Zur Startseite gehen
Inhaltsverzeichnis

PHP2Shell: Kritische Sicherheitslücken in PHP und Maßnahmen für Betreiber

Zwei kritische Schwachstellen, nahezu alle PHP-Versionen betroffen, Ausnutzung ohne Login möglich. Das BSI warnt mit Warnstufe 3 / Orange und hält eine großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Patches für wahrscheinlich. Erste Angriffsversuche werden bereits beobachtet. In diesem Beitrag erfahren Sie, was hinter „PHP2Shell“ steckt, welche Systeme betroffen sind und welche Lösungen elio auch für ältere PHP-Versionen bietet.

Veröffentlicht: 22.10.2026 Lesezeit: ~10min
php-sicherheitsupdate-blog

Was ist passiert?

Am 20. Oktober 2026 hat das PHP-Projekt ein kritisches Sicherheitsupdate angekündigt, am Nachmittag des 21. Oktober folgten die Patches. Details zu den Lücken waren bereits vor der koordinierten Veröffentlichung im Netz aufgetaucht. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine Cybersicherheitswarnung herausgegeben, auch CERT-EU, das IT-Notfallteam der EU-Institutionen, warnt eindringlich.

Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619. Beide erreichen einen CVSS-Score von 9,2 von 10. In der Fachpresse werden sie als „PHP2Shell“ bezeichnet, in Anlehnung an die berüchtigte Log4Shell-Lücke von 2021.

Betroffenes Produkt

PHP

Betroffene Versionen

alle Versionen vor 8.5.12, 8.4.27, 8.3.36 und 8.2.35; laut Sicherheitsforschern betroffen bis zurück zu PHP 5.4

Schweregrad

CVSS 9,2 von 10 (kritisch), BSI-Warnstufe 3 / Orange

Gepatchte Versionen

PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35

Folge

Ausführung von Schadcode aus der Ferne (Remote Code Execution) ohne Anmeldung

Warum die Lücken so gefährlich sind

Angreifer können über die Schwachstellen aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen. Dafür benötigen sie weder Zugangsdaten noch eine Interaktion von Nutzern.

Technisch betreffen die Lücken die interne Speicherverwaltung von PHP:

  • CVE-2026-109618: Gerät PHP während einer Anfrage in eine Out-of-Memory-Situation, kann die anschließende Bereinigung teilweise initialisierte Daten als gültig behandeln.

  • CVE-2026-109619: Anfragebezogene Zustände können überleben, obwohl ihr Speicher bereits freigegeben ist. Eine spätere Anfrage im selben Worker greift dann auf diese veralteten Daten zu.

Für Apache mit mod_php hat das PHP-Projekt einen Angriff bestätigt, der ohne Anmeldung funktioniert und greift, bevor überhaupt Anwendungscode ausgeführt wird. Auch eine sorgfältig entwickelte Anwendung kann den Angriff deshalb nicht abfangen.

Das BSI rechnet mit einer schnellen Ausnutzung. BSI-Vizepräsident Thomas Caspers hält eine großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich. Der Grund: Mit KI-gestützten Werkzeugen lassen sich Patches heute sehr schnell analysieren und in funktionierende Exploits übersetzen.

Diese Einschätzung bestätigt sich bereits. Das Sicherheitsunternehmen watchTowr beobachtet seit dem 21. Oktober aktive Angriffsversuche auf beide Lücken. Amazon Threat Intelligence meldet erste Angriffsversuche auf eigene Honeypots sogar schon für den 17. Oktober, also vier Tage vor der Veröffentlichung. Laut CERT-EU kursieren zudem erste Proof-of-Concept-Exploits. Wie viele Systeme bereits erfolgreich kompromittiert wurden, ist derzeit noch unklar.

Wer ist betroffen?

Kurz gesagt: nahezu jeder, der PHP im Web einsetzt. PHP ist einer der zentralen Bausteine des Internets. Darauf basieren unter anderem Shopware, Magento, WordPress, TYPO3, Drupal, Joomla und Nextcloud, aber auch zahlreiche proprietäre Produkte und Firewall-Systeme wie pfSense oder OPNsense.

Betroffen sind alle PHP-Installationen, die Webanfragen verarbeiten, etwa über PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed. Laut PHP-Projekt ist das Risiko bei mod_php am höchsten.

Besonders kritisch ist die Lage für Systeme mit veralteten PHP-Versionen. Alle Versionen vor PHP 8.2 haben ihr End-of-Life bereits erreicht und erhalten keine regulären Sicherheitsupdates mehr. Für PHP 7.4, 8.0 und 8.1 stellt das PHP-Sicherheitsteam lediglich minimale Korrekturen im Quellcode bereit, aber keine fertigen Releases. Für noch ältere Versionen gibt es gar keine Korrekturen. PHP 8.2 wird nur noch bis zum 31. Dezember 2026 unterstützt.

Was jetzt zu tun ist

Der einzig vollständige Schutz ist das Update auf eine gepatchte PHP-Version. Wir empfehlen Betreibern von PHP-Anwendungen deshalb folgende Schritte:

1. Patchstatus prüfen
Prüfen Sie Ihre installierte Version, zum Beispiel mit php -v. Beachten Sie dabei, dass die Version auf der Kommandozeile nicht zwingend der Version entspricht, mit der Ihr Webserver arbeitet (etwa über PHP-FPM). Wird PHP über die Paketverwaltung der Linux-Distribution aktualisiert, gleichen Sie die Version mit den Advisories von Ubuntu, Debian oder Red Hat ab. Distributionen liefern häufig eigene Backports mit abweichender Versionsnummer aus.
2. Updates sofort einspielen
Spielen Sie die Patches umgehend ein und starten Sie anschließend alle PHP-Worker neu. Container-Images, die PHP enthalten, müssen neu gebaut und ausgerollt werden.
3. Workarounds nur als Überbrückung nutzen
Das PHP-Projekt nennt Konfigurationsänderungen, die eine Ausnutzung erschweren, etwa das Deaktivieren von session.upload_progress.enabled oder strengere Limits für Request- und Upload-Größen. Diese Maßnahmen machen ein System jedoch nicht sicher. Sie verschaffen lediglich Zeit bis zum Update.
4. Systeme beobachten
Behalten Sie exponierte Webserver verstärkt im Blick. Warnzeichen können ungewöhnliche Multipart-Anfragen mit anschließenden Speicherfehlern, gehäufte HTTP-500-Antworten, auffällig große Session-Cookies oder unerklärliche Neustarts von PHP-Workern sein. Sichern Sie Logdateien und prüfen Sie Ihre Systeme auf unbekannte Skripte (Webshells) und neu angelegte Benutzerkonten. Lässt sich ein Patch nicht kurzfristig einspielen, raten BSI und CERT-EU dazu, eine vorübergehende Trennung des Servers vom Internet zu erwägen.
5. Migration planen
Langfristig führt kein Weg an einer unterstützten PHP-Version vorbei. Wer noch auf PHP 8.2 oder älter setzt, sollte die Migration jetzt einplanen.

Ältere PHP-Versionen: elio hat Lösungen für Sie parat

Nicht jedes System lässt sich kurzfristig auf eine aktuelle PHP-Version heben. Gewachsene Shops, Individualentwicklungen oder Schnittstellen zu ERP- und PIM-Systemen hängen oft an einer bestimmten Version. Eine Migration braucht dann Zeit, und genau diese Zeit gewähren Angreifer nicht.

Für PHP-Versionen älter als 8.2 haben wir ebenfalls Lösungen für Sie parat. Welcher Weg der richtige ist, hängt unter anderem von Ihrer Anwendung und Ihrem Hosting ab. Das klären wir gemeinsam mit Ihnen im persönlichen Gespräch.

So bleibt Ihr bestehendes System geschützt, während Sie die Migration auf eine aktuelle PHP-Version in Ruhe planen.

Wichtig: Die Absicherung älterer PHP-Versionen ist ein individueller Aufwand und setzt ein entsprechendes Budget voraus. Wir besprechen gern mit Ihnen, welcher Weg für Ihr System wirtschaftlich sinnvoll ist: Absicherung der bestehenden Version, Migration oder beides in Kombination.

Zusätzlicher Schutz durch eine Web Application Firewall

Eine Web Application Firewall (WAF) prüft eingehende Anfragen, bevor sie die Anwendung erreichen, und kann Angriffsmuster gezielt blockieren, sofern passende Erkennungsregeln für die Schwachstellen vorliegen. Sie ersetzt das Update nicht, bildet aber eine wertvolle zusätzliche Schutzschicht.

elio setzt auf Wunsch eine WAF vor Ihre Anwendung. Das ist besonders in Situationen wie dieser hilfreich:

  • Schutz in der kritischen Phase zwischen Bekanntwerden einer Lücke und dem Einspielen des Patches

  • zusätzliche Absicherung von Systemen mit älteren PHP-Versionen

  • Abwehr weiterer Angriffe wie SQL-Injection, Cross-Site-Scripting oder automatisierter Bot-Zugriffe

Auch hier gilt: Umfang und Konfiguration der WAF richten sich nach Ihren Anforderungen und Ihrem Budget.

Fazit: Jetzt handeln, auch bei älteren Systemen

Die PHP2Shell-Lücken zählen zu den kritischsten Schwachstellen der letzten Jahre. Sie betreffen nahezu jede PHP-Installation und lassen sich ohne Anmeldung aus der Ferne ausnutzen. Erste Angriffsversuche laufen bereits. Betreiber sollten die Patches sofort einspielen und ihre Systeme genau beobachten.

Wer auf ältere PHP-Versionen angewiesen ist, steht nicht schutzlos da. elio hat auch für gewachsene Systeme Lösungen parat, auf Wunsch ergänzt um eine vorgeschaltete WAF, und schafft so den Freiraum für eine geordnete Migration.

Sie möchten Ihre PHP-Systeme absichern?

Ob Patch-Check, Absicherung älterer PHP-Versionen, Web Application Firewall oder Migration auf eine aktuelle PHP-Version: Wir prüfen Ihre Systeme und zeigen Ihnen, welcher Weg zu Ihren Anforderungen und Ihrem Budget passt.

Jetzt Kontakt mit elio aufnehmen 

Quellen

Produktgalerie überspringen
php-sicherheitsupdate-blog
22.10.2026
Jochen Kernwein
PHP2Shell: Kritische Sicherheitslücken in PHP und Maßnahmen für Betreiber
Zwei kritische Schwachstellen, nahezu alle PHP-Versionen betroffen, Ausnutzung ohne Login möglich. Das BSI warnt mit Warnstufe 3 / Orange und hält eine großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Patches für wahrscheinlich. Erste Angriffsversuche werden bereits beobachtet. In diesem Beitrag erfahren Sie, was hinter „PHP2Shell“ steckt, welche Systeme betroffen sind und welche Lösungen elio auch für ältere PHP-Versionen bietet.
euroshop-noxum-elio-851x496
21.10.2026
Stefanie Rump
Erfolgsprojekt EuroShop: Wie elio und Noxum B2B- und B2C-Commerce mit NovaDB und Shopware 6 verbinden
Ein Sortiment, zwei Geschäftsmodelle und eine gemeinsame technische Basis: Das EuroShop-Projekt zeigt, wie Noxum und elio Produktdatenmanagement und Commerce miteinander verbinden. Mit NovaDB PIM und DAM sowie Shopware 6 entsteht eine Architektur, die unterschiedliche Anforderungen im B2B- und B2C-Commerce auf einer gemeinsamen Grundlage unterstützt. Wo mehrere Systeme miteinander verbunden werden müssen, ergänzt synQup als Integrationsplattform das Technologieportfolio von elio.
ki-einkaufsassistent mit Sneaker-Interface
14.10.2026
Felix Kolb
Ist Ihr Shop bereit für KI-Agenten? So optimieren Sie Ihre Produktdaten für den autonomen Einkauf
Immer häufiger übernehmen KI-Agenten im E-Commerce die Produktsuche, manchmal sogar gleich den Kauf. Ob Ihre Produkte dabei ausgewählt werden, entscheiden Ihre Produktdaten. In fünf Schritten zeigen wir Ihnen, wie Sie Ihren Shop fit für den autonomen Einkauf machen, inklusive Checkliste zum Abhaken.
blog-sicherheitsupdates
18.09.2026
Volker Riedel
Shopware Sicherheitsupdates: Warum regelmäßige Updates für Onlineshops unverzichtbar sind
Viele Shopbetreiber beschäftigen sich mit neuen Funktionen, Sortimenten oder Marketingmaßnahmen. Das Thema Sicherheit wird dagegen oft erst dann sichtbar, wenn ein Problem auftritt. Dabei gehören Sicherheitsupdates zu den wichtigsten Wartungsmaßnahmen für jeden Onlineshop.Gerade bei Shopware werden regelmäßig Sicherheitsupdates veröffentlicht, um neu entdeckte Schwachstellen zu schließen und Shops vor aktuellen Bedrohungen zu schützen. Wer diese Updates ignoriert oder aufschiebt, setzt nicht nur seinen Shop, sondern auch Kundendaten, Umsätze und Unternehmensprozesse unnötigen Risiken aus.
Veranstaltung mit Datum, Ort und Themen sowie den Logos von elio und B2B days
10.09.2026
Stefanie Rump
B2B Communication Days 2026: Die wichtigsten Trends, Top-Speaker und warum sich ein Besuch lohnt
Wie schaffen es Unternehmen, komplexe Produkte verständlich zu vermarkten, digitale Kanäle erfolgreich einzusetzen und gleichzeitig authentische Markenerlebnisse zu schaffen? Mit genau diesen Fragestellungen beschäftigen sich die B2B Communication Days 2026, die am 7. und 8. Oktober in Würzburg stattfinden.
Verpackungen neben Laptop Darstellung des verpackungskreislaufes in Europa
04.09.2026
Stefanie Rump
PPWR 2026 verstehen: Was Onlinehändler jetzt wissen und umsetzen müssen
Seit dem 12. August 2026 gelten mit der europäischen Verpackungsverordnung (PPWR) und dem Verpackungsrecht-Durchführungsgesetz (VerpackDG) neue Regelungen für Verpackungen in der Europäischen Union. Für Onlinehändler, Markenhersteller und Unternehmen mit Eigenmarken bedeutet das vor allem eines: Die Anforderungen an Dokumentation, Nachweise und Verantwortlichkeiten nehmen zu.
Kooperation elio ewers ud beachies im Kreislaug mit Icos Bunte Socken aug Laptop und Mobilgerät
03.09.2026
Stefanie Rump
Mehr Sichtbarkeit, mehr Vertrieb: Wie elio den Verkaufskanal von BEACHIES® realisierte
Neue Marken erfolgreich am Markt zu etablieren, erfordert heute mehr als gute Produkte. Wer die digitale Sichtbarkeit steigern und nachhaltiges Wachstum fördern möchte, benötigt eine durchdachte E-Commerce-Strategie, eine leistungsfähige technologische Basis und ein überzeugendes Markenerlebnis. Genau dabei unterstützte elio den Strumpfwarenhersteller Ewers bei der Weiterentwicklung der Marke BEACHIES®. Gemeinsam mit Ewers entstand auf Basis von Shopware ein eigenständiger digitaler Verkaufskanal, der die Marke klar positioniert, die Nutzererfahrung verbessert und die Grundlage für weiteres Wachstum schafft.
Logos im Kreis angeordnet, Teetassen und Teeverpackungen vor Laptop platziert
11.08.2026
Volker Riedel
TeeGschwendner ist live – Relaunch ohne technische Altlasten mit Shopware 6.7
Am 14. Juli 2026 ist der neue Onlineshop von TeeGschwendner erfolgreich live gegangen. Statt eines riskanten Updates auf der bestehenden Basis hat elio den Shop komplett neu auf Shopware 6.7 aufgesetzt – für eine saubere, update-sichere Architektur ohne Altlasten. Das Ergebnis ist eine zukunftsfähige Plattform, die Payback, KI-Teeberater und die Verknüpfung der Fachgeschäfte vereint und die Basis für den geplanten B2B-Ausbau schafft.
ki-kennzeichnungspflicht-beitragsbild
04.08.2026
Jochen Kernwein
Kennzeichnungspflichten durch die Europäischen KI-Verordnung (EU AI Act)
KI-Kennzeichnung – Die Transparenzpflicht Seit dem 2. August 2026 gilt Artikel 50 des EU AI Act: Wer Chatbots, KI-generierte Bilder oder Voicebots auf seiner Website einsetzt, muss das jetzt klar kennzeichnen. Was lange guter Stil war, ist damit Pflicht – und bei Verstößen drohen empfindliche Bußgelder. Wir zeigen Ihnen praxisnah, worauf es ankommt, wo Ausnahmen gelten und wie Sie Ihre Website mit überschaubarem Aufwand rechtssicher aufstellen. Denn Transparenz senkt nicht nur das Risiko, sondern stärkt auch das Vertrauen Ihrer Kundschaft.
Website Hosting
Jochen Kernwein

CSO