PHP2Shell (CVE-2026-109618, CVE-2026-109619): Welche Patches jetzt nötig sind und wie Sie alte PHP-Versionen aktualisieren

Am 20. Oktober 2026 warnte das PHP-Sicherheitsteam vor zwei kritischen Lücken mit jeweils 9,2 von 10 Punkten auf der CVSS-v4.0-Skala. Am 21. Oktober wurden Notfall-Patches für CVE-2026-109618 und CVE-2026-109619 veröffentlicht, zusammen als PHP2Shell bekannt.

Diese PHP-Sicherheitslücken ermöglichen es Angreifern, ohne Anmeldung Code aus der Ferne auf Servern auszuführen, die PHP-Webanfragen verarbeiten.

Ein erfolgreicher Angriff könnte sensible Firmendaten offenlegen, Server kompromittieren und Webanwendungen stören. Unternehmen mit PHP-basierten Systemen sollten ihre installierten Versionen prüfen und verfügbare Sicherheitsupdates umgehend einspielen. 

Jetzt handeln

1. PHP 8.2–8.5 im Einsatz? Aktualisieren Sie sofort auf die sichere Version Ihrer PHP-Reihe: 8.2.35, 8.3.36, 8.4.27 oder 8.5.12.
2. PHP 5.x–8.1 im Einsatz? Diese Versionen erhalten keine offiziellen Updates mehr. Schränken Sie den Zugriff ein, prüfen Sie Patches der Anbieter und planen Sie die Migration auf PHP 8.4 oder 8.3. PHP 8.2 ist keine langfristige Lösung, da der Support am 31. Dezember 2026 endet.
3. Können Sie den Patch heute nicht installieren? Beschränken Sie den Zugriff aus dem Internet und setzen Sie vorübergehend Schutzmaßnahmen wie WAF-Regeln ein. Diese Maßnahmen ersetzen jedoch nicht die Installation von Patches.

Aktueller Stand. Es wurden bereits Angriffe gemeldet. Amazon Threat Intelligence erkannte am 17. Oktober 2026 einen Angriffsversuch – vier Tage vor der Freigabe der Patches.

Auch Cloudflare beobachtete Angriffe, darunter Versuche, den WAF-Schutz zu umgehen. Das britische National Cyber Security Centre rät Unternehmen, betroffene Systeme bei Bedarf offline zu nehmen, wenn Patches oder andere Schutzmaßnahmen nicht zeitnah möglich sind.

Prüfen Sie vorrangig PHP-Systeme mit direktem Internetzugang und untersuchen Sie verdächtige Aktivitäten seit dem 17. Oktober.

Was ist PHP2Shell und warum ist es gefährlich?

PHP2Shell bezeichnet zwei kritische PHP-Sicherheitslücken, die eine Ausführung von Code aus der Ferne (Remote Code Execution, RCE) ermöglichen: CVE-2026-109618 und CVE-2026-109619. Beide betreffen die Speicherverwaltung von PHP bei der Verarbeitung von Webanfragen.

CVE-2026-109618 kann Speicherfehler verursachen, wenn PHP bei der Verarbeitung und Bereinigung einer Anfrage der Arbeitsspeicher ausgeht. CVE-2026-109619 tritt auf, wenn ein PHP-Worker einen veralteten internen Zustand aus einer früheren Anfrage erneut verwendet.

Laut der PHP-Sicherheitswarnung vom 21. Oktober können Angreifer diese Lücken nutzen, um ohne Anmeldung Code auf betroffenen Servern auszuführen. In bestimmten Fällen ist ein Angriff möglich, bevor der eigene Code der App ausgeführt wird. Dadurch können Angreifer die Sicherheitsprüfungen der App umgehen.

Dadurch sind Websites, E-Commerce-Plattformen und andere PHP-Systeme gefährdet, selbst wenn ihr Code sicher entwickelt wurde. Da beide Lücken direkt in der PHP-Laufzeitumgebung liegen, reicht eine Prüfung des App-Codes allein nicht aus. Ein Update auf eine PHP-Version mit den nötigen Sicherheits-Patches ist erforderlich.

PHP-Sicherheitsupdate: Welche Versionen sind betroffen und für welche gibt es Patches?

Laut Sansec betrifft PHP2Shell alle PHP-Versionen ab 5.4, auch ältere Versionen ohne Support. Laut der offiziellen PHP-Warnung wurden am 21. Oktober 2026 Patches für PHP 8.2, 8.3, 8.4 und 8.5 veröffentlicht.

Die folgende Tabelle zeigt die Versionen mit Patches und das jeweilige Ende des Supports gemäß dem offiziellen PHP-Supportplan.

PHP2Shell: Versionen mit Patches und offizielle Fristen für Sicherheitsupdates

Unternehmen mit Debian, Ubuntu, RHEL oder Managed Hosting sollten prüfen, ob ihre Anbieter rückportierte Patches bereitstellen. Da die alte PHP-Versionsnummer dabei erhalten bleiben kann, sind Release Notes und Sicherheitshinweise oft aussagekräftiger.

Der Support für PHP 8.2 endet am 31. Dezember 2026, nur zwei Monate nach Bekanntwerden von PHP2Shell. Ein Update auf PHP 8.2.35 ist nötig, um die Lücken zu schließen. Für die Migration von älteren Versionen empfiehlt sich PHP 8.4 mit Support bis Ende 2028 oder PHP 8.3 mit Support bis Ende 2027.

So reagieren Sie auf PHP2Shell innerhalb der ersten 24 Stunden

Unternehmen sollten betroffene PHP-Versionen schnell erkennen, Sicherheitsupdates installieren und das Risiko von Angriffen senken. Die folgenden Schritte helfen IT-Teams, die wichtigsten Maßnahmen zuerst umzusetzen.

1. Alle PHP-Installationen identifizieren 

Prüfen Sie Produktiv- und Testserver, interne Apps, Docker-Container, CMS-Plattformen und Software von Drittanbietern. Mit php -v prüfen Sie die PHP-Version der Kommandozeile. Beachten Sie jedoch, dass Websites eine andere PHP-Version nutzen können.

2. Öffentlich erreichbare Systeme zuerst prüfen

Beginnen Sie mit Websites, Kundenportalen und anderen Apps mit Internetzugang. Prüfen Sie danach interne Systeme anhand ihrer Bedeutung und möglicher Risiken.

3. PHP-Patch installieren

Aktualisieren Sie PHP auf eine sichere Version oder installieren Sie einen geprüften Patch des Anbieters. Prüfen Sie PHP-FPM, Webserver-Module und Docker-Images. Ein Update des Hostservers aktualisiert PHP in Containern nicht automatisch.

4. Zugriff bei verzögerten Patches einschränken

Nutzen Sie VPN, IP-Freigabelisten oder WAF-Schutz. Schränken Sie unnötige Datei-Uploads ein oder nehmen Sie betroffene Dienste bei Bedarf offline. Diese Maßnahmen senken nur das Risiko und ersetzen keine Patches.

5. Verlassen Sie sich nicht auf Änderungen an der PHP-Konfiguration

Die offizielle PHP-Sicherheitswarnung empfiehlt vorübergehende Maßnahmen wie session.upload_progress.enabled=0, memory_limit=-1 und für PHP 8.5 fatal_error_backtraces=0.

Wird das PHP-Speicherlimit deaktiviert, muss der Speicher auf Serverebene begrenzt werden. Änderungen an Session- und Backtrace-Einstellungen erfordern einen Neustart der PHP-Worker. Diese Maßnahmen senken nur bestimmte Risiken. Einen wirksamen Schutz vor diesen Lücken bieten die verfügbaren Sicherheits-Patches.

6. Auf Anzeichen eines Angriffs prüfen

Suchen Sie nach auffälligen PHP-Prozessen, unbekannten Dateien, Webshells, neuen geplanten Aufgaben, fremden Admin-Konten und verdächtigen Einträgen in Server-Logs. Sichern Sie die Logs für weitere Analysen.

Laut Sansec kann eine der Lücken auch Daten aus dem Serverspeicher offenlegen. Erwägen Sie daher, nach dem Patch Passwörter, Session-Tokens und API-Schlüssel auf öffentlich erreichbaren Servern zu erneuern.

7. Keine unbekannten Exploit-Skripte ausführen

Führen Sie keine unbekannten öffentlichen Proof-of-Concept-Tools auf produktiven Servern aus. Prüfen Sie den Patch-Status stattdessen anhand offizieller Hinweise und vertrauenswürdiger Quellen.

Testen Sie nach dem Patch wichtige App-Funktionen, darunter Anmeldung, Zahlungen, Integrationen und die Verarbeitung von Daten. Überwachen Sie Fehler und die Aktivität der Server, um einen stabilen Betrieb sicherzustellen. 

Noch PHP 5.x–8.1 im Einsatz? Warum ist der Schutz schwieriger?

Für Unternehmen mit älteren PHP-Apps ist PHP2Shell oft nicht durch ein einfaches Update zu beheben. Die Apps nutzen häufig veraltete Software, die mit neuen PHP-Versionen nicht kompatibel ist. Eine Migration kann daher Fehler verursachen und den Betrieb stören. Vier typische Probleme erschweren den Schutz alter PHP-Apps:

1. PHP-Versionen ohne Support. PHP 5.x bis 8.1 erhalten keine offiziellen Releases mehr. Das PHP-Team stellte minimale Patches für den Quellcode von 7.4, 8.0 und 8.1 bereit. Einige Linux-Anbieter und kommerzielle Dienste bieten zudem Pakete mit Patches an. Diese Maßnahmen sind nur vorübergehend. Unternehmen sollten den Zugriff begrenzen und die Migration auf eine unterstützte PHP-Version planen.
2. Veraltete Frameworks und Bibliotheken. Ältere Versionen von Frameworks, CMS-Plattformen und externen Composer-Paketen unterstützen moderne PHP-Versionen oft nicht. Diese Abhängigkeiten müssen meist zusammen mit PHP aktualisiert werden.
3. Geschäftskritische Integrationen. Ältere Apps sind oft mit Zahlungsdiensten, CRM- und ERP-Systemen, Datenbanken und externen APIs verbunden. Ein PHP-Update kann diese Verbindungen beeinträchtigen und den laufenden Betrieb stören.
4. Begrenzte Testabdeckung. Älteren Systemen fehlen oft automatische Tests. Dadurch lassen sich Probleme mit der Kompatibilität vor einem Update nur schwer erkennen.

Diese Probleme machen die PHP-Migration zu einer eigenen Aufgabe, die mehr Planung als ein Notfall-Patch erfordert. Unternehmen sollten zuerst akute Risiken senken und dann prüfen, welche Änderungen für den Umstieg auf eine unterstützte PHP-Version nötig sind. 

So aktualisieren Sie PHP, ohne die Funktion Ihrer Anwendung zu beeinträchtigen

Die Migration einer älteren PHP-App erfordert sorgfältige Planung, besonders bei wichtigen Geschäftsprozessen. Ein klarer Ablauf hilft, Probleme mit der Kompatibilität früh zu erkennen, Ausfallzeiten zu senken und den Betrieb nach dem Update zu sichern.

Code und Abhängigkeiten prüfen

Prüfen Sie zunächst Code, Frameworks, Bibliotheken und PHP-Erweiterungen. Tools wie PHPCompatibility und PHPStan helfen, mögliche Probleme mit neuen PHP-Versionen zu erkennen. Mit composer outdated finden Sie Pakete, die Updates benötigen.

Prüfen Sie, ob Ihre Versionen von Laravel, Symfony, WordPress oder Magento mit der geplanten PHP-Version kompatibel sind. Erfassen Sie alle Komponenten, die manuell angepasst werden müssen.

Code automatisch anpassen

Rector kann bestimmte Änderungen am PHP-Code automatisieren, etwa veraltete Syntax anpassen und nicht mehr empfohlene Funktionen ersetzen. Das spart besonders bei großen Projekten Zeit.

Automatische Tools lösen jedoch nicht alle Probleme. Entwickler sollten die Änderungen prüfen, Unterschiede im PHP-Verhalten beachten und Code, der alte Bibliotheken oder eigene App-Logik nutzt manuell anpassen.

PHP-Update schrittweise planen

Wählen Sie möglichst PHP 8.4 oder PHP 8.3, wenn der Umstieg auf 8.4 noch nicht möglich ist. Große ältere Apps benötigen oft mehrere Schritte, bevor sie mit einer unterstützten Version laufen.

Testen Sie die Kompatibilität in einer getrennten Testumgebung und vermeiden Sie PHP-Versionen ohne Support im Produktivbetrieb. PHP 8.2 kann als Zwischenschritt dienen, muss aber auf Version 8.2.35 oder eine neuere Version derselben Reihe aktualisiert werden.

App vor dem Deployment testen 

Nutzen Sie Unit-, Integrations- und Regressionstests, um Fehler nach dem Update zu erkennen. Prüfen Sie besonders Anmeldeprozesse, Zahlungen, Datenbankzugriffe und externe Integrationen. Bei hoher Last sind auch Leistungstests wichtig.

Erstellen Sie vor dem Deployment Backups und einen Plan für die Rückkehr zur alten Version. So kann das Team den Betrieb bei schweren Fehlern schnell wiederherstellen.

Deployment mit minimalen Ausfallzeiten 

Nutzen Sie Blue-Green- oder Canary-Deployments, sofern die Architektur dies erlaubt. Leiten Sie den Datenverkehr schrittweise auf die neue Umgebung und überwachen Sie Fehler, Serverleistung und Logs.

Prüfen Sie nach dem Deployment alle wichtigen Funktionen. Halten Sie die alte Umgebung für einen möglichen Rollback bereit, bis die aktualisierte App stabil läuft.

Wie können Unternehmen künftige Sicherheitsvorfälle bei PHP vermeiden?

PHP2Shell zeigt, wie wichtig die regelmäßige Wartung von PHP-Apps für die Sicherheit ist. Unternehmen können künftige Risiken senken, indem sie ihre Software aktuell halten und sich frühzeitig auf mögliche Sicherheitslücken vorbereiten.

Dabei helfen fünf Maßnahmen:

1. PHP-Versionen erfassen. Dokumentieren Sie alle PHP-Versionen auf Servern, in Apps und Docker-Containern. Halten Sie die Liste bei Änderungen an Software oder Infrastruktur aktuell.
2. Updates vor dem Supportende planen. Prüfen Sie regelmäßig den offiziellen PHP-Supportplan. Aktualisieren Sie Frameworks, Bibliotheken und andere Komponenten rechtzeitig. 
3. Sicherheitsprüfungen automatisieren. Integrieren Sie die Prüfung von Abhängigkeiten und Docker-Images in CI/CD-Pipelines. Verfolgen Sie aktuelle Warnungen zu Sicherheitslücken.
4. Regelmäßige Wartung einplanen. Reservieren Sie Zeit für Sicherheitsupdates, Tests der Kompatibilität und die Prüfung alter Komponenten. So verhindern Sie, dass sich technische Schulden weiter anhäufen.
5. Notfallplan erstellen. Legen Sie Zuständigkeiten und Abläufe für Patches und die Prüfung möglicher Angriffe fest. Planen Sie auch Tests und die Wiederherstellung von Diensten bei Problemen.

Wer die PHP-Supportfristen und aktuelle Sicherheitswarnungen im Blick behält, kann Updates frühzeitig planen, bevor kritische Lücken die eigenen Apps gefährden.

Wie SCAND PHP-Anwendungen absichert und modernisiert

SCAND verfügt über mehr als 25 Jahre Erfahrung in der Softwareentwicklung, ein Team von über 250 IT-Fachkräften und mehr als 900 abgeschlossene Projekte. Unsere Prozesse sind nach ISO 9001 und ISO 27001 zertifiziert. Wir bieten PHP-Entwicklung mit Laravel und weiteren Webtechnologien an.

Zu unseren Projekten zählen ein System zur automatischen Erstellung von Verträgen und eine Plattform zur Verwaltung medizinischer Kurierdienste. Beide Projekte zeigen unsere Erfahrung mit komplexen Business-Apps, die zahlreiche Komponenten und Integrationen nutzen. Wenn Sie von PHP2Shell betroffen sind oder eine veraltete PHP-App betreiben, können wir Sie in drei Bereichen unterstützen:

• Notfall-Patches und Prüfung der Risiken: Unsere DevOps-Ingenieure erfassen alle PHP-Installationen, auch in Containern und externer Software. Wir installieren Patches, richten vorübergehend WAF-Schutz ein und prüfen die Systeme auf Anzeichen eines Angriffs.
• PHP-Migration: Wir prüfen die Kompatibilität, aktualisieren Abhängigkeiten und migrieren Ihre App auf PHP 8.3 oder 8.4. Dies erfolgt im Rahmen der Modernisierung alter Systeme, einschließlich umfassender Softwaretests vor der Umstellung.
• Laufender Support: Wir verfolgen Sicherheitswarnungen zu PHP und Frameworks, installieren Updates und planen Versionswechsel rechtzeitig vor dem Supportende.

Häufig gestellte Fragen (FAQs)