PHP2Shell: So prüfen und patchen Sie Ihren PHP-Server
Wenn Ihre Website auf PHP läuft, betrifft Sie das. Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Korrekturen für zwei kritische Lücken, CVE-2026-109618 und CVE-2026-109619. Am selben Tag forderten das FBI, die NSA, das britische NCSC und Japans Premierministerin Organisationen auf, ihr PHP zu prüfen. Hier das Wichtigste als Schrittfolge für eine einzige Sitzung.
Die Lage in vier Zeilen
- Beide Lücken liegen im PHP-Kern und erreichen je 9,2 nach CVSS 4.0.
- Laut PHP-Sicherheitshinweis lässt sich ohne Anmeldung Code auf dem Server ausführen.
- Angriffe wurden beobachtet, bevor der Patch öffentlich war.
- Ein Update von WordPress oder Plugins hilft nicht. PHP selbst muss aktualisiert werden.
Video ansehen
Schritt 1: Finden Sie heraus, wo PHP läuft
Beginnen Sie mit allem, was aus dem Internet erreichbar ist, und nehmen Sie dann Control Panels und Produkte hinzu, die PHP mitbringen. Notieren Sie je Server die PHP-Version und ob mod_php, PHP-FPM oder etwas anderes im Einsatz ist. Laut PHP-Hinweis ist mod_php die riskanteste Konfiguration.
php -v
php-fpm -v
apachectl -M | grep -i php
ps -eo pid,ppid,user,cmd | grep -E "php-fpm|apache2|httpd" | grep -v grepSchritt 2: Mit den gepatchten Versionen vergleichen
| Zweig | Behoben in |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 (Support-Ende am 31. Dezember 2026) |
| 8.1 und älter | Keine offizielle Version. Backport beim Anbieter erfragen oder den Zweig wechseln. |
Stammt PHP aus einem Paket Ihrer Distribution, kann die Versionsnummer nach einem Backport alt bleiben. Lesen Sie das Changelog, etwa unter Debian und Ubuntu mit apt changelog php8.3-fpm | head -n 30.
Schritt 3: Updaten, neu starten, prüfen
Aktualisieren Sie Paket oder Build und starten Sie die Prozesse neu, die Webanfragen bearbeiten. Ein laufendes PHP-FPM nutzt den alten Code, bis es neu gestartet wird. Prüfen Sie danach die Version auch von der Webseite aus, nicht nur auf der Kommandozeile.
Schritt 4: Nach Missbrauchsspuren suchen
Sehen Sie die Logs ab dem 20. Oktober durch. Verdächtig ist, wenn der Webserver-Benutzer Shells, curl oder wget startet. Bei Hinweisen auf eine Kompromittierung rät das FBI, das System zu isolieren, Logs zu sichern und eine FBI-Dienststelle oder ic3.gov zu informieren.
Wenn ein Update heute nicht geht
PHP hat auf php.net vorläufige Gegenmaßnahmen veröffentlicht. Sie senken das Risiko, beseitigen es aber nicht. Die Firewall-Regeln von Cloudflare bezeichnete deren Technikchef selbst als Übergangslösung. FBI und NSA empfehlen, das System vom Netz zu nehmen, bis es vollständig abgesichert ist.
Warum das so viel Aufmerksamkeit bekam
Rund 69 % der Websites mit bekannter serverseitiger Sprache nutzen PHP, und die Lücke liegt unter jedem CMS und Framework. In Belgien nahmen ein Medienhaus, eine Universität und mehrere Krankenhäuser vorsorglich Seiten vom Netz. Unternehmen messen Patch-Fristen jetzt in Stunden, behandeln nicht mehr unterstütztes PHP als Vorfall und legen vorab einen schriftlichen Plan fest, wann eine Seite offline geht.
Wo KI ins Spiel kommt
Berichten zufolge nutzten Forschende KI-Werkzeuge, um die Lücken zu finden, und Verteidiger können dieselbe Idee nutzen. Claude Managed Agents von Anthropic unterstützt zum Beispiel die Orchestrierung mehrerer Agenten: Ein Leitagent verteilt Versionsinventur, Abhängigkeitsprüfung und Log-Durchsicht an getrennte Agenten und liefert einen gemeinsamen Bericht. Jede Änderung sollte ein Mensch freigeben. Die Verfügbarkeit von Produkten ändert sich, schauen Sie daher in die Anthropic-Dokumentation.
Häufige Fragen
Behebt ein WordPress-Update das Problem?
Nein. Die Lücke steckt in PHP selbst, also muss PHP aktualisiert werden.
Reicht Cloudflare?
Nein. Es hilft gegen bekannte Muster, ersetzt aber den Patch nicht.
Wo lerne ich mehr über PHP-Sicherheit?
Ich pflege eine Referenz mit Konzepten, Begriffen und Übungen: PHP Master Guide auf Notion.