Update vom 25. Oktober 2026: Die Sicherheitsupdates sind verfügbar. Das PHP-Projekt hat am 21. Oktober die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Installieren Sie umgehend die gepatchte Version für Ihren PHP-Zweig – oder eine neuere Sicherheitsversion.
PHP-Updates und Downloads auf der offiziellen PHP-Seite öffnen
Wenn PHP über Linux, einen Hosting-Anbieter, ein Control Panel oder ein Container-Image verwaltet wird, installieren Sie das Sicherheitsupdate über den jeweiligen offiziellen Anbieter. Prüfen Sie anschließend, welche Version der Webserver tatsächlich ausführt, und starten Sie alle PHP-Prozesse beziehungsweise Container neu. Bei PHP 8.1 oder älter gibt es nicht für jede Installation ein reguläres PHP-Upstream-Update: Prüfen Sie verfügbare Sicherheits-Backports Ihres Anbieters oder aktualisieren Sie auf eine unterstützte Version.
Auch nach der Veröffentlichung wurden Angriffsversuche beobachtet. Amazon Threat Intelligence berichtet von Versuchen bereits ab dem 17. Oktober sowie von weiteren Aktivitäten nach Veröffentlichung der Patches. Ob die früheren Versuche auf realen Systemen erfolgreich gewesen wären, ist laut Amazon unklar. Prüfen Sie deshalb neben dem Update auch Ihre Protokolle und Systeme.
Dieser Beitrag wurde ursprünglich am 20. Oktober 2026 verfasst – bevor die Sicherheitsversionen zum Download bereitstanden. Der folgende Abschnitt hält den damaligen Informationsstand fest; die aktuellen Schritte stehen im Update direkt oben.
Was ist PHP2Shell?
„PHP2Shell“ ist die gemeinsame Bezeichnung für zwei kritische Sicherheitslücken im PHP-Laufzeitsystem: CVE-2026-109618 und CVE-2026-109619. Beide können unter bestimmten Bedingungen dazu führen, dass eine nicht angemeldete Person Code auf einem betroffenen Webserver ausführt. Die CVSS-v4-Bewertung beträgt jeweils 9,2 von 10.
Betroffen sind PHP-Installationen, die Webanfragen verarbeiten – darunter Apache mit mod_php, PHP-FPM, php-cgi, FrankenPHP und LiteSpeed. Die Schwachstellen liegen im PHP-Laufzeitsystem selbst und lassen sich deshalb nicht allein durch ein Update der Website oder ihres CMS beheben. CISA stuft mod_php als besonders gefährdet ein.
Der damalige Stand vor dem Update
Am 20. Oktober waren die angekündigten Sicherheitsversionen noch nicht veröffentlicht. Betreiber konnten daher noch nicht einfach die fertige PHP-Korrektur installieren. Die sinnvolle Vorbereitung war, alle PHP-Installationen zu erfassen, die eingesetzten Versionen und Betriebsarten zu prüfen und ein Update für unmittelbar nach der Veröffentlichung einzuplanen.
Besonders wichtig waren öffentlich erreichbare Server. PHP läuft nicht nur auf bekannten Webservern: Es kann auch in Hosting-Paketen, Control Panels, Containern und Anwendungen stecken. Ein kurzer Blick auf die Kommandozeilen-Version reicht nicht immer aus, weil Webserver und Kommandozeile unterschiedliche PHP-Versionen verwenden können.
Was Betreiber jetzt tun sollten
- Alle betroffenen Systeme finden. Prüfen Sie Webserver, Hosting-Konten, Container und verwaltete PHP-Dienste – nicht nur einzelne Websites.
- Die passende Sicherheitsversion installieren. Nutzen Sie die offizielle PHP-Downloadseite oder den Update-Kanal Ihrer Linux-Distribution, Ihres Hosters oder Ihres Container-Anbieters. Wählen Sie die korrigierte Version für Ihren laufenden Versionszweig.
- Den tatsächlich laufenden Web-Dienst prüfen. Verifizieren Sie die PHP-Version im verwendeten Webserver beziehungsweise Hosting-System. Starten Sie PHP-FPM, Webserver, Container und weitere betroffene Instanzen nach dem Update neu.
- Nicht gepatchte Systeme vorübergehend absichern. Wenn ein unmittelbares Update nicht möglich ist, empfiehlt CISA, nicht gepatchte PHP-Systeme vorübergehend vom Internet zu nehmen. Eine Web Application Firewall kann eine zusätzliche Zwischenmaßnahme sein, ersetzt aber das Update nicht.
- Bei Verdacht untersuchen. Prüfen Sie Webserver-Protokolle auf ungewöhnliche Anfragen und Server auf unerwartete Prozesse oder Dateiänderungen. Ein Update verhindert keine Folgen eines möglichen früheren Einbruchs. Bei konkreten Auffälligkeiten sollten Sie das System isolieren und den Vorfall untersuchen lassen.
Die PHP-Sicherheitsseite weist darauf hin, dass nur ein Update beide Lücken vollständig behebt. Konfigurationsänderungen oder Filter können einzelne bekannte Angriffswege erschweren, sind aber kein gleichwertiger Ersatz.