PHP2Shell: Was die PHP-Sicherheitslücken für deine Website bedeuten

Was ist PHP2Shell?

Unter dem Namen PHP2Shell werden zwei Sicherheitslücken im PHP-Interpreter zusammengefasst: CVE-2026-109618 und CVE-2026-109619. PHP führt auf dem Server den Programmcode vieler Content-Management-Systeme und Shops aus. Die Lücken sitzen damit in einer tieferen technischen Schicht als ein einzelnes Theme oder Plugin.

Beide Fehler betreffen die Speicherverwaltung bei der Verarbeitung von Anfragen. Bei CVE-2026-109618 kann ein Speichermangel unvollständig initialisierte Daten zurücklassen. CVE-2026-109619 betrifft interne Zustände, die noch auf bereits freigegebenen Speicher verweisen. Unter passenden Bedingungen ist dadurch die Ausführung fremden Codes mit den Rechten des PHP-Prozesses möglich. Die technischen Einzelheiten dokumentiert das PHP-Team in seinen Hinweisen zur Speicherfehler-Lücke und zur Lücke durch zurückgebliebene Zustände.

Welche Websites müssen geprüft werden?

Das PHP-Team fordert alle Betreiber von PHP-Installationen, die Webanfragen verarbeiten, zum Aktualisieren auf. Dazu gehören unterschiedliche Betriebsarten wie PHP-FPM und Apache mit mod_php. Das Risiko hängt von Serverkonfiguration, Erweiterungen und Anwendung ab; für mod_php beschreibt PHP einen nachgewiesenen Angriff bereits vor dem Start des eigentlichen Website-Codes. Eine PHP-FPM-Installation sollte deshalb nicht pauschal als geschützt gelten.

Für deine Contao-Website, eine WordPress-Installation oder einen PHP-basierten Shop heißt das praktisch: Lass die tatsächlich verwendete Serverumgebung prüfen. Ein Blick auf die CMS-Versionsnummer reicht für diese Frage nicht aus. Auch eine Website, die im Browser völlig normal aussieht, liefert damit noch keinen Nachweis über ihren Patchstand.

Welche PHP-Versionen schließen die beiden Lücken?

Die am 21. Oktober 2026 veröffentlichten Korrekturen sind in diesen Versionen enthalten:

• PHP 8.2: ab 8.2.35
• PHP 8.3: ab 8.3.36
• PHP 8.4: ab 8.4.27
• PHP 8.5: ab 8.5.12

Das sind die ersten korrigierten Versionen für diese beiden CVEs. Wähle bei einem Update die aktuell verfügbare, unterstützte und mit deinem Projekt kompatible Sicherheitsversion. Bei Linux-Distributionen und betreuten Hosting-Paketen können Sicherheitskorrekturen zurückportiert sein. Bitte deinen Anbieter deshalb um eine Bestätigung zu den konkreten CVEs und zum installierten Paket. PHP 8.1 und ältere Zweige erhalten vom PHP-Projekt keine regulären Updates mehr; ein dokumentierter Hersteller-Backport oder der Wechsel auf einen unterstützten Zweig muss hier gesondert geklärt werden.

Der zusätzliche Hinweis zur Session-Verarbeitung

Am 23. Oktober veröffentlichte PHP einen weiteren Hinweis zu CVE-2026-115560. Dieser betrifft eine ungewöhnliche Kombination: Die Anwendung wechselt den Session-Serializer zur Laufzeit von php_binary oder php_serialize auf php, bevor sie die Session startet, und die Upload-Fortschrittsfunktion ist aktiviert.

PHP empfiehlt bis zum nächsten regulären Bugfix-Release session.upload_progress.enabled=0. Der Hinweis vom 23. Oktober steht zum Redaktionsstand weiterhin im offiziellen PHP-Newsarchiv. Lass deinen Hoster die Einstellung und den aktuellen Freigabestand prüfen. Die Versionsliste oben bezieht sich auf die beiden ursprünglichen PHP2Shell-Lücken; sie ist kein pauschaler Freibrief für diesen zusätzlichen Fall.

So gehst du als Websitebetreiber vor

1. Zuständigkeit klären: Frage den Hosting-Anbieter, welche PHP-Version deine Domain tatsächlich ausführt und ob die beiden PHP2Shell-Korrekturen enthalten sind. Beziehe weitere Domains, Subdomains und Testinstallationen ein.
2. Update vorbereiten: Sichere Dateien und Datenbank und kläre die Kompatibilität deiner Contao-Version, Erweiterungen und Shop-Anbindungen. Bei einem Wechsel des PHP-Zweigs gehört eine Testumgebung zur Vorbereitung.
3. Server und Anwendung zusammen betrachten: Lass PHP aktualisieren und prüfe separat verfügbare CMS- und Erweiterungsupdates. Bitte den Serverbetreiber auch um die erforderliche Übernahme der Änderungen durch die PHP-Prozesse.
4. Funktionen kontrollieren: Teste anschließend Kontaktformulare, Uploads, Anmeldung und bei Shops den vollständigen Bestellablauf. Dokumentiere Datum und bestätigten Patchstand.

Überbrückende Konfigurationsmaßnahmen ersetzen das Update nicht. Insbesondere solltest du keine im Internet gefundenen Speicherlimit-Einstellungen ungeprüft übernehmen: Sie können Verfügbarkeit und andere Anwendungen auf demselben Server beeinflussen.

Ein Update ersetzt keine Prüfung eines möglichen Angriffs

Ein eingespielter Patch schließt die betreffende Schwachstelle. Falls bereits unbekannte Dateien, neue Administratoren oder unerklärliche Änderungen aufgefallen sind, sollte zusätzlich eine Untersuchung der Installation erfolgen. Behalte Protokolle und Sicherungen für diese Prüfung und stimme weitere Schritte mit deinem technischen Ansprechpartner ab.

Du möchtest den Stand deiner Website klären? One Step unterstützt dich bei der Website-Wartung und technischen Betreuung. Über die Kontaktseite kannst du uns deine Website und den Hosting-Anbieter nennen. Zugangsdaten gehören nicht in eine unverschlüsselte erste Nachricht.

Quellen und weiterführende Informationen

• PHP: Sicherheitswarnung und Updates vom 21. Oktober 2026
• PHP Security Advisory: CVE-2026-109618
• PHP Security Advisory: CVE-2026-109619
• PHP: zusätzlicher Hinweis zu Session Upload Progress vom 23. Oktober 2026

Redaktioneller Stand: 12. November 2026. Sicherheitsmeldungen können ergänzt werden. Maßgeblich sind die aktuellen Herstellerhinweise und die Prüfung deiner konkreten Serverumgebung.