PHP-Sicherheitsupdate 2026: PHP2Shell CVSS 9.2 – Leitfaden zur Behebung

Die Veröffentlichung selbst verlief ungewöhnlich. Am 20. Oktober publizierte das PHP-Sicherheitsteam eine Vorankündigung, legte das Release auf den 21. Oktober um 14:00 UTC fest und behielt sich vor, früher zu liefern. Die CVE-Kennungen sickerten einen Tag vor der Veröffentlichung aus, zusammen mit überhöhten Behauptungen über Schweregrad und betroffene Versionen. Die Distributoren hatten die Patches für ihre Pakete bereits erhalten, und nationale CERTs begannen mit Empfehlungen, noch bevor der Code überhaupt öffentlich war. Mit anderen Worten: Als das Release draußen war, hatte niemand mehr eine Rechtfertigung, Zeit zu verlieren.

Zwei Schwachstellen, ein Notfall-Release

Keiner der beiden Fehler ist ein Logikfehler in einer Anwendung. Beide stecken darin, wie PHP eine Anfrage vorbereitet und wieder abbaut — weshalb kein Framework-Update, kein Plugin-Update und keine WAF-Regel das Interpreter-Upgrade ersetzt.

CVE-2026-109618 — RCE durch Beschädigung bei Speichererschöpfung. Wenn PHP der Speicher ausgeht, bricht es die Anfrage ab, statt weiterzulaufen. Das Advisory beschreibt einen Pfad, bei dem dieser Abbruch PHP mitten in einer nur teilweise initialisierten Anfrage trifft, sodass die anschließende Bereinigung der Anfrage ungültige Daten für gültig hält. Wer die Speichernutzung an die Grenze treiben kann, kann damit steuern, was als Nächstes geschieht. Diese Schwachstelle macht den Mitigationshinweis so kontraintuitiv: Der Hersteller bittet Administratoren, PHP daran zu hindern, seine eigene Speicherobergrenze zu erreichen — nicht, diese zu verschärfen.

CVE-2026-109619 — RCE durch veralteten globalen Zustand. Interner Zustand, der zu einer Anfrage gehört, kann überleben, nachdem der Speicher dahinter freigegeben wurde. Die nächste Anfrage, die derselbe Worker-Prozess bearbeitet, kann diesen veralteten Zustand übernehmen, bevor die normale Initialisierung ihn zurücksetzt. Auf einem langlebigen Worker — und genau das sind PHP-FPM, mod_php und LiteSpeed — ist wiederverwendeter Speicher ein normaler, dauerhafter Zustand; deshalb ist das kein Randfall exotischer Setups.

Der Name PHP2Shell ist kein offizielles Label des PHP-Projekts; Forscher und Sicherheitshersteller haben ihn geprägt, und er hat sich gehalten. Sie werden ihm in Scanner-Ausgaben, Hosting-Bulletins und CERT-Hinweisen begegnen, wo er sich genau auf diese beiden CVEs bezieht.

Wer konkret betroffen ist

Das Advisory lässt keinen Interpretationsspielraum: Alle PHP-Installationen, die Web-Anfragen bedienen, sind gefährdet. Das gilt für PHP-FPM hinter nginx oder Apache, Apache mit mod_php, php-cgi, LiteSpeed und FrankenPHP. Unterschiedlich ist nur, wie viel Arbeit einem Angreifer bleibt.

Wenn Sie für Ihr Handelsgeschäft WordPress, WooCommerce, Laravel, Magento, ERP-Systeme im Magento-Umfeld oder ein in PHP geschriebenes Buchungsportal betreiben, fallen Sie in die ersten drei Zeilen — selbst wenn Ihr Anwendungscode fehlerfrei ist. Einen breiteren Blick darauf, wer den Runtime überhaupt betreuen sollte, bietet unser Leitfaden zum IT-Outsourcing in der Türkei.

