Kritische PHP-Sicherheitslücke „PHP2Shell“

Am 21. Oktober 2026 wurde die IT- und Web-Welt von einer der gravierendsten Sicherheitsmeldungen des Jahres überrascht: Das offizielle PHP-Projekt gab zwei kritische Schwachstellen im Kern der Skriptsprache PHP bekannt, die in Sicherheitskreisen unter der Bezeichnung „PHP2Shell“ (u. a. CVE-2026-109618 und CVE-2026-109619) geführt werden.

Da PHP das technologische Fundament von fast 80 % aller dynamischen Websites und Content-Management-Systeme wie WordPress, Joomla, Drupal oder Shopware darstellt, waren Installationen weltweit und hosterunabhängig betroffen.

In diesem Artikel beleuchten wir die genauen Hintergründe, erklären das Zusammenspiel der Schutzmaßnahmen und zeigen auf, wie wir bei SWAN sofort reagiert haben, um die Projekte unserer Kunden lückenlos abzusichern.

Warum, wieso, weshalb? Die technischen Hintergründe

Um die Tragweite der Lücke zu verstehen, muss man betrachten, auf welcher Ebene der Fehler aufgetreten ist: Es handelte sich nicht um eine Schwachstelle in einem CMS-Plugin oder einem Theme, sondern um einen Fehler in der PHP-Engine selbst.

• Remote Code Execution (RCE): Beide Schwachstellen erhielten im Common Vulnerability Scoring System (CVSS v4.0) den Spitzenwert von 9.2 („Kritisch“). Angreifer sind über diese Lücken in der Lage, ohne vorherige Authentifizierung oder Nutzerinteraktion eigenen Programmcode auf dem Zielserver auszuführen. Das bedeutet im schlimmsten Fall vollen Zugriff auf Dateisysteme, Kundendatenbanken und Konfigurationsdateien.

• Speicher-Management & Memory Limit (CVE-2026-109618): Das Problem wird im Kern durch eine Fehlbehandlung beim Speicher-Management ausgelöst. Sendet ein Angreifer gezielt manipulierte Anfragen mit hohem Speicherbedarf (beispielsweise unvollständige oder extrem große multipart/form-data-Uploads), bricht PHP bei Erreichen des memory_limit ab. Beim Aufräumen unvollständig initialisierter interner Datenstrukturen können Speicherzustände ausgelesen oder Zeiger überschrieben werden.

• Zustandsüberhänge zwischen Anfragen (CVE-2026-109619): Bestimmte Zustände blieben nach Request-Abschlüssen im Worker-Speicher erhalten. Kriminelle können diese Mechanismen (u. a. über interne Upload-Fortschrittsverarbeitungen wie session.upload_progress) ketten, um eine interaktive Webshell zu platzieren.

• Gefährdungspotenzial: Behörden wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnten mit hoher Kritikalität, da automatisierte Angriffswerkzeuge sehr schnell das weltweite Netz nach ungepatchten Servern durchsuchen.

Wie wurde das Problem behoben?

Die Behebung der Sicherheitslücke lief mehrstufig ab, um Zeit bis zum flächendeckenden Patchen zu überbrücken:

• Vorab-Schutzmaßnahmen der Hoster: Bereits kurz vor und unmittelbar nach Bekanntgabe schalteten viele führende Infrastrukturbetreiber spezielle Web Application Firewall (WAF)-Regeln aktiv. Diese blockierten auffällige Anfragemuster und manipulierten Upload-Verkehr serverseitig ab, um akute Ausnutzungsversuche zu stoppen.
• Die offiziellen PHP-Patches: Das PHP-Projekt veröffentlichte am 21. Oktober 2026 offiziell bereinigte Versionen (u. a. für PHP 8.2, 8.3, 8.4 und 8.5). Dieser Patch zählt zu den umfangreichsten Fehlerbehebungen in der Geschichte von PHP. Nur durch die Aktualisierung der PHP-Binärdateien selbst wird die Lücke dauerhaft und vollständig geschlossen.
• Automatisches Rollout im Managed Hosting: Die Hosting-Anbieter spielten diese Patches auf ihren verwalteten Plattformen ein, sodass Millionen Standard-Webhosting-Pakete ohne Ausfallzeiten abgesichert wurden.

Was wir unternommen haben

Für uns als Agentur steht die Stabilität und Sicherheit ihrer Systeme an erster Stelle. Sobald die ersten Warnmeldungen publik wurden, traten unsere Notfallprotokolle in Kraft:

• Unmittelbare Backups: Noch während die ersten Provider ihre Schutzregeln hochfuhren, haben wir direkt vollständige Backups von allen Partnerprojekten angefertigt. Diese Sicherungen umfassen sowohl alle Anwendungsdateien als auch die zugehörigen Datenbanken. Damit stellen wir sicher, dass für jedes Projekt ein verifizierter, sauberer Wiederherstellungsstand außerhalb der Produktivserver bereitliegt.
• Infrastruktur: Wir haben sämtliche von uns betreuten Installationen und Domain-Umgebungen geprüft. Bei Projekten auf Standard-Hostingpaketen wurden die Hoster-Patches kontrolliert.
• Monitoring: Wir haben die Log-Daten auf verdächtige Auffälligkeiten hin analysiert, um sicherzustellen, dass es im Vorfeld des Patches zu keinen unbemerkten Kompromittierungsversuchen kam.

Schnellcheck: Hosting-Unternehmen

SWAN betreut auch Webprojekte bei führenden Hosting-Dienstleistern im DACH-Raum. Die folgende Übersicht zeigt den aktuellen Status und welche Schritte für Ihr Hosting-Paket gelten:

Phishing & Erkennung von Angriffen

Sicherheitsvorfälle mit hoher Medienpräsenz rufen unweigerlich Trittbrettfahrer auf den Plan. Aktuell registrieren IT-Sicherheitsdienste eine Welle gefälschter E-Mails (Phishing), die sich auf die angebliche Behebung der PHP-Lücke berufen.

So schützen Sie sich vor Phishing:

• Klicken Sie auf keine Links in E-Mails, die vorgeben, von Ihrem Hosting-Provider zu stammen und Sie zum Einloggen auffordern, um „die PHP-Lücke zu schließen“.
• Hoster fordern Sie niemals per E-Mail dazu auf, Passwörter auf ungesicherten Seiten einzugeben.
• Rufen Sie das Kundenmenü Ihres Anbieters immer über Ihre eigenen Lesezeichen oder die manuelle Eingabe der offiziellen Domain auf.

Woran man eine mögliche Kompromittierung erkennt:

Wer einen eigenen Server betreibt und das Update nicht rechtzeitig einspielen konnte, sollte das System genau überprüfen. Typische Warnsignale sind:

• Log-Fehler: Häufiges Auftreten von SIGSEGV (Segmentation Fault) in den Webserver-Error-Logs oder Speicherfehler.
• Verdächtige Zugriffe: Häufige, fehlerhafte Anfragen mit dem Content-Type (multipart/form-data) in den Access-Logs.
• Neue Dateien oder Accounts: Unbekannte PHP-Dateien im Web-Root oder neu angelegte Benutzerkonten mit Administrationsrechten im CMS.
• Unerklärliche Auslastung: Plötzlich ansteigende Prozessorlast oder versendeter Spam-Traffic.

Sollten Sie Anzeichen eines Vorfalls feststellen, müssen Passwörter umgehend von einem sauberen Rechner geändert und ein sauberes Backup wiederhergestellt werden. Wenn Sie bei erhaltenen E-Mails unsicher sind, Sie nicht wissen auf welchem Tarif Ihr Projekt liegt oder wenn Sie Unterstützung beim Absichern Ihrer Serverlandschaft benötigen: Melden SIe sich. SWAN steht Ihnen gerne zur Seite.

"Technik darf komplex sein, Sicherheit nicht. Wir sind Ihr Ansprechpartner." Henning Ritter, SWAN – Agentur für vertriebsorientiertes Marketing

Bild: Symbolbild: KI-generiert / SWAN