PHP2Shell: Kritische PHP-Sicherheitslücken lösen weltweiten Patch-Ansturm und Website-Abschaltungen aus

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Notfall-Updates – die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 – um zwei kritische Sicherheitslücken zu beheben, die Sicherheitsforscher und Hersteller "PHP2Shell" genannt haben, wie Help Net Security und das Canadian Centre for Cyber Security berichten. Die Sicherheitslücken werden als CVE-2026-109618 und CVE-2026-109619 verfolgt und sind beide als kritisch eingestuft; die für diesen Artikel überprüften Quellen nannten keine offizielle numerische CVSS-Bewertung.

Was die Sicherheitslücke bewirkt

Beide Sicherheitslücken sind Memory-Safety-Bugs in der Art und Weise, wie PHP Anfragen unter abnormalen Bedingungen verarbeitet, berichten Bleeping Computer und Help Net Security. CVE-2026-109618 tritt auf, wenn ein Out-of-Memory-Fehler PHP unterbricht, während interne Anfragedaten nur teilweise eingerichtet sind, sodass Cleanup-Routinen diese unvollständigen Daten später als gültig behandeln. CVE-2026-109619 ist ein Stale-State-Fehler: Der einer Anfrage zugeordnete Speicher kann freigegeben und dann von einer späteren Anfrage auf demselben Worker wiederverwendet werden, bevor er ordnungsgemäß zurückgesetzt wird. Dies kann zur Dateiexposition oder Codeausführung führen.

Kanadas Centre for Cyber Security klassifizierte beide als Use-After-Free-Sicherheitslücken (CWE-416) und gab an, dass ein erfolgreicher Angriff es einem nicht authentifizierten Angreifer ermöglicht, beliebigen Code auf dem Server auszuführen, ohne ein Passwort oder eine Aktion eines Benutzers zu benötigen. Die Behörde gab an, dass mod_php-Bereitstellungen das höchste Risiko tragen, da ein nachgewiesener Exploit den Bug auslösen kann, bevor irgendwelcher Anwendungscode die Chance hat zu laufen – eine Beschreibung, die auch vom PHP-Sicherheitsteam verwendet wird, wie Bleeping Computer berichtet.

Die Sicherheitslücke betrifft jede PHP-Installation, die Web-Anfragen bedient, einschließlich PHP-FPM, Apaches mod_php, php-cgi, FrankenPHP und LiteSpeed, wie Bleeping Computer und die kanadische Advisory berichten. Der zugrunde liegende Code existierte über ein Jahrzehnt in PHP, wie Fortune berichtet, obwohl offizielle Fixes für die aktiv unterstützten Zweige 8.2–8.5 freigegeben wurden, mit Source-Level-Backports für 7.4 bis 8.1, die ihre End-of-Life-Support-Daten überschritten haben.

Wie es entdeckt wurde und warum KI hier wichtig ist

Nach Fortune existierte der fehlerhafte Code über ein Jahrzehnt in PHP, aber drei separate Parteien kamen im August 2026 darauf zusammen: das Sicherheitsunternehmen Wiz, ein Unternehmen namens Calif und OpenAI, das mit der PHP Foundation an einer Lösung und koordinierter Offenlegung arbeitete. Fortune berichtete, dass Wiz KI-Modelle einschließlich OpenAIs GPT-5.6 Sol und Googles Gemini 4 Argon nutzte, um die Schwachstelle zu verstehen und in einen funktionierenden Exploit umzuwandeln. Wiz sagte Fortune, dass der Fall eine durch KI angetriebene Verschiebung darstellte, und erklärte, dass zwar der anfällige Code über ein Jahrzehnt existierte, aber die Fähigkeit der Forscher sich veränderte, KI zu nutzen, um die Schwachstellen zu verstehen und sie in einen funktionierenden Exploit umzuwandeln.

Fortune berichtete auch, dass OpenAI in seiner eigenen Aussage sagte, dass die Episode zeigte, wie KI helfen kann, Sicherheitslücken mit Internet-Maßstab-Auswirkungen aufzudecken, während anerkannt wird, dass dieselben KI-Fähigkeiten Angreifern auch helfen können, offensive Werkzeuge und Exploits schneller zu entwickeln.

Exploit-Versuche und Cloudflares schnelle Reaktion

Cloudflare gab in seinem eigenen Blog an, dass es Web Application Firewall-Regeln um 03:02 UTC am 21. Oktober aktivierte, was es als ungefähr neun Stunden vor der öffentlichen Offenlegung der Sicherheitslücken beschrieb. Das Unternehmen rollte sieben "Generische Regeln – Anomale Ausführung" für Kunden im kostenlosen Plan und einen separaten Satz von sieben äquivalenten Regeln für kostenpflichtige Pläne aus, plus eine zusätzliche Regel, die Anfrage und Antwort in derselben Transaktion überprüft, gemäß Cloudflares Beitrag wie von ppc.land zusammengefasst. Derselbe Beitrag besagte, dass Cloudflare beobachtete, wie Angreifer ihre Exploit-Payloads danach alterierten, um die neuen Regeln zu umgehen, obwohl es keine genauen Zahlen zum Angriffs-Volumen veröffentlichte.

Separat gab Amazons Threat Intelligence Team an, dass es Exploit-Versuche gegen die Sicherheitslücken ab dem 17. Oktober 2026 erkannt hatte – vier Tage vor dem öffentlichen Patch – gemäß Bleeping Computer, was darauf hindeutet, dass einige Bedrohungsakteure vor der allgemeinen Offenlegung Zugang zu Exploit-Details hatten. Im Gegensatz dazu besagte Kanadas Centre for Cyber Security Advisory, dass es zum Zeitpunkt der Verfassung keine aktive Ausnutzung identifiziert hatte, während es warnte, dass sich die Situation schnell ändern könnte. Die beiden Bewertungen spiegeln unterschiedliche Beobachtungspunkte und Zeitangaben wider und nicht einen faktischen Widerspruch.

Japan: Regierung fordert Patch oder Abschaltung

Die Sicherheitslücke zog besonders intensive Aufmerksamkeit in Japan auf sich. Japans National Cybersecurity Office, ein Nachfolgeorgan von NISC, das im Juli 2025 reorganisiert wurde, gab eine Stellungnahme ab, die Betreiber auffordert, zu überprüfen, ob ihre Websites PHP ausführen und schnell zu handeln, gemäß einem BigGo Finance-Bericht zur Aussage der Behörde. Premierminister Sanae Takaichi postete auf X und nannte es "eine dringende Bitte an alle, heute Nacht zu reagieren," und sagte, dass die vorübergehende Aussetzung einer Website ein effektiver Weg sein könnte, das Risiko zu reduzieren, wenn sofortiges Patchen nicht möglich war, wie BigGo Finance berichtete.

Folgend dieser Anleitung betraten mehrere japanische Online-Services in der Nacht des 21. Oktober Notfallwartung, darunter die Kinderbetreuungsverwaltungsplattform CoDMON, das Kartenspiel Shadowverse: Worlds Beyond, den Online-Shop-Builder BASE und den Hosting-Provider Sakura Internet, gemäß dem BigGo Finance-Bericht. PHPs offizielle Patches wurden gegen 22:40 Uhr Japanische Zeit freigegeben, vor einem ursprünglich angekündigten 23:00-Uhr-Ziel, wie derselbe Bericht sagte.

Separat berichtete Internet Watch (Impress), dass der japanische Kommunikationsanbieter Baltec etwa 23 Services aussetzt – abdeckend Cloud, Reservierung, Point-of-Sale und Expense-Management-Tools – nachdem nicht autorisierter Zugriff mit möglicher Exposition persönlicher Daten erkannt wurde. Baltec schrieb den Vorfall zunächst einem Cyberangriff zu, der eine PHP-Sicherheitslücke anvisiert, aber das Unternehmen gab am selben Tag eine Korrektur ab, die besagte, dass die eigentliche Ursache eine Sicherheitslücke in seinem eigenen Service war, nicht die PHP-Sicherheitslücke, nachdem es sagte, dass es die beiden Probleme verwechselt hatte, während es seine PHP-bezogenen Sicherheitsmaßnahmen überprüfte. Baltec setzte die Service-Wiederherstellung für den 26. Oktober an, wie Internet Watch berichtete.

Umfang der Exposition

PHP betreibt schätzungsweise 70% der Websites weltweit, einschließlich WordPress-Sites, Wikipedia, Microsoft.com und Archive.org, wie Fortune berichtet, zitierend, dass ungefähr 40% aller Websites auf WordPress laufen, das selbst von PHP abhängt. Fortune zitierte auch einen initialen Scan, der 22,6 Millionen potenziell anfällige PHP-Instanzen identifizierte, die dem Internet ausgesetzt sind.

Was noch unbekannt ist

Wie die verfügbaren Berichte zeigen, bestätigt keine Quelle einen erfolgreichen großflächigen Dateibruch direkt verursacht durch PHP2Shell-Ausnutzung, im Gegensatz zu vorbeugenden Abschaltungen. Zahlen zu Gesamt-Exploit-Versuchen unterscheiden sich je nach Quelle und Messfenster: Der CEO von Cloudflare wurde in japanischer Berichterstattung über Yahoo! News zitiert, die Versuch-Zahlen als von Tausenden vor Offenlegung zu Zehntausenden innerhalb von 45 Minuten und Erreichen von Hunderttausenden innerhalb von zwei Stunden beschreibend, wobei Gesamtzahlen zum Zeitpunkt dieses Berichts als Millionen beschrieben werden; Cloudflares eigener Blogpost wiederholte diese spezifischen Zahlen nicht. Leser sollten genaue Angriffs-Volumen-Nummern als vorläufig und Überarbeitungen durch die Organisationen, die sie verfolgten, unterliegen behandeln.