PHP2Shell: die kritische PHP-Sicherheitslücke, die Tausende Server gefährdet

Was ist passiert?

Stellen Sie sich vor, Sie betreten einen Online-Shop. Sie sehen die Produkte, deren Preise, den Warenkorb und die Schaltfläche zum Bezahlen. Doch hinter dieser Seite steht ein Server, der die verfügbaren Produkte abfragt, Ihr Konto prüft, die Bestellung berechnet und mit der Datenbank kommuniziert.

PHP ist eine der Programmiersprachen, die diese ganze Arbeit im Hintergrund ermöglichen.

Und das ist weitaus verbreiteter, als es scheint. Laut W3Techs nutzen rund 70% der Websites, deren serverseitige Sprache bekannt ist, PHP — darunter viele mit WordPress entwickelte Seiten: Shops, Online-Zeitungen, Blogs und Unternehmenswebsites.

Das heißt, Sie nutzen wahrscheinlich jeden Tag PHP-basierte Dienste, ohne es zu wissen.

Wo beginnt das Problem?

Wir müssen bis ins Jahr 2024 zurückgehen, als erste Anzeichen für ein mögliches Speicherproblem in PHP entdeckt wurden. Fachleute vermuteten, dass es gefährlich sein könnte, konnten aber noch nicht zeigen, wie es sich für einen Angriff auf einen Server ausnutzen ließe.

Im August 2026 gelang es verschiedenen Sicherheitsuntersuchungen, teils unterstützt durch KI-Tools, Wege zu finden, um Schwachstellen dieser Art auszunutzen.

Und was bedeutet das?

Stellen Sie sich vor, Sie betreiben ein Geschäft, und jeder Mitarbeiter braucht ein Passwort, um das Lager zu betreten. Ein Angreifer entdeckt jedoch ein Loch in der Wand, durch das er ohne Zugangskontrolle hineinkommt.

Etwas Ähnliches könnte mit PHP passieren: Ein Angreifer kann eine speziell präparierte Anfrage senden und den Server dazu bringen, schädliche Anweisungen auszuführen, ohne sich anmelden zu müssen.

Ist der Angriff erfolgreich, könnte er auf Dateien zugreifen, Informationen extrahieren, Webseiten verändern oder Malware installieren — abhängig von den Berechtigungen und Schutzmaßnahmen des Servers.

Beunruhigend ist, dass der Fehler nicht zwangsläufig auf der Website eines Unternehmens liegt, sondern in PHP selbst, auf dem diese läuft.

Oktober: Die Angriffsversuche beginnen

Während das PHP-Team an den Lösungen arbeitete, entdeckten die Überwachungssysteme von Amazon am 17. Oktober Versuche, die Schwachstellen auf Honeypot-Servern auszunutzen, die eigens dazu dienen, das Verhalten von Angreifern zu untersuchen.

Am 20. Oktober kündigte PHP ein außerordentliches Sicherheitsupdate an, und schließlich veröffentlichte PHP am 21. Oktober Patches für zwei kritische Schwachstellen, CVE-2026-109618 und CVE-2026-109619, bekannt als PHP2Shell.

Beide erhielten einen Schweregrad von 9,2 von 10.

Laut der offiziellen Mitteilung von PHP betrifft das Problem verschiedene Servertypen, die diese Sprache nutzen, insbesondere bestimmte Apache-Konfigurationen.

Die Veröffentlichung der Schwachstellen löste eine Welle von Angreiferaktivität aus. Cloudflare registrierte in den ersten 45 Minuten Zehntausende Ausnutzungsversuche, die am Folgetag auf Millionen anstiegen.

Außerdem wurden Versuche entdeckt, eine Variante des Mirai-Botnetzes zu installieren, eine Malware, die zur Steuerung infizierter Geräte genutzt wird.

Das bedeutet jedoch nicht, dass Millionen Websites gehackt wurden. Angriffsversuche sind eine Sache, erfolgreicher Zugriff auf die Server eine andere. Die von The Hacker News zitierten Forscher hatten bis dahin keine erfolgreiche Codeausführung in realen Angriffen bestätigt.

23. Oktober: Eine dritte, weniger riskante Schwachstelle taucht auf

Zwei Tage nach den Notfall-Updates meldete PHP eine dritte Schwachstelle, CVE-2026-115560.

Diesmal ist die Lage anders. Die neue Schwachstelle lässt sich nur ausnutzen, wenn eine Anwendung eine sehr ungewöhnliche Kombination von Sitzungseinstellungen verwendet.

Zudem sind Server, bei denen die Funktion session.upload_progress.enabled bereits deaktiviert ist, diesem neuen Angriffsweg nicht ausgesetzt. Ebenso wenig betroffen sind Anwendungen, die die spezifische Konfigurationsänderung, die das Problem verursacht, nicht vornehmen.

Deshalb hält PHP eine Ausnutzung für unwahrscheinlich und hat keinen Notfall-Patch veröffentlicht. Stattdessen empfiehlt PHP, diese Funktion deaktiviert zu lassen, bis zum nächsten regulären Update.

Bis zum 23. Oktober waren laut The Hacker News keine bestätigten Angriffe im Zusammenhang mit dieser dritten Schwachstelle gemeldet worden.

Und wie lautet die Lösung?

Für die beiden anfänglichen kritischen Schwachstellen hat PHP bereits die korrigierten Versionen veröffentlicht: 8.2.35, 8.3.36, 8.4.27 und 8.5.12.

Das offizielle PHP-Team betont, dass ein Update die einzige vollständige Lösung ist. Vorübergehende Maßnahmen können manche Risiken verringern, ersetzen aber nicht die Patches.

Und hier liegt die eigentliche Herausforderung: Es reicht nicht, dass PHP ein Update veröffentlicht. Jedes Unternehmen, jeder Hosting-Anbieter oder Administrator muss es auf den eigenen Servern installieren.

Deshalb erinnert dieser Vorfall daran, wie wichtig es ist, Systeme aktuell zu halten, Konfigurationen zu überprüfen und mögliche Bedrohungen zu überwachen.