Prüfen Sie Ihre Version in zwei Minuten

Die Falle ist hier die Versionsarithmetik. Distributionen liefern PHP 8.3.6 oder 8.2.x über Jahre aus und backporten Sicherheitskorrekturen in dieselbe sichtbare Versionsnummer — php -v allein sagt Ihnen also nicht, ob Sie geschützt sind. Vergleichen Sie drei Dinge.

1. Die sichtbare PHP-Version und die SAPI, die den Traffic bedient.

2. Die Paketversion der Distribution, nicht die des Upstream-Projekts. Auf Debian und Ubuntu gibt das Changelog die ehrliche Antwort; auf RPM-Systemen fragen Sie das Changelog des Pakets ab.

Wenn das Changelog für die installierte Version beide CVEs aufführt, sind Sie gepatcht — auch wenn php -v weiterhin 8.3.6 meldet. Das ist der Unterschied zwischen einer echten Sicherheitsaussage und einem Aberglauben an Versionsnummern.

3. Ob der laufende Prozess das gepatchte Binary neu geladen hat. Ein Paket-Update ohne anschließenden Neustart lässt den alten Code im Speicher. Vergleichen Sie die Startzeit des Dienstes mit der Installationszeit des Pakets:

Auf cPanel, Plesk, DirectAdmin oder einer verwalteten Plattform ist das Gegenstück der PHP-Selector zusammen mit dem eigenen Sicherheitsbulletin des Hosters: Ermitteln Sie die eingebaute Version, die Ihrer Website tatsächlich zugewiesen ist, nicht die neueste, die das Panel anpreist. Kann Ihr Hoster kein Patch-Datum nennen, behandeln Sie die Website als ungepatcht. Unsere Dienstleistungen für digitale Infrastruktur decken dieses Audit samt des Upgrades ab; Sie können uns auch einfach mit Ihrem Stack kontaktieren, und wir sagen Ihnen, was wir prüfen würden.

Behobene Versionen und die EOL-Klippe

PHP unterstützt einen Branch zwei Jahre lang mit aktiver Entwicklung und weitere zwei Jahre mit Sicherheitskorrekturen. Diese Policy hat am 21. Oktober vier zeitgleiche Fixes hervorgebracht — und sie ist es auch, die ältere Branches allein lässt.

Zwei praktische Warnungen aus dem Advisory. Erstens: Wenn Sie PHP aus einem Community-Repository statt aus Ihrer Distribution installieren, kann dieses Repository im Sicherheitsfenster hinterherhängen. Die Betreuer der weit verbreiteten Remi-Pakete erklärten, dass es bei ihnen keine Updates am selben Tag geben würde; der sichere Weg führt also über die Pakete Ihrer Distribution oder einen eigenen Quellcode-Build. Zweitens: Wenn Sie auf PHP 8.1 oder älter laufen, ist „warten wir auf unseren Hoster“ eine Sicherheitsentscheidung, die Sie im Namen Ihrer Kunden treffen — dokumentieren Sie sie oder ändern Sie sie.

Einen Produktionsserver patchen, ohne einen Vorfall zu riskieren

Sicherheitsupdates innerhalb derselben Nebenversion bringen eine Anwendung selten zum Absturz; ungeprüfte Neustarts schon. Die folgende Reihenfolge wenden wir auf live laufenden Handelsplattformen an; sie hält das Risikofenster kurz, ohne die Website zu riskieren.

