PHP2Sell

Warum die PHP-Sicherheitslücke so gefährlich ist

Weltweit werden Webseiten vorsorglich abgeschaltet, Sicherheitsexperten warnen vor massiven Cyberangriffen. Doch wie funktioniert die kritische PHP-Sicherheitslücke eigentlich und warum können Angreifer damit ganze Server übernehmen?

Von Matthias Kemter

Die neu entdeckten Sicherheitslücken in der Programmiersprache PHP sorgen am Mittwoch (21. Oktober 2026) weltweit für Alarm. Städte, Unternehmen und öffentliche Einrichtungen haben bereits Internetdienste vorsorglich abgeschaltet. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die zweithöchste Bedrohungsstufe ausgerufen und warnt vor einer großflächigen Ausnutzung der Schwachstellen. Inzwischen stehen erste Sicherheitsupdates bereit. Doch was macht die unter dem Namen „PHP2Shell“ bekannt gewordene Sicherheitslücke so gefährlich? Das Problem steckt tief in der technischen Grundlage zahlreicher Webseiten. Angreifer könnten dadurch unter bestimmten Bedingungen die Kontrolle über einen Webserver übernehmen, ohne sich zuvor anmelden zu müssen.

Wie funktioniert die PHP-Sicherheitslücke?

Bei PHP2Shell handelt es sich nicht um eine einzelne Sicherheitslücke, sondern um zwei Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide betreffen die interne Speicherverwaltung der Programmiersprache PHP. PHP wird auf Webservern eingesetzt, um beispielsweise Inhalte von Onlineshops, Blogs oder Nachrichtenportalen bereitzustellen. Ruft ein Nutzer eine Webseite auf, verarbeitet der Server die Anfrage und führt dafür gegebenenfalls PHP-Code aus. Genau bei dieser Verarbeitung können die beiden Sicherheitslücken ausgenutzt werden. Durch speziell manipulierte Anfragen können Angreifer Fehler im Umgang mit dem Arbeitsspeicher auslösen. Im schlimmsten Fall lässt sich dadurch eigener Programmcode auf dem Server ausführen. Fachleute sprechen dabei von einer Remote Code Execution (RCE), also der Ausführung von Programmcode aus der Ferne.

Zwei Fehler in der Speicherverwaltung machen PHP angreifbar

Die beiden Schwachstellen haben unterschiedliche technische Ursachen. Die erste Sicherheitslücke, CVE-2026-109618, betrifft den Umgang mit Fehlern bei der Speicherzuweisung. Wenn PHP während der Verarbeitung einer Anfrage an eine Speichergrenze stößt, kann der Vorgang vorzeitig abgebrochen werden. Dabei können interne Daten in einem unvollständigen Zustand zurückbleiben. Versucht PHP anschließend, diese Daten zu bereinigen, kann es zu einer fehlerhaften Verarbeitung kommen. Die zweite Schwachstelle, CVE-2026-109619, entsteht durch den Zugriff auf bereits freigegebenen Arbeitsspeicher. Bestimmte interne Informationen können nach Abschluss einer Anfrage bestehen bleiben, obwohl der zugehörige Speicher bereits freigegeben wurde. Verarbeitet derselbe PHP-Prozess anschließend eine neue Anfrage, kann er auf diese ungültigen Informationen zugreifen. Angreifer können solche Fehler gezielt ausnutzen, um die Programmausführung zu manipulieren und unter geeigneten Bedingungen eigenen Schadcode einzuschleusen.

Warum können Angreifer ganze Server übernehmen?

Besonders gefährlich ist, dass Angreifer unter bestimmten Bedingungen weder ein Benutzerkonto noch ein Passwort benötigen. Bei einer nachgewiesenen Angriffsvariante kann bereits eine manipulierte Anfrage ausreichen, um den Fehler auszulösen. Die Schwachstelle lässt sich dabei ausnutzen, bevor der eigentliche Programmcode der betroffenen Webseite ausgeführt wird. Das bedeutet: Auch eine Webseite mit aktuellen Plugins und einem vollständig aktualisierten Content-Management-System kann gefährdet sein, wenn der zugrunde liegende PHP-Server eine verwundbare Version verwendet. Gelingt die Ausführung von Schadcode, könnten Angreifer auf sensible Informationen zugreifen, Kundendaten auslesen, Webseiten verändern oder den Server für weitere Cyberangriffe missbrauchen. Welche Möglichkeiten ein Angreifer tatsächlich erhält, hängt unter anderem von den Berechtigungen des betroffenen Serverprozesses ab.

Warum sind so viele Webseiten von PHP2Shell betroffen?

Die Tragweite der Sicherheitslücken ergibt sich vor allem aus der weiten Verbreitung von PHP. Die Programmiersprache bildet die Grundlage zahlreicher Content-Management-Systeme und Webanwendungen. Dazu gehören unter anderem WordPress, Joomla, Drupal, TYPO3 und Magento. Allein auf WordPress basieren Schätzungen zufolge weltweit zwischen 400 und 500 Millionen Webseiten. Das Problem betrifft somit nicht nur einzelne Internetangebote oder bestimmte Unternehmen. Vielmehr steckt die Sicherheitslücke in einer Softwarekomponente, die auf unzähligen Servern eingesetzt wird. Allerdings ist nicht automatisch jede mit PHP betriebene Webseite angreifbar. Entscheidend sind unter anderem die installierte PHP-Version, die Serverkonfiguration und die Frage, ob bereits Sicherheitsupdates installiert wurden.