PHP2Shell: Kritische PHP-Lücke – das müssen Sie wissen
Was ist passiert?
Am 21. Oktober 2026 hat das PHP-Team Notfall-Updates für zwei kritische Schwachstellen veröffentlicht (CVE-2026-109618 und CVE-2026-109619, zusammen „PHP2Shell“ genannt). Jede der beiden Lücken kann es einem nicht angemeldeten Angreifer ermöglichen, über manipulierte HTTP-Anfragen Code auf dem Webserver auszuführen, und zwar mit den Rechten des PHP-Benutzers.
Betroffen ist jede PHP-Version der letzten zehn Jahre, zurück bis PHP 5.4. Die Lücken liegen im PHP-Kern. Damit sind auch Systeme wie WordPress, Drupal und Joomla betroffen, unabhängig von Plugins.
Wie ernst ist die Lage?
Die Informationen wurden vor dem geplanten Termin geleakt. Amazon beobachtete einen ersten Angriffsversuch bereits am 17. Oktober und spricht von breiter Ausnutzung. Andere Anbieter hatten bis zum 21. Oktober keine Angriffe auf ihren Systemen gesehen. Gehen Sie sicherheitshalber von aktiver Gefahr aus.
Einen Workaround vom PHP-Team gibt es nicht. Das Deaktivieren der Upload-Progress-Funktion reicht nicht als Schutz. Die wirksame Maßnahme ist das Update.
Welche Versionen sind sicher?
Die Korrekturen stecken in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für ältere Versionen wie PHP 7.x und 8.1 sind keine Updates angekündigt. Wer sie noch nutzt, sollte zeitnah auf eine unterstützte Version wechseln.
Was Sie jetzt tun sollten
- PHP-Version Ihres Hostings prüfen. Bei Nodework-Kunden übernehmen wir das.
- Bei eigenen Servern PHP auf eine gepatchte Version aktualisieren und PHP-FPM neu starten.
- Veraltete PHP-Versionen auf eine unterstützte Version umstellen.
- Auf Auffälligkeiten achten: unbekannte PHP-Dateien, neue Admin-Konten, unbekannte Plugins.
So sichert Nodework Ihre Systeme ab
Wir betreiben PHP über PHP-FPM und setzen auf mehrere Schutzschichten:
- Schnelles Patchen: Gepatchte PHP-Versionen werden eingespielt, PHP-FPM wird danach neu gestartet.
- Getrennte Pools pro Website: Jede Website läuft unter eigenem Systembenutzer. Ein Angriff bleibt auf diese eine Website beschränkt.
open_basedir: PHP sieht nur das Verzeichnis der jeweiligen Website.- Minimale Rechte: Der PHP-Benutzer darf keine Systemdateien ändern.
- Keine PHP-Ausführung in Upload-Ordnern: Dort legen Angreifer häufig Schadcode ab.
- Überwachung: Wir prüfen Logs auf verdächtige Anfragen und neue PHP-Dateien.
Diese Maßnahmen ersetzen das Update nicht, sie begrenzen aber den Schaden, falls eine Lücke ausgenutzt wird.
Fazit
PHP-Update einspielen hat jetzt Priorität. Sind Sie unsicher, welche PHP-Version Ihre Website nutzt oder ob sie gepatcht ist, prüfen wir das gern für Sie. Kontaktieren Sie uns.