1. Zuerst der Snapshot. Ein Hypervisor- oder Volume-Snapshot, dessen Wiederherstellung Sie tatsächlich getestet haben, ist in Minuten zurückgespielt — und macht die Entscheidung fürs Patchen billig.
2. Stellen Sie die Version im Staging nach. Gleicher Branch, gleiche Erweiterungen, gleiche PHP-Konfigurationsdateien, eine Kopie der Produktionsdaten. Durchlaufen Sie Checkout, Angebotsanfrage und Zahlung, nicht nur die Startseite.
3. Aktualisieren Sie den Paketsatz als Ganzes. Eine aktualisierte CLI mit einem alten FPM-Binary zu mischen ist der klassische Weg zu einem gepatchten php -v bei ungepatchtem Web-Pfad: apt-get update && apt-get install --only-upgrade 'php8.3-*' oder dnf update --security 'php*' auf RPM-Hosts.
4. Starten Sie den anfragebedienenden Prozess neu, und prüfen Sie den Neustart. systemctl restart php8.3-fpm (oder Apache neu laden / LiteSpeed neu starten), danach die Startzeit des Dienstes erneut prüfen und die Versions- und Changelog-Abfragen wiederholen.
5. Beobachten Sie das Fehlerlog eine Stunde lang. OOM-Meldungen, neue Fatal-Error-Signaturen und ungewöhnliche 5xx-Quoten sind Signale, dass die Mitigationseinstellungen weiter unten nachjustiert werden müssen — keine Gründe, das Upgrade aufzuschieben.
6. Dokumentieren Sie die Nachweise. Paketversion, Changelog-Zeile mit beiden CVEs, Zeitstempel des Neustarts. Kunden, Auditoren und ISO-27001-artige Kontrollprüfungen fragen genau danach, und das Ablegen dauert zehn Sekunden.

Wo das Upgrade warten muss — eine validierte ERP-Integration, ein Releasekalender mit Embargo, eine Freigaberunde beim Kunden — stellen Sie noch am selben Tag eine Kompensationskontrolle davor, statt den Port offen zu lassen und zu hoffen. Genau das empfahlen die Hinweise nationaler CERTs für genau diese Lage: ins Internet gerichtete PHP-Anwendungen vom öffentlichen Netz zu isolieren, wenn sofortiges Patchen nicht möglich ist.

Übergangsmaßnahmen: das Fenster verengen, nicht schließen

Das PHP-Advisory hält unmissverständlich fest, dass es keine vollständige Mitigation gibt und das Update die einzige sichere Wahl ist. Betrachten Sie das Folgende als Schutz für Tage, nicht für Wochen — an einer Ebene, die die Anwendung nicht überschreiben kann, und mit einem Neustart aller Worker danach.

Gegen CVE-2026-109618 (den Pfad über Speichererschöpfung)

• Lassen Sie PHP den Speicher der Maschine statt sein eigenes Limit erschöpfen: memory_limit = -1, idealerweise als php_admin_value memory_limit = -1, damit Anwendungscode die Obergrenze nicht wiederherstellen kann.
• Halten Sie Anfragekörper am Interpreter klein: Die Empfehlung des Advisory liegt bei rund 8 MB ohne Uploads und rund 32 MB mit Uploads, wobei upload_max_filesize unter post_max_size liegen sollte.
• Erzwingen Sie die teuren Grenzen am Proxy, denn der Schaden steckt in der dekodierten Anfrage, nicht in der Übertragungsgröße: gesamte dekodierte Body-Größe, Zahl der Eingabefelder, Zahl der Multipart-Teile, Zahl der Header, Verschachtelungstiefe — und erfassen Sie Anfragen, die ohne brauchbaren Content-Length ankommen.
• Begrenzen Sie den Wirkungsradius mit einem Container- oder Cgroup-Speicherlimit, dimensioniert so, dass ein abgeschossener Worker ein Verfügbarkeitsereignis bleibt, kein Ereignis für den ganzen Host. Ersetzen Sie das nicht durch RLIMIT_AS oder RLIMIT_DATA: Diese lösen genau den Allokationsfehler aus, der im verwundbaren Pfad liegt.

