Am 21. Oktober 2026 hat das PHP-Projekt Notfall-Patches für zwei kritische Lücken veröffentlicht, die inzwischen unter dem Namen PHP2Shell bekannt sind. Beide sind mit 9,2 von 10 Punkten (CVSS v4.0) bewertet – und das in einer Sprache, auf der ein Großteil aller Websites weltweit läuft.
Die Folgen waren sofort spürbar: Zahlreiche Betreiber schalteten ihre Websites vorsorglich ab oder versetzten sie in den Wartungsmodus. In Baden-Württemberg nahmen mehrere Universitäten und Universitätskliniken ihre Webauftritte vom Netz – als Schutzmaßnahme, nicht wegen erfolgreicher Angriffe. Das PHP-Projekt hatte bereits am Vortag ungewöhnlich deutlich vor dem außerplanmäßigen Release gewarnt.
Für uns bei DIGITALHUB.DE, mit Cyber Security als einem unserer Schwerpunkte, ist PHP2Shell ein Lehrstück. Nicht nur, weil die Lücke so gravierend ist, sondern weil sie zeigt, wie stark sich das Tempo in der IT-Sicherheit verändert hat.
PHP2Shell bezeichnet zwei Schwachstellen im Kern von PHP selbst: CVE-2026-109618 und CVE-2026-109619. Beide können unter bestimmten Voraussetzungen die Ausführung von Schadcode aus der Ferne ermöglichen – ohne dass sich ein Angreifer vorher anmelden muss. Bei der ersten Lücke geht es um fehlerhaft behandelten Speicher nach einem Out-of-Memory-Fehler, bei der zweiten um interne Zustände, die von einer früheren Anfrage im selben Worker übrigbleiben. Wie leicht sich die Lücken ausnutzen lassen, hängt unter anderem von der Serverkonfiguration ab.
Das Besondere: Der Fehler sitzt unterhalb der Anwendung. Ein aktuelles WordPress, Drupal, Magento oder sauber geschriebener eigener Code schützt nicht, solange die PHP-Laufzeitumgebung darunter nicht gepatcht ist. Laut Varonis Threat Labs wurde die Ausnutzung gegen aktuelle WordPress-, Drupal- und Joomla-Images demonstriert.
Betroffen sind PHP-Installationen, die Webanfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am stärksten gefährdet ist Apache mit mod_php: Hier wurde ein Angriff demonstriert, der greift, bevor überhaupt Anwendungscode läuft. Bei PHP-FPM ist die Ausnutzung an bestimmte Bedingungen geknüpft. Nach Angaben von Varonis reichen die betroffenen Versionen bis PHP 5.4 zurück.
Dazu kam eine Offenlegung, die nicht nach Plan lief. Dabei lohnt es sich, drei Dinge auseinanderzuhalten:
Die gute Nachricht: Es gibt einen Fix!
Die gepatchten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.1 und älter erhalten keine regulären Updates mehr. Für PHP 7.4, 8.0 und 8.1 hat das PHP-Sicherheitsteam aber minimale Quellcode-Backports bereitgestellt, und viele Linux-Distributionen und LTS-Anbieter liefern eigene Korrekturen. Achtung: Solche gepatchten Pakete behalten oft die alte Versionsnummer.
1. Inventur machen: Wo läuft überall PHP? Nicht nur die Website, sondern auch Ticketsystem, Zeiterfassung, Intranet oder das alte Kundenportal, das seit Jahren niemand mehr anfasst.
2. Sofort patchen, zuerst alle Systeme, die aus dem Internet erreichbar sind. Das Update ist laut PHP-Maintainern die einzige vollständige Lösung. Ein Sicherheitsupdate vom September schützt nicht.
3. Prüfen, ob die neue Version wirklich läuft: PHP-Worker müssen nach dem Update neu gestartet werden. Ein aktualisiertes Paket allein reicht nicht, wenn alte Prozesse weiterlaufen oder mehrere PHP-Versionen parallel installiert sind.
4. Hoster und Dienstleister fragen: Wer Shared Hosting oder Managed Plattformen nutzt, sollte sich den Patch-Stand schriftlich bestätigen lassen.
