- Moderne Browser blockieren oft sowas
- Große Anbieter schützen ihre Seiten sehr schnell, haben also eine schnelle Reaktionszeit
- Du musst nichts spezielles machen, da die Sicherheitslücke auf dem Server meist schon gestern behoben war.
Ich habe mein NAS oder andere Geräte aus meinem Zuhause zugreifbar, passiert mir dann auch nichts?
Wenn du Geräte hast, die PHP verwenden und aus deinem Netzwerk nach außen erreichbar sind, dann hast du ein Problem. Falls du nicht weißt, ob dein Gerät das PHP‑Framework nutzt, oder wenn du sicher weißt, dass du ein solches Gerät öffentlich freigegeben hast: Schließe sofort die entsprechenden Ports in deinem Router und warte auf ein Update des Herstellers.
Mittels der Remote Code Execution-Lücke kann ein Angreifer vom Gerät
- Daten auslesen
- Dateien löschen
- Malware installieren
- Passwörter auslesen
- Backdoors einrichten
- das Gerät vollständig übernehmen
Hier ist es unerheblich, ob es sich um eine Netzwerkfestplatte mit PHP‑basiertem Webinterface handelt, um einen Nextcloud‑ oder OwnCloud‑Server oder um einen Raspberry Pi mit HomeAssistant.
Ihr solltet schnellstmöglich ein Update installieren. Eine kleine Auswahl an Geräten und Tools, die häufig PHP verwenden:
- NAS (Synology, QNAP, TrueNAS, OpenMediaVault)
- Raspberry Pi mit Webserver
- Home‑Server
- Webmin / Cockpit / phpMyAdmin
- Smart‑Home‑Gateways mit PHP‑Webinterface
- selbstgebaute Tools (z. B. PHP‑Dashboard, Pi‑Hole‑Addons)
Wenn ein Gerät aus eurem Netzwerk von außen erreichbar ist (also wenn ihr von überall mit dem Handy darauf zugreifen könnt), solltet ihr den Patch umgehend installieren. Bei IoT‑Geräten empfiehlt es sich, den externen Zugriff vorerst zu deaktivieren und auf den Patch des Herstellers zu warten.
Keine Gefahr besteht, wenn das Gerät:
- nur im LAN erreichbar ist
- keine Portfreigaben hat
- nicht über DynDNS / öffentliche IP erreichbar ist
- hinter einer Firewall ohne Weiterleitungen hängt
Wann besteht Gefahr?
Wenn das Gerät:
- über Portfreigaben erreichbar ist (z. B. 80/443)
- über DynDNS erreichbar ist
- über VPN‑Portweiterleitungen erreichbar ist
- über UPnP automatisch Ports geöffnet hat
- über Reverse Proxy erreichbar ist
- über Cloud‑Relay erreichbar ist
Dann kann ein Angreifer die PHP‑Lücke ausnutzen.
Technisches
Wie wurde der Fehler erkannt?
Im Jahr 2024 bemerkte ein PHP‑Core‑Entwickler einen Speicherfehler, fand jedoch keinen Weg, diesen zu einem funktionierenden Exploit auszubauen. Der Bug wurde daher zunächst zurückgestellt.
Im August 2026 entdeckten Ryan Austin (Forscher der in Kalifornien ansässigen Sicherheitsfirma Calif) sowie die Cloud‑Sicherheitsfirma Wiz, eine Tochtergesellschaft von Alphabet Inc. und Teil von Google Cloud, diese Schwachstelle unabhängig voneinander erneut.
Austin nutzte das OpenAI‑Modell GPT‑5.6 Sol, um bei der Analyse der Schwachstelle zu unterstützen. Die Forscher von Wiz setzten hingegen Gemini 4 Argon, GPT‑5.6 Sol sowie ihr eigenes Analysewerkzeug Wiz Atlas ein. (Quelle: Wikipedia).
Wie installiere ich den Patch (Beispiele)
Die PHP‑Version in der CLI kann sich von der Version unterscheiden, die dein Webserver tatsächlich ausliefert. Je nach Serverkonfiguration zeigt der Befehl php -v nur die CLI‑Version an.
Unter Ubuntu / Debian kann die Version wie folgt geprüft werden:
php -v
php-fpm -v 2>/dev/null
dpkg -l 'php*' | awk '/^ii/{print $2, $3}'
Generelles update mittels apt (Ubuntu / Debian):
sudo apt update
sudo apt install --only-upgrade php*Den Patch gibt es nur für die oben genannten PHP‑Versionen. Wer ältere Versionen verwendet, muss seine PHP‑Installation zunächst aktualisieren.
Dabei sollte unbedingt geprüft werden, ob die Anwendungen, die noch auf älteren PHP‑Versionen laufen, ebenfalls aktualisiert werden können und nach dem Update weiterhin kompatibel sind.