Gegen CVE-2026-109619 (den Pfad über veralteten Zustand)

• Deaktivieren Sie den Sitzungs-Upload-Fortschritt mit session.upload_progress.enabled = 0, gesetzt in der php.ini, im FPM-Pool oder in der Serverkonfiguration — irgendwo, wo es vor dem Parsen der Anfrage greift. Starten Sie danach jeden Worker neu, denn FPM teilt bereits initialisierten Modulzustand zwischen Anfragen. ini_set() und .user.ini greifen zu spät.
• Setzen Sie auf PHP 8.5 fatal_error_backtraces = 0 und starten Sie neu.
• Entfernen Sie Einstellungen pro Anfrage, die ungültig oder veraltet sind und daher während der frühen Initialisierung Diagnosen ausgeben. Die Meldung mit error_reporting, display_errors oder @ zu unterdrücken, beseitigt den Codepfad nicht.
• Suchen Sie nach von Angreifern erreichbaren fatalen Fehlern und lang laufenden Timeouts in Upload- und Import-Handlern, Callback-Code und Aufräumroutinen — denselben Stellen, an denen beide Fehler stecken.

Ein CDN oder eine WAF vor dem Origin verdient weiterhin seinen Platz: Rate Limiting, das Blocken anormaler Anfrageformen und Virtual Patching reduzieren Rauschen und verlangsamen opportunistisches Scannen. Für einen gezielt vorgehenden Angreifer sind sie eine Schikane, keine Kontrolle, die Sie als Remediation abzeichnen könnten.

Was Sie Ihrem Hoster heute abfragen sollten

Vorgefertigte Support-Antworten lauten auf diese Frage: „Wir sind immer gepatcht.“ Fragen Sie stattdessen nach Nachweisen, die Sie ablegen können:

• Die eingebaute PHP-Version, die unserem Konto zugewiesen ist, und ob es sich um ein Distributionspaket oder einen Hersteller-Build handelt.
• Das Datum, an dem die Fixes für CVE-2026-109618 und CVE-2026-109619 Ihre Serverflotte erreicht haben, samt der internen Paketversions-Zeichenkette.
• Ob der Fix für die SAPI gilt, die unsere Website bedient (FPM, LiteSpeed, mod_php), und für jeden Staging- oder Backup-Knoten, den wir wiederherstellen könnten.
• Falls die Plattform noch nicht gepatcht ist: Welche Kompensationskontrolle greift, und bis wann.
• Ihre feste Richtlinie für EOL-Branches — was am 1. Januar 2027 mit meiner Website geschieht, wenn der Sicherheits-Support für PHP 8.2 endet.

Ein Anbieter, der diese fünf Fragen in einer E-Mail beantwortet, ist einer, den man behält. Wer mit Marketingtext zurückkommt, macht ein Gespräch über die Migration fällig — dieselbe Sorgfalt wie bei unserer ISO-27001-Gap-Analyse, wo die Lieferung ein Nachweis ist und keine Beschwichtigung.

Sollten Sie von einer Kompromittierung ausgehen?

Nicht automatisch — aber prüfen Sie nach, statt zu raten, vor allem wenn der Server im Fenster vor Ihrem Patch öffentlich im Internet erreichbar war.

• Suchen Sie nach Prozessen, Listenern und Cron-Einträgen, die Sie nicht angelegt haben, sowie nach ausgehenden Verbindungen des PHP-Worker-Benutzers.
• Vergleichen Sie beschreibbare Anwendungsverzeichnisse mit der verbindlichen Deploy-Quelle: neue PHP-Dateien, veränderte Upload-Verzeichnisse, unerwartet ausführbare temporäre Ordner.
• Durchsuchen Sie die Web-Logs nach Anfragestürmen rund um die Stunden der Veröffentlichung, nach ungewöhnlich großen Multipart-Bodys oder nach Anfragen, die 500 zurückgaben, mit OOM-Signaturen im PHP-Fehlerlog.
• Prüfen Sie, ob wirklich das gepatchte Binary läuft — der Vergleich der Neustartzeit oben beantwortet das.
• Sieht irgendetwas falsch aus, behandeln Sie es als Vorfall: Sichern Sie Festplatte und Logs, rotieren Sie alle Zugangsdaten, die die Anwendung lesen kann, und bauen Sie das System von einem bekannt sauberen Image neu auf. Ein PHP-Paket über einen kompromittierten Host zu installieren ist keine Remediation.

Ein durchgespieltes Beispiel aus unserer eigenen Infrastruktur

Wir betreiben worldwidetradex.com unter Ubuntu 24.04 LTS mit nginx und PHP-FPM und haben die obigen Prüfungen am 22. Oktober deshalb an uns selbst durchgeführt. Die Ergebnisse veranschaulichen gut, warum Versionsarithmetik zählt:

Die Lehre überträgt sich auf jeden Stack: Ihre Sicherheitslage ist Paketversion plus Changelog plus Neustart, nicht der Marketing-Versionsstring im Hosting-Panel.

Patchen als Routine statt als Heldentat

PHP2Shell bleibt nicht deshalb im Gedächtnis, weil es exotisch wäre, sondern weil der Interpreter, auf dem der größte Teil des Webs läuft, einen kritischen Fehler vor der Authentifizierung hatte und Tausende Hosts innerhalb von Stunden reagieren mussten. Die Teams, die dabei ruhig schliefen, hatten kein Glück — sie hatten Automatisierung.

• Unbeaufsichtigte Sicherheits-Upgrades für den Interpreter, bei denen Version und Neustart automatisch protokolliert werden.
• Ein Inventar, das weiß, welche SAPI und welchen PHP-Branch jede Website nutzt — einschließlich Staging, Backups und dieses einen WordPress von 2019.
• Ein geprobter Wiederherstellungspfad, damit „jetzt patchen“ nie gegen „wir können nicht zurückrollen“ abgewogen werden muss.
• Ein Branch-Plan: nichts mehr auf einem PHP-Release, dessen Sicherheits-Support innerhalb der nächsten zwölf Monate endet.
• Ein namentlich benannter Verantwortlicher pro Server und ein schriftlicher Eskalationsweg für die Tage, an denen ein Patch an einem Mittwoch um 14:00 UTC landet.

Wenn Sie diese Fähigkeit lieber einkaufen als selbst besetzen, übernehmen wir die Verantwortung für PHP-Produktionsplattformen — Patch-Rhythmus, Monitoring, Backups und dokumentierte Wiederherstellungen — als Teil unserer Arbeit an gemanagter Infrastruktur. Beginnen Sie mit einer kurzen Aufgabenbeschreibung und Ihren Mengen: Fordern Sie ein Angebot an.

Häufig gestellte Fragen

Quellen

• PHP — Sicherheitshinweis „Critical remote code execution vulnerabilities, update now“ sowie die Release-Ankündigungen vom 21. Oktober 2026, einschließlich der Mitigationsempfehlungen und der Support-Zeitleiste der unterstützten Versionen.
• GitHub Security Advisories zum PHP-Repository: GHSA-w8hw-w9fx-j79w (CVE-2026-109618) und GHSA-6wmf-4rv5-p3rp (CVE-2026-109619).
• CERT-EU — Security Advisory 2026-018, „Critical Vulnerabilities in PHP“, nennt beide CVEs.
• Infosecurity Magazine — „Critical PHP Vulnerabilities Leaked Ahead of Scheduled Security Patches“ (21. Oktober 2026) und „PHP2Shell Exploitation Attempt Detected by Amazon Four Days Before Vulnerability Disclosure“ (22. Oktober 2026).

Soll das Upgrade jemand anderes übernehmen? Um Patching, ein Versions-Audit, die Migration auf eine gemanagte und gepatchte PHP-Plattform oder die Infrastruktur drumherum zu besprechen, kontaktieren Sie uns oder rufen Sie +90 505 679 78 03 an.