PHP2Shell: Was die kritischen PHP-Lücken für Ihr Unternehmen bedeuten

Am 21. Oktober 2026 hat das PHP-Projekt Patches für zwei kritische Schwachstellen veröffentlicht, über die Angreifer ohne Anmeldung Code auf Webservern ausführen können. Betroffen ist jede PHP-Installation, die Webanfragen bedient, vom WordPress-Blog bis zur Firewall-Oberfläche. Dieses Advisory sagt, was in welcher Reihenfolge zu tun ist und worauf Sie in Ihren Logs achten sollten.

Zielgruppe

Betreiber von Webanwendungen und Appliances (DACH), CISO, IT-Leitung, SOC, Hosting-Verantwortliche

Regulatorik

NIS2 / BSIG § 30 · DORA · ISO 27001:2022

Klassifizierung

TLP:CLEAR, Weitergabe erlaubt

Stand

21. Oktober 2026, 22:30 Uhr, Version 1.1

Quellen

PHP-Projekt, BSI, CERT-EU, CIRCL, CERT-FR, NCSC UK, NCSC-NL, BACS, CERT.at, Unit 42, Wiz, Cloudflare, Imperva, CVE.org, ENISA, Debian, Ubuntu, Red Hat, CISA

Änderungen

Version 1.1 vom 21. Oktober 2026, 22:30 Uhr. Ergänzt: BSI-Warnung Version 1.1 (Proof-of-Concept öffentlich), der Stand der Ausnutzung am Abend (öffentliche Exploits, Angriffsversuche bei Cloudflare, Patchstack und watchTowr, keine bestätigte Übernahme), die Speicheroffenlegung über das PHPSESSID-Cookie als Log-Signal, die WAF-Regeln der großen Anbieter und das Produktinventar von NCSC-NL. Erstfassung 18:00 Uhr.

Die beiden Schwachstellen liegen nicht in WordPress, TYPO3 oder pfSense, sondern in der Laufzeitumgebung darunter, die jede Webanfrage entgegennimmt, bevor die Anwendung läuft. Bei Apache mit mod_php läuft der bestätigte Angriff deshalb vollständig ab, bevor eine Zeile Anwendungscode ausgeführt wird.

CVE-2026-109618 betrifft die Behandlung von Speichermangel: Stößt PHP beim Einlesen einer Anfrage an seine Speichergrenze, bricht es ab, während interne Datenstrukturen erst halb aufgebaut sind, und die Aufräumroutine behandelt diesen Zustand als gültig. Angreifer erzeugen den Speichermangel gezielt, etwa mit Multipart-Anfragen ohne brauchbare Längenangabe, sehr vielen Kopfzeilen je Formularteil oder verschachtelten leeren Dateifeldern. Derselbe Fehler gibt laut Wiz auch ohne Codeausführung Speicher des Workers preis, rund 67 Kilobyte je Versuch, als überlanges PHPSESSID-Cookie in der Antwort. CVE-2026-109619 betrifft Zustand, der eine Anfrage überlebt: Ein Worker bearbeitet viele Anfragen nacheinander; bricht eine durch einen fatalen Fehler oder eine Zeitüberschreitung ab, bleiben Verweise auf freigegebenen Speicher stehen, und die nächste Anfrage kann sie nutzen, bevor die Initialisierung sie zurücksetzt. Bestätigte Wege führen über den standardmäßig aktiven Sitzungs-Upload-Fortschritt und bei PHP 8.5 über die Backtraces fataler Fehler; Codeausführung ist gegen mod_php und, über den Sitzungspfad, gegen PHP-FPM belegt.

Zum Stand der Ausnutzung am Abend: Die Entdecker Calif, Wiz und OpenAI haben ihre Analysen veröffentlicht, auf GitHub liegen mehrere Exploits, deren Funktion niemand unabhängig bestätigt hat. Cloudflare beobachtet seit dem frühen Morgen Angriffsverkehr gegen Kunden und Angreifer, die ihre Payloads gegen die WAF-Regeln verändern; Patchstack meldet Vorfälle bei Hosting-Partnern, watchTowr Versuche im Honeypot-Netz. Imperva und Huntress sahen in ihren Kundenbasen bis zum Nachmittag nichts. Eine bestätigte Übernahme eines konkreten Systems nennt niemand, das BSI stuft die Berichte als nicht verifizierbar ein, der KEV-Katalog der CISA führt die Lücken nicht. Trotzdem geht das BSI von kurzfristiger Ausnutzung aus, und Wiz sagt, warum: Frontier-KI hat den Bau des Exploits von Monaten auf Stunden verkürzt. Die Ausnutzung ist aufwendig (CVSS: AC:H, AT:P) und braucht etwa, dass zwei Anfragen beim selben Worker landen; mehr Worker verzögern den Erfolg, sie verhindern ihn nicht.

Betroffen sind laut PHP-Projekt alle Installationen, die Webanfragen bedienen. Das Risiko ist nicht überall gleich, die Reihenfolge der Patches sollte dem folgen.

Bei Distributionen zählt die Paketversion, nicht die Hauptversion: Debian und Ubuntu tragen den Fix zurück, php -v zeigt weiter 8.3.6. Red Hat stuft beide Lücken als Important ein (CVSS 3.1: 8,1), weil RHEL standardmäßig PHP-FPM nutzt, wo die Ausnutzung in der Praxis schwer sei; auch Red Hat kennt nur das Update als vollständige Abhilfe. remirepo bekommt die Updates laut PHP-Projekt nicht am Tag der Veröffentlichung. Docker-Images neu bauen, Appliance-Hersteller müssen Firmware liefern. Die Entdecker haben die Codeausführung unter anderem gegen WordPress, Drupal, Joomla, Magento, Nextcloud, Roundcube und phpMyAdmin demonstriert; NCSC-NL sammelt betroffene Produkte, auch Zabbix und eingebettete Web-Oberflächen von Netzwerkgeräten, in einem öffentlichen Repository.

Vom Netz nehmen ist keine Übertreibung: Laut Unit 42 hat mindestens eine europäische Regierung ihre Website vorsorglich abgeschaltet, NCSC UK empfiehlt dasselbe, wo weder Patch noch Übergangsmaßnahmen rechtzeitig möglich sind. Wer beides nicht kann, muss das System vor dem späteren Patch auf Kompromittierung und Hintertüren prüfen.

Das BSI nennt auch in Version 1.1 keine Angriffsindikatoren und empfiehlt die kursierenden IOC-Listen nicht; CIRCL nennt seine Beobachtungspunkte Hunting-Ansätze, keine validierten IOCs; kein Hersteller hat bis 22 Uhr IP-Adressen, Hashes oder Domänen veröffentlicht. Was sich sagen lässt, folgt aus dem Angriffsweg: Jeder bekannte Auslöser ist ein Multipart-POST, der vor der Anwendung verarbeitet wird; die Ausnutzung erzeugt Fehler auf dem Server und endet, wenn sie gelingt, in Codeausführung mit den Rechten des Web-Workers. Ein Signal ist hart: Die Speicheroffenlegung kommt als überlanges PHPSESSID-Cookie zurück. Die übrigen Spuren nennen CIRCL und Wiz in allgemeiner Form, die Beispiele in Klammern sind unsere Ableitung.

Die Signale 2 bis 4 brauchen eine Komponente vor PHP, die Anfrage-Bodies inspiziert; für die Prüfung empfiehlt das PHP-Projekt log_errors=On, ein funktionierendes error_log und error_reporting=E_ALL, wobei das Fehlen eines Eintrags kein Beleg für Sicherheit ist. Wer ein überlanges PHPSESSID-Cookie in seinen Antworten findet, sollte davon ausgehen, dass Zugangsdaten und Tokens aus dem Worker-Speicher abgeflossen sind, und sie nach dem Patch wechseln. Bei jedem Fund: Web-, PHP-, Anwendungs- und Host-Logs sichern, bevor jemand neu startet, erst untersuchen, dann bereinigen.

Alle Angaben stammen aus den verlinkten Quellen; Uhrzeiten in MESZ, Stand 21. Oktober 2026, 22:30 Uhr (Version 1.1). Beobachtungen zu Angriffsversuchen sind Herstellerangaben (Cloudflare, Patchstack, watchTowr, Imperva, Huntress) und als solche gekennzeichnet; die Zuordnung zu ISO 27001:2022 A.8.8 und zu den CIS Controls ist unsere Einordnung. Das Advisory wird aktualisiert, sobald eine Ausnutzung bestätigt oder Indikatoren veröffentlicht werden.

Glossar

SAPI

Anbindung von PHP an den Webserver: mod_php (Modul im Apache), PHP-FPM (eigener Prozess-Pool), php-cgi, FrankenPHP, LSAPI

Worker

PHP-Prozess, der nacheinander viele Anfragen bearbeitet; sein Zustand ist der Kern von CVE-2026-109619

Multipart

HTTP-Format für Formulare mit Datei-Uploads; der Einstieg für CVE-2026-109618

OOM

Out of Memory: PHP erreicht sein Speicherlimit und bricht die Anfrage ab

Backport

Fix in einer älteren Paketversion; die Versionsnummer bleibt, der Patch ist drin

WAF

Web Application Firewall: filtert HTTP-Anfragen vor der Anwendung

KEV

Known Exploited Vulnerabilities: CISA-Katalog der nachweislich ausgenutzten Schwachstellen