AntwortenVeröffentlicht24 Quellen
PHP2Shell: Was die kritischen PHP-Lücken bedeuten – und was jetzt zu tun ist
PHP2Shell umfasst zwei kritische Schwachstellen, über die Angreifer ohne Anmeldung Code auf betroffenen Servern ausführen können. Die behobenen PHP Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Veröffentlicht vonBearbeitet mit GPT-6 LunaBilder erstellt mit GPT Image 2
Forschungsantwort
Wichtige Erkenntnisse
- PHP2Shell umfasst zwei kritische Schwachstellen, über die Angreifer ohne Anmeldung Code auf betroffenen Servern ausführen können.
- Die behobenen PHP Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Betreiber sollten PHP Dienste erfassen und Updates des Herstellers priorisieren.
- Sicherheitsanbieter meldeten Angriffsversuche. Das ist jedoch kein Beleg dafür, dass es in jedem Fall zu einem erfolgreichen Einbruch kam.
KI-Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the full picture of the PHP2Shell security crisis as of October 21, 2026, including PHP’s prevalence across websites; the unauthenti. Article summary: As of October 21, 2026, PHP2Shell was an urgent patching crisis involving two unauthenticated remote-code-execution vulnerabilities, with emergency PHP updates released after premature disclosure and reports of attack at. Topic tags: general, general web, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake n
PHP2Shell ist der Sammelname für zwei kritische Schwachstellen in der Verarbeitung von Webanfragen durch PHP: CVE-2026-109618 und CVE-2026-109619. Angreifer können sie unter Umständen ausnutzen, um ohne Anmeldung Code auf einem betroffenen Server auszuführen. PHP veröffentlichte am 21. Oktober 2026 Notfall-Updates, nachdem die Schwachstellen bereits vor dem geplanten Veröffentlichungstermin bekannt geworden waren. Berichte über Angriffsversuche belegen für sich genommen allerdings noch keinen erfolgreichen Einbruch. 4
6
15
Was steckt hinter PHP2Shell?
Die Fehler liegen in PHP selbst, nicht in einer bestimmten Website-Anwendung. Sicherheitsmeldungen nennen PHP 5.4 und spätere Versionen als betroffen. Speziell präparierte Anfragen können die Schwachstellen bei der Verarbeitung von Webtraffic auslösen. 8
14
Die Ursachen unterscheiden sich: CVE-2026-109618 hängt mit einer Speicherbeschädigung bei knappem Speicher zusammen; CVE-2026-109619 betrifft einen veralteten globalen Zustand. Beide Schwachstellen erhielten auf der Skala CVSS 4.0 den Wert 9,2 und die Einstufung „Kritisch“. 4
15
PHP ist weit verbreitet. Die hier vorliegenden Quellen liefern jedoch keine belastbare Prozentzahl dazu, welcher Anteil aller Websites betroffen ist. Schätzungen können unterschiedliche Bezugsgrößen verwenden und sollten nicht als Zahl verwundbarer Websites verstanden werden. Entscheidend ist für Betreiber, ob eine nicht aktualisierte PHP-Installation Webanfragen verarbeitet. 3
14
Vorzeitige Bekanntgabe und verfügbare Updates
Die Schwachstellen wurden am 20. Oktober öffentlich – einen Tag bevor PHP Notfall-Updates veröffentlichte und vor dem ursprünglich für den 22. Oktober vorgesehenen Termin. 6
7
16
Cloudflare nannte in seinem Bericht Calif, Wiz, OpenAI und Quarkslab im Zusammenhang mit der Bekanntgabe. Zeitgenössische Berichte beschrieben eine KI-gestützte Recherche von Calif und meldeten, Wiz habe die Schwachstellen unabhängig entdeckt und gemeldet. Welche technischen Beiträge die einzelnen Beteiligten genau leisteten, lässt sich anhand der verfügbaren Quellen nicht abschließend feststellen. 14
20
Die am 21. Oktober veröffentlichten korrigierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. 15
16 Betreiber sollten prüfen, welche PHP-Versionen in ihren Produktivsystemen laufen, und auf die passende fehlerbereinigte Version aktualisieren – oder einen vom Anbieter bestätigten Backport einspielen. Bei einem Backport wird eine Sicherheitskorrektur in ein bestehendes Paket übernommen, ohne dass sich die angezeigte Versionsnummer zwingend ändert. Im Zweifel sollte deshalb auch die Sicherheitsmeldung des Hosting- oder Distributionsanbieters geprüft werden.
1
Was über Angriffsversuche bekannt ist
Am 21. Oktober berichteten Sicherheitsmedien über Angriffsversuche. Cloudflare erklärte, Angriffsverkehr beobachtet zu haben; SecurityWeek meldete, mehrere Cybersicherheitsunternehmen hätten Versuche registriert, bevor PHP die Patches veröffentlichte. 14
15
Die damaligen Angaben ergaben kein einheitliches Bild zu erfolgreichen Angriffen. Eine spätere Zusammenfassung der Berichterstattung vom 21. Oktober hielt fest, dass CISA und das kanadische Zentrum für Cybersicherheit zu diesem Zeitpunkt keine Ausnutzung beobachtet oder festgestellt hatten, während Sicherheitsfirmen von Versuchen berichteten. Das sind unterschiedliche Aussagen: Eine präparierte Anfrage ist kein Beweis für einen erfolgreichen Einbruch. Umgekehrt beweist auch, dass eine Behörde keinen Angriff beobachtet hat, nicht, dass es nirgends zu einer Kompromittierung kam. 25
Was Betreiber jetzt tun sollten
Die NSA empfahl Organisationen, Hersteller-Patches zu priorisieren und zu erfassen, welche Hardware- und Softwaredienste auf verwundbare PHP-Versionen angewiesen sind. 17 Auch CISA wurde mit einem Aufruf zu sofortigen Updates zitiert.
20 Lässt sich ein betroffener Dienst nicht zeitnah aktualisieren, wurde als vorübergehende Maßnahme empfohlen, ihn vom Netz zu nehmen, statt ihn ungeschützt weiterlaufen zu lassen.
7
21
Cloudflare teilte mit, dass Kunden seiner kostenlosen und kostenpflichtigen WAF-Angebote ab 21. Oktober, 03:02 Uhr UTC, standardmäßig gegen PHP2Shell geschützt waren. Eine WAF – eine Web Application Firewall – kann eine zusätzliche Schutzschicht bieten. Sie ersetzt aber kein Update der verwundbaren PHP-Installation und ist kein Nachweis dafür, dass der Server selbst abgesichert ist. 14
17
Die Prüfung sollte nicht bei klassischen PHP-Websites enden: Help Net Security berichtete, Palo Alto Networks habe alle Versionen von PAN-OS und Panorama als betroffen eingestuft; zum Zeitpunkt des Berichts waren demnach noch keine Korrekturen verfügbar. 33 Bei Appliances und verwalteten Plattformen gelten herstellerspezifische Hinweise und Gegenmaßnahmen. Ein PHP-Update allein behebt ein mögliches Produktproblem dort nicht zwangsläufig.
Das Wichtigste in Kürze
PHP2Shell ist ein dringender Anlass, PHP-Dienste zu erfassen und auf die korrigierte Version oder einen bestätigten Hersteller-Backport zu aktualisieren. Isolation oder Filterregeln können allenfalls Übergangslösungen sein. Die Berichte vom 21. Oktober rechtfertigen die Sorge vor Angriffsversuchen – aber nicht die Annahme, jeder Versuch habe zu einem erfolgreichen Einbruch geführt. 1
15
17
25
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Die Leute fragen auch
Wie lautet die kurze Antwort auf „PHP2Shell: Was die kritischen PHP-Lücken bedeuten – und was jetzt zu tun ist“?
PHP2Shell umfasst zwei kritische Schwachstellen, über die Angreifer ohne Anmeldung Code auf betroffenen Servern ausführen können.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
PHP2Shell umfasst zwei kritische Schwachstellen, über die Angreifer ohne Anmeldung Code auf betroffenen Servern ausführen können. Die behobenen PHP Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Betreiber sollten PHP Dienste erfassen und Updates des Herstellers priorisieren.
Was soll ich als nächstes in der Praxis tun?
Sicherheitsanbieter meldeten Angriffsversuche. Das ist jedoch kein Beleg dafür, dass es in jedem Fall zu einem erfolgreichen Einbruch kam.
Quellen
bleepingcomputer.comPHP ships emergency patches for critical PHP2Shell flaws
vulncheck.comPHP2Shell Vulnerabilities: CVE-2026-109618 and ...
securityweek.comPHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
access.redhat.comRHSB-2026-013 Request handling memory corruption - php (CVE ...