PHP2Shell: Angriffe jetzt bestätigt – ungepatchte Webserver dringend prüfen

Die als „PHP2Shell“ bekannten PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619 werden jetzt nachweislich für erfolgreiche Angriffe missbraucht. Die US-Behörde CISA hat beide Lücken in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen, und noch immer sind viele Webserver nicht aktualisiert. Wer die Notfall-Updates vom 21. Oktober noch nicht eingespielt hat, sollte das jetzt mit höchster Priorität nachholen.

Was ist passiert?

Anfang der Woche hat sich die Lage bei den PHP-Kernlücken verschärft. Zum Zeitpunkt der ersten Warnungen (22. Oktober) war eine breite, erfolgreiche Ausnutzung noch nicht belegt – es gab lediglich Angriffsversuche. Das ist jetzt anders: Mehrere Sicherheitsfirmen sowie CISA bestätigen, dass die Schwachstellen tatsächlich für Angriffe auf verwundbare Systeme genutzt werden.

Die CISA hat CVE-2026-109618 und CVE-2026-109619 am 26. Oktober 2026 in ihren Katalog der „Known Exploited Vulnerabilities“ aufgenommen und US-Bundesbehörden angewiesen, ihre Systeme bis zum 30. Oktober abzusichern. Beide Lücken erlauben eine Codeausführung aus der Ferne (Remote Code Execution) ohne gültige Zugangsdaten; die Angriffe sind technisch anspruchsvoll (hohe Komplexität), aber in der Praxis machbar. Laut Analysen von Amazon begannen die ersten Angriffsversuche bereits rund vier Tage vor Verfügbarkeit der Patches.

Behoben sind die Lücken seit dem 21. Oktober 2026 in den PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für Versionszweige, die das Ende ihres Lebenszyklus (End of Life) erreicht haben, gibt es keinen offiziellen Patch. Problematisch ist laut heise vor allem, dass weiterhin zahlreiche Instanzen ungepatcht aus dem Internet erreichbar sind.

Wer ist betroffen?

Betroffen ist PHP selbst – also das Fundament, auf dem ein Großteil der Websites läuft. Für KMU bedeutet das konkret:

• Eigene Websites und Onlineshops auf Basis von WordPress, TYPO3, Joomla, Drupal oder Shopware.
• Selbst gehostete Anwendungen wie Nextcloud oder individuelle PHP-Eigenentwicklungen.
• Jeder eigene Webserver (z. B. per Apache oder nginx mit PHP-FPM), der direkt aus dem Internet erreichbar ist.

Nicht unmittelbar durch diese Lücke betroffen sind reine Managed-Hosting-Pakete, bei denen der Anbieter die PHP-Version zentral aktualisiert – hier sollten Sie aber beim Anbieter nachhalten, ob die gepatchten Versionen bereits ausgerollt wurden.

Was jetzt zu tun ist

1. PHP-Version prüfen: Ermitteln Sie auf jedem Server die laufende PHP-Version (z. B. mit php -v). Alles unterhalb von 8.5.12, 8.4.27, 8.3.36 bzw. 8.2.35 im jeweiligen Zweig ist verwundbar.
2. Sofort patchen: Spielen Sie die gepatchten PHP-Versionen ein. Nutzen Sie eine End-of-Life-Version ohne Patch, planen Sie zeitnah ein Upgrade auf einen unterstützten Zweig.
3. Managed Hosting klären: Fragen Sie Ihren Hosting-Anbieter schriftlich, ob die PHP2Shell-Patches bereits aktiv sind.
4. Auf Kompromittierung prüfen: Da Angriffe bestätigt sind, reicht Patchen allein nicht. Prüfen Sie Webserver-Logs, neu angelegte oder veränderte Dateien (Webshells) und auffällige ausgehende Verbindungen.
5. Angriffsfläche reduzieren: Stellen Sie sicher, dass nur die nötigen Dienste aus dem Internet erreichbar sind, und aktualisieren Sie flankierend CMS, Plugins und Server-Komponenten.

So hilft Binary System Services

Wir ermitteln im Rahmen einer kurzen Bestandsaufnahme, welche Ihrer Systeme eine verwundbare PHP-Version einsetzen, spielen die Patches kontrolliert ein und prüfen gezielt, ob bereits ein Angriff stattgefunden hat. Über laufendes Monitoring und Patch-Management stellen wir sicher, dass solche Notfall-Updates künftig nicht liegen bleiben. Bei Verdacht auf eine Kompromittierung unterstützen wir bei der Analyse und Bereinigung. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.