PHP2Shell: Zwei kritische Schwachstellen in PHP – jetzt aktualisieren
Veröffentlicht 21.10.2026 · Schweregrad : Kritisch · Aktualisiert 27.10.2026
Was geschieht: Am 21. Oktober 2026 behebt PHP zwei kritische Schwachstellen, CVE-2026-109618 und CVE-2026-109619, collectively known as „PHP2Shell“. Beide können auf dem Server eine Codeausführung aus der Ferne ohne Anmeldung ermöglichen. Die erste betrifft die Behandlung von Speicherknappheit, die zweite interne Daten, die eine spätere Anfrage nach der Freigabe des Speichers verwenden kann.
Wie ernst ist es: kritisch. Beispiele für Exploit-Code sind öffentlich, und CERT-FR hat Angriffsversuche beobachtet (27. Oktober 2026). Beide Schwachstellen stehen auf der amerikanischen CISA-Liste der aktiv ausgenutzten Schwachstellen.
Wer ist betroffen: alle Websites, die mit PHP laufen – darunter WordPress, Joomla, Drupal und viele Onlineshops – mit PHP 5.x, 7.x, 8.0, 8.1 oder 8.2 vor 8.2.35, 8.3 vor 8.3.36, 8.4 vor 8.4.27 und 8.5 vor 8.5.12. Für PHP 5, 7, 8.0 und 8.1 gibt es keine Sicherheitsupdates mehr.
Was Sie tun sollten: Aktualisieren Sie auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 oder eine neuere Version. Fragen Sie Ihren Anbieter, welche PHP-Version Ihre Website verwendet. Läuft sie auf einer Version, für die keine Sicherheitsupdates mehr bereitgestellt werden, muss sie auf eine gepflegte Version umgestellt werden. Es gibt vorübergehende Maßnahmen, diese machen eine Installation laut PHP jedoch nicht sicher; nur die Aktualisierung macht sie sicher.
Siehe auch CVE-2026-115560, eine neue Schwachstelle im selben Bereich, die noch nicht behoben wurde. Sie sind unsicher, ob Ihre Website betroffen ist? Schreiben Sie uns, dann sagen wir Ihnen, was getan werden sollte.