← Zur Übersicht aller Beiträge
PHP2Shell: Notfallupdates schließen zwei kritische PHP-Lücken
PHP hat Sicherheitsupdates gegen zwei kritische Lücken veröffentlicht, die Codeausführung ohne Anmeldung ermöglichen können. CERT-EU fordert sofortiges Patchen; auch eingebettete PHP-Komponenten müssen geprüft werden.
PHP2Shell: Notfallupdates schließen zwei kritische PHP-Lücken
PHP hat Sicherheitsupdates gegen zwei kritische Lücken veröffentlicht, die Codeausführung ohne Anmeldung ermöglichen können. CERT-EU fordert sofortiges Patchen; auch eingebettete PHP-Komponenten müssen geprüft werden.
Für PHP stehen seit dem 21. Oktober Notfallupdates gegen zwei kritische Sicherheitslücken bereit. Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 können Angreifern die Ausführung von Code ohne Anmeldung ermöglichen. Das PHP-Projekt nennt die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Betreiber sollten die Sicherheitsaktualisierung ihrer jeweiligen Versionsreihe beziehungsweise ihres Distributionsanbieters umgehend prüfen.
Die entscheidende neue Entwicklung ist die Veröffentlichung der Korrekturen. Aus der Vorwarnung vom 20. Oktober ist damit eine konkrete Update-Aufgabe geworden. CERT-EU bestätigt die behobenen Versionen und fordert Organisationen auf, betroffene Systeme sofort zu aktualisieren.
Das Risiko liegt unterhalb der eigentlichen Anwendung
Nach Angaben des PHP-Projekts sind Installationen betroffen, die Webanfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Für mod_php bewertet das Projekt das Risiko besonders hoch: Ein demonstrierter Angriff kann bereits vor dem Start des Anwendungscodes ausgelöst werden.
Die beiden Fehler betreffen den Umgang mit Speicherknappheit und internen Zustand, der nach einer Speicherfreigabe weiterverwendet werden kann. Ein Update des Content-Management-Systems allein belegt deshalb nicht, dass auch die darunter laufende PHP-Version abgesichert ist.
Auch ältere und eingebettete Installationen erfassen
CERT-EU weist darauf hin, dass kommerzielle und quelloffene Produkte PHP intern verwenden können. Für die Bestandsaufnahme reicht deshalb die Liste öffentlich bekannter PHP-Websites nicht aus. Auch vom Dienstleister betriebene Anwendungen und Produkte mit eingebetteter PHP-Komponente gehören in die Prüfung.
PHP 8.1 und ältere Zweige erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Distributions- oder Langzeitsupportanbieter können jedoch Korrekturen zurückportieren. Für solche Systeme ist die konkrete Sicherheitsfreigabe des Anbieters maßgeblich.
CERT-EU empfiehlt, öffentlich erreichbare Anwendungen vorübergehend zu isolieren, wenn ein sofortiges Update nicht möglich ist. Provisorische Gegenmaßnahmen ersetzen die Fehlerkorrektur nicht.
Was Unternehmen jetzt organisieren sollten
Als praktische Folgerung sollten Unternehmen für jede betroffene Anwendung einen Verantwortlichen, den Hostinganbieter und den bestätigten Patchstand festhalten. Eine Rückmeldung „Website aktualisiert“ ist zu ungenau: Entscheidend ist, welche PHP-Laufzeit tatsächlich die Webanfragen verarbeitet und ob deren Anbieter die beiden Schwachstellen geschlossen hat.
Nach der Aktualisierung gehören die erreichbaren Webfunktionen in eine kurze Funktionsprüfung. Bei ausgelagertem Betrieb sollte die Bestätigung des Dienstleisters Bestandteil des Vorgangs sein. Die Warnung beweist keine Kompromittierung eines einzelnen Unternehmens; sie begründet aber eine dringende, nachvollziehbar abzuschließende Prüfung.
Für PHP stehen seit dem 21. Oktober Notfallupdates gegen zwei kritische Sicherheitslücken bereit. Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 können Angreifern die Ausführung von Code ohne Anmeldung ermöglichen. Das PHP-Projekt nennt die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Betreiber sollten die Sicherheitsaktualisierung ihrer jeweiligen Versionsreihe beziehungsweise ihres Distributionsanbieters umgehend prüfen.
Die entscheidende neue Entwicklung ist die Veröffentlichung der Korrekturen. Aus der Vorwarnung vom 20. Oktober ist damit eine konkrete Update-Aufgabe geworden. CERT-EU bestätigt die behobenen Versionen und fordert Organisationen auf, betroffene Systeme sofort zu aktualisieren.
Das Risiko liegt unterhalb der eigentlichen Anwendung
Nach Angaben des PHP-Projekts sind Installationen betroffen, die Webanfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Für mod_php bewertet das Projekt das Risiko besonders hoch: Ein demonstrierter Angriff kann bereits vor dem Start des Anwendungscodes ausgelöst werden.
Die beiden Fehler betreffen den Umgang mit Speicherknappheit und internen Zustand, der nach einer Speicherfreigabe weiterverwendet werden kann. Ein Update des Content-Management-Systems allein belegt deshalb nicht, dass auch die darunter laufende PHP-Version abgesichert ist.
Auch ältere und eingebettete Installationen erfassen
CERT-EU weist darauf hin, dass kommerzielle und quelloffene Produkte PHP intern verwenden können. Für die Bestandsaufnahme reicht deshalb die Liste öffentlich bekannter PHP-Websites nicht aus. Auch vom Dienstleister betriebene Anwendungen und Produkte mit eingebetteter PHP-Komponente gehören in die Prüfung.
PHP 8.1 und ältere Zweige erhalten vom PHP-Projekt keine regulären Sicherheitsupdates mehr. Distributions- oder Langzeitsupportanbieter können jedoch Korrekturen zurückportieren. Für solche Systeme ist die konkrete Sicherheitsfreigabe des Anbieters maßgeblich.
CERT-EU empfiehlt, öffentlich erreichbare Anwendungen vorübergehend zu isolieren, wenn ein sofortiges Update nicht möglich ist. Provisorische Gegenmaßnahmen ersetzen die Fehlerkorrektur nicht.
Was Unternehmen jetzt organisieren sollten
Als praktische Folgerung sollten Unternehmen für jede betroffene Anwendung einen Verantwortlichen, den Hostinganbieter und den bestätigten Patchstand festhalten. Eine Rückmeldung „Website aktualisiert“ ist zu ungenau: Entscheidend ist, welche PHP-Laufzeit tatsächlich die Webanfragen verarbeitet und ob deren Anbieter die beiden Schwachstellen geschlossen hat.
Quellen
Transparenz: Konzept, Auswahlkriterien und inhaltliche Vorgaben stammen von Christian Hohlfeld. Recherche und Formulierung wurden nach diesen Vorgaben mit KI-Werkzeugen unterstützt. Redaktionell geprüft und freigegeben von Christian Heinrich Hohlfeld am .