Zwei kritische PHP-Flaws namens "PHP2Shell" gefährden den Großteil des Webs

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt gepatchte Versionen der Sprache, nachdem Sicherheitsforscher zwei kritische Remote-Code-Execution-Anfälligkeiten mit dem Spitznamen "PHP2Shell" offenlegten. Die Flaws, gekennzeichnet als CVE-2026-109618 und CVE-2026-109619, wurden von dem Cloud-Security-Unternehmen Wiz Research entdeckt, das die Organisationen Calif und OpenAI für ihren Beitrag zur Entdeckung, Koordination und Patch-Verifikation würdigte, wie in Wiz' öffentlichem Bericht vermerkt.

Was die beiden Anfälligkeiten tun

Wiz sagt, dass die beiden CVEs tatsächlich vier verschiedene zugrunde liegende Bugs zusammenfassen. CVE-2026-109618 behandelt einen Use-After-Free-Flaw in PHPs Session-Upload-Progress-Unserializer, der für Remote-Code-Execution missbraucht werden kann, sowie einen verwandten Bug, der Speicher aus einem laufenden PHP-Worker-Prozess ohne Authentifizierung abgreifen kann. CVE-2026-109619 behandelt einen Use-After-Free in PHPs Fatal-Error-Backtrace-Handling und einen separaten Type-Confusion-Flaw in OPcache, PHPs Shared-Memory-Bytecode-Cache.

Laut Wiz befinden sich beide Probleme in Code-Pfaden, die fast jede PHP-Anfrage durchläuft: Speicherverwaltung und Fehlerbehandlung. Die PHP Foundation machte denselben Punkt in Kommentaren, die von dem Outlet SecurityWeek berichtet wurden.

Zeitleiste der Entdeckung

Das Forschungsteam von Wiz – in seinem Blog-Beitrag genannt als Sagi Tzadik, Shir Tamari, Nir Ohfeld und Tomer Schwartz – sagt, dass es den ersten Bug am 19. August 2026 fand und funktionierende Remote-Code-Execution-Exploits gegen WordPress- und Drupal-Installationen in den folgenden zwei Tagen bestätigte. Das Team meldete seine Erkenntnisse dem PHP-Sicherheitsteam am 24. August 2026. Öffentliche Offenlegung und die entsprechenden Patches folgten am 21. Oktober 2026.

Wiz sagt, dass es KI-Codierungsmodelle, einschließlich Google's Gemini 4 Argon und OpenAI's GPT-5.6 Sol, verwendete, um Proof-of-Concept-Exploits zu erstellen, und beschreibt Arbeiten, die Spezialforscher zuvor Monate benötigt hätten, als in Stunden erreichbar.

Wer ist betroffen

Wiz besagt, dass die zugrunde liegenden Flaws in jeder PHP-Version vorhanden sind, die in den letzten zehn Jahren etwa veröffentlicht wurde, mit mindestens einem der beiden CVEs vorhanden seit PHP 5.4. Das Unternehmen sagt, dass es unbefugte Remote-Code-Execution gegen aktuelle Versionen von drei weit verbreiteten Content-Management-Systemen bestätigte: WordPress, Drupal und Joomla. SecurityWeek berichtet, dass die Bugs gängige PHP-Deployment-Methoden beeinflussen, einschließlich PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.

Wiz rahmt das Ausmaß der Exposition als Betroffenheit von etwa 70% des Internets ein, ein Bezug auf den Anteil von Websites, die in irgendeiner Form auf PHP laufen, nach dem Bericht des Unternehmens.

Exploitationsversuche seit der Offenlegung

Mehrere Sicherheitsunternehmen überwachten den Angriffsdatenverkehr rund um die Offenlegung. SecurityWeek berichtet, dass das Unternehmen watchTowr die ersten In-the-Wild-Exploitationsversuche um die Zeit der Patch-Veröffentlichung erkannte, aber keine erfolgreiche Kompromittierung bestätigt hatte. Hadrian sagte SecurityWeek, dass es großflächige Exploitationsversuche vor der Patch-Veröffentlichung beobachtete, konzentriert auf PHPs Session-Upload-Progress-Code-Pfad. Patchstack, Cloudflare und Vega protokollierten Versuche am Tag der Offenlegung, und Amazon sagte, dass es Exploitationsversuche vier Tage vor der Patch-Veröffentlichung identifiziert hatte.

Warum PHPs Umfang dies bedeutsam macht

PHP wurde von dem dänisch-kanadischen Programmierer Rasmus Lerdorf erstellt, erstmals 1995 veröffentlicht, und bleibt eine der am weitesten verbreiteten serverseitigen Skriptsprachen für die Erstellung von Websites, laut Wikipedia. Dieselbe Quelle vermerkt, dass ab November 2025 mehr als die Hälfte der PHP-basierten Websites immer noch den nicht unterstützten PHP-7-Branch ausführten, und etwa 9,7% waren immer noch auf PHP 5, das Jahre zuvor eingestellt wurde – ein Legacy-Software-Muster, das Sicherheitsforscher sagen, erschwert das schnelle Patchen im gesamten PHP-Ökosystem.