5. Altsysteme absichern oder ablösen: Wo kein Patch möglich ist, nennt das PHP-Advisory temporäre Maßnahmen für einzelne Angriffswege. Sie verringern das Risiko, ersetzen das Update aber nicht. Parallel braucht es einen Migrationsplan.
6. Auf Kompromittierung prüfen: Ein Patch schließt die Lücke, entfernt aber keinen Angreifer, der schon drin ist. Mögliche Anzeichen sind ungewöhnliche Kindprozesse von PHP-Workern, veränderte Dateien, neue Benutzerkonten oder verdächtige ausgehende Verbindungen. Da der Angriff vor dem Anwendungscode greifen kann, reichen App-Logs allein nicht; System-, Prozess- und Netzwerkdaten gehören dazu. Amazon empfiehlt, mindestens ab dem 17. Oktober zurückzuschauen.
7. Bei Verdacht professionell reagieren: Gibt es Hinweise auf eine erfolgreiche Codeausführung, sollten Zugangsdaten, Tokens und API-Keys auf dem System erneuert und Ursache, Umfang und mögliche Hintertüren von Incident-Response-Fachleuten untersucht werden.
Die Reaktionszeit wird zum entscheidenden Faktor. Bei PHP2Shell gab es den ersten beobachteten Ausnutzungsversuch vier Tage vor dem Patch, und nach der Veröffentlichung tauchten innerhalb weniger Stunden weitere Exploits auf. Amazon rät deshalb, Patch-Zeiten für internet-erreichbare Systeme in Stunden zu messen, nicht in Tagen. Hinzu kommt: Die Forscher, die die Lücken entdeckt haben, berichten laut Varonis, dass KI-Modelle ihnen die Exploit-Entwicklung erheblich verkürzt haben. Dieselben Werkzeuge stehen auch Angreifern zur Verfügung.
Wer erst in Ruhe ein Projekt aufsetzt, Angebote einholt und Budgetfreigaben abwartet, ist im Ernstfall zu spät. PHP2Shell ist deshalb nicht nur eine Frage des Patch-Managements, sondern ein Test für die operative Resilienz einer Organisation.
Gerade im Mittelstand ist das oft eine Herausforderung: kleine IT-Teams, gewachsene Systemlandschaften, wenig Kapazität für den Notfall. Genau an dieser Stelle kommen Startups ins Spiel.
Bei kritischen Sicherheitsvorfällen kommt es auf spezialisierte Fähigkeiten und schnelle Umsetzung an. Viele junge Cyber-Security-Unternehmen sind genau darauf ausgerichtet: Sie arbeiten mit kurzen Entscheidungswegen, setzen auf Automatisierung und beschäftigen sich täglich mit aktuellen Angriffsmethoden. Entscheidend sind dabei nicht Alter oder Größe eines Anbieters, sondern nachgewiesene Expertise, Verfügbarkeit und Erfahrung mit vergleichbaren Situationen.
In Situationen wie PHP2Shell können sie konkret unterstützen:
Mit dem BSI, Forschungseinrichtungen und einer aktiven Gründerszene ist die Region Bonn/Rhein-Sieg ein wichtiger Standort für Cyber Security in Deutschland. Bei DIGITALHUB.DE bringen wir diese Akteure zusammen. Mit unserem Accelerator HUBGRADE CYBER begleiten wir junge Sicherheitsunternehmen auf ihrem Weg in den Markt.
Unser Angebot: Wir vernetzen dich mit passenden Startups aus unserem Netzwerk – ob für einen gemeinsamen Proof of Concept oder eine langfristige Partnerschaft. Die Leistungen selbst erbringen die jeweiligen Partnerunternehmen; wir sorgen für den direkten Kontakt.
PHP2Shell wird nicht die letzte kritische Lücke dieser Art sein. Die Frage ist nicht, ob die nächste kommt, sondern wie schnell du dann reagieren kannst.
👉 Sprich uns an. Wir zeigen dir, welche Startups aus unserem Netzwerk dich bei deiner IT-Sicherheit unterstützen können.
