PHP2Shell: Die zwei kritischen PHP-Fehler, die Regierungen offline zwangen

PHP2Shell ist ein Spitzname für zwei Schwachstellen in der PHP-Programmiersprache selbst, nicht in einer einzelnen Website oder App. Sie werden als CVE-2026-109618 und CVE-2026-109619 verfolgt, und das eigene Sicherheitsteam von PHP bewertete beide mit 9,2 von 10 auf der CVSS-v4.0-Skala, seiner "kritischen" Kategorie, gemäß der offiziellen 2026-Archivseite des PHP-Projekts.

Was die beiden Fehler tatsächlich tun

Gemäß der offiziellen Empfehlung des PHP-Projekts wird CVE-2026-109618 ausgelöst, wenn PHP während der Verarbeitung einer Webanfrage keinen Speicher mehr hat. Der Speicherfehler kann PHP unterbrechen, bevor interne Anfragedaten vollständig eingerichtet sind, und der anschließende Bereinigungsprozess kann diese unvollständigen Daten dann als gültig behandeln, was zu Speicherbeschädigung und Remote-Code-Ausführung führen kann.

CVE-2026-109619 wird von PHP als ein "veralteter globaler Status"-Fehler beschrieben: Daten, die an die Anfrage eines Besuchers gebunden sind, können im Speicher eines Servers bleiben, nachdem sie hätten gelöscht werden sollen, und die nächste Anfrage eines Besuchers, die vom selben Worker-Prozess verarbeitet wird, kann mit diesen Resten arbeiten. Das Sicherheitsunternehmen watchTowr, das ein globales Netz von Überwachungssystemen betreibt, sagte, dass beide Fehler es einem Angreifer ermöglichen, Code ohne erforderliche Anmeldung auszuführen, bevor der eigene Code einer Website überhaupt mit der Ausführung beginnt.

Das niederländische Sicherheitsunternehmen Sansec fügte weitere technische Details hinzu und sagte, dass einer der Wege zur Ausnutzung durch die Funktion "Upload-Fortschritt" von PHP läuft und Daten wie Passwörter, API-Schlüssel und Verschlüsselungsschlüssel offenlegen kann, die zufällig im Speicher eines Servers aus anderen, nicht verwandten Anfragen vorhanden waren.

Warum so viele Websites gefährdet waren

Die Fehler befinden sich in der PHP-Engine, daher ist jede Website oder App, die mit PHP erstellt wurde, potenziell gefährdet, unabhängig davon, welches Inhaltssystem auf ihr läuft. Dies umfasst weit verbreitete Plattformen wie WordPress, Drupal, Joomla, Magento und Nextcloud, laut Sansec. PHP bleibt einer der am weitesten verbreiteten serverseitigen Programmiersprachen im Web, weshalb die Fehler als großflächiges, großes Risiko behandelt wurden.

Sicherheitsforscher bei Wiz identifizierten die Fehler, und Help Net Security berichtete, dass die Forscher sagten, Fortschritte in Frontier-AI-Tools hätten die technische Hürde zur Umwandlung eines lange bekannten, schwer auszunutzenden Speicherverwaltungsproblems in einen funktionierenden Exploit erheblich gesenkt.

Warum Regierungen Websites offline nahmen

Technische Details der Fehler liefen aus, bevor PHPs offizielles Patch bereit war, was den üblichen Vorsprung verkürzte, den Verteidiger bekommen, bevor ein Fix öffentlich wird. Der Sicherheits-Blog Safeguard berichtete, dass die Niederlande am 21. Oktober 2026 Dienste einschließlich der Website ihres eigenen nationalen Cybersicherheitszentrums, Overheid.nl, der Website des Repräsentantenhauses und mehrerer Krankenhaus- und Parteiseiten als Vorsichtsmaßnahme offline nahmen. Finnlands staatlicher IT-Anbieter Valtori nahm Regierungsnetzwerkdienste als Vorsichtsmaßnahme offline, und Dänemarks kommunales IT-Unternehmen Kombit schaltete mehrere Dienste ab, darunter eine nationale Schulkommunikationsplattform. Frankreichs Innenministerium nahm vorübergehend Präfekturen und lokale Verwaltungsseiten offline und sagte, es warte darauf, dass der PHP-Fix angewendet wird. Deutschlands föderaler IT-Anbieter ITZBund und Belgiens Außenministerium nahmen ebenfalls Websites offline, obwohl Safeguard berichtete, dass sie unterschiedliche Gründe nannten: ITZBund sagte, es sei sich keiner Sicherheitsvorfälle bewusst, während Belgiens Außenministerium von Berichten über Angriffe sprach.

watchTowr sagte, sein Honeypot-Netz, Attacker Eye, verzeichnete Echtzeit-Ausnutzungsversuche ab 21. Oktober 2026, einen Tag nach dem Leck und am selben Tag, an dem PHP seinen Fix veröffentlichte.

Die beiden Fehler im Vergleich

So schützen Sie Ihre Website und Ihre Daten

1. Wenn Sie eine Website auf PHP betreiben: Aktualisieren Sie auf eine reparierte Version — PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 — und starten Sie danach alle PHP Worker-Prozesse neu, da PHP's Empfehlung und runZero betonen, dass eine Aktualisierung die einzige vollständige Lösung ist.
2. Wenn Sie sich noch auf PHP 7.4, 8.0 oder 8.1 befinden, die keine offiziellen Aktualisierungen mehr erhalten, erhalten Sie einen zurückportierten Sicherheits-Patch von Ihrer Linux-Distribution oder von Ihrem Hosting-Anbieter, da das PHP-Projekt diese Branches nicht mehr verwaltet, gemäß der PHP-Archivseite.
3. Bis Sie Patches einspielen können, empfiehlt runZero Zwischenschritte auf Server- oder Proxy-Ebene: Speicherlimits begrenzen, damit Anwendungen diese nicht außer Kraft setzen können, niedrige Anfragegröße und Multipart-Upload-Limits erzwingen und die Session-Funktion "Upload-Fortschritt" deaktivieren.
4. Überprüfen Sie Ihre Web-Server-Zugriffsprotokolle auf ungewöhnliche Multipart/Form-Data-POST-Anfragen, die Sansec zufolge häufig bei bekannten Exploitations-Versuchen vorkommen, und achten Sie auf unerwartete PHP-Speicherspitzen oder fatale Fehler.
5. Als alltäglicher Internetnutzer können Sie Server, die Sie nicht kontrollieren, nicht patchen, aber Sie können auf Verletzungsmitteilungen von Diensten achten, die Sie nutzen, ein eindeutiges Passwort für jedes Konto verwenden und die Zwei-Faktor-Authentifizierung aktivieren, damit ein durchgesickertes Passwort allein nicht ausreicht, um auf Ihre Konten zuzugreifen.

Was bleibt noch unklar

Zum Zeitpunkt der überprüften Berichterstattung gab es Uneinigkeit zwischen Experten darüber, wie weit verbreitet aktive Ausnutzung bereits zum Zeitpunkt der Entscheidung mehrerer Regierungen war, Websites offline zu nehmen; Safeguard berichtete, dass die niederländische Regierung sagte, sie habe keine Anzeichen einer aktiven Ausnutzung gehabt, als sie handelte, während watchTowr am nächsten Tag separat echte Angriffsversuche gegen seine Honeypots bestätigte.