Sicherheit
PHP2Shell: Sicherheitslücken in PHP und der Stand unserer Systeme
· 3 Min. Lesezeit
Unter dem Namen PHP2Shell sind zwei kritische Sicherheitslücken im PHP-Kern bekannt geworden: CVE-2026-109618 und CVE-2026-109619. Sie können unter bestimmten Bedingungen dazu führen, dass Angreifer ohne Anmeldung Code auf einem betroffenen Server ausführen. Die Schwachstellen betreffen PHP selbst. Ein aktuelles CMS oder aktualisierte Plugins allein schließen sie deshalb nicht.
Unsere PHP-Versionen ab 5.6 sind gepatcht
Auf unseren regulären Hosting-Systemen und Managed Servern haben wir die Sicherheitsupdates am 21. Oktober 2026 eingespielt. Die Arbeiten begannen um 16 Uhr und waren gegen 16:30 Uhr abgeschlossen. Dabei kam es zu keinen Ausfällen.
Alle bei uns eingesetzten PHP-Versionen ab 5.6 sind hinsichtlich PHP2Shell gepatcht. Das gilt sowohl für das reguläre Hosting als auch für entsprechende Classic-PHP-Systeme. Kundinnen und Kunden dieser Systeme müssen wegen dieser beiden Sicherheitslücken nichts unternehmen.
Welche PHP-Versionen schließen die Lücken?
Das PHP-Projekt hat am 21. Oktober 2026 Sicherheitsupdates für die unterstützten Versionszweige veröffentlicht:
| PHP-Zweig | Erste korrigierte Version |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Für PHP 8.1 und ältere Versionen veröffentlicht das PHP-Projekt keine regulären Sicherheitsupdates mehr. Korrekturen können jedoch in ältere Pakete zurückportiert werden. So sind auch die bei uns eingesetzten Versionen PHP 5.6 bis 8.1 gegen PHP2Shell gepatcht. Bei solchen Paketen zeigt die PHP-Versionsnummer allein nicht zuverlässig an, ob die Korrektur enthalten ist.
Classic PHP 5.2 bis 5.5: unterschiedliche Lage
PHP 5.2 und 5.3 sind von PHP2Shell nicht betroffen.
Für PHP 5.4 und 5.5 gibt es keinen Patch. Auf diesen Systemen haben wir zusätzliche Schutzmaßnahmen umgesetzt. Sie verringern das Risiko, schließen die Sicherheitslücken aber nicht vollständig. Nicht benötigte Projekte mit PHP 5.4 oder 5.5 sollten deaktiviert werden. Für weiterhin benötigte Projekte kann ein zusätzlicher Passwortschutz den öffentlichen Zugriff vorübergehend beschränken. Wir informieren betroffene Kunden direkt über die für ihr System nötigen Schritte.
Ältere PHP-Versionen werden vom PHP-Projekt nicht mehr regulär unterstützt. Planen Sie deshalb die Umstellung Ihrer Anwendung auf einen unterstützten Versionszweig ein.
Weitere Informationen
Die Sicherheitsmeldung des PHP-Projekts und die technischen Hinweise zu CVE-2026-109618 und CVE-2026-109619 beschreiben die Schwachstellen und die verfügbaren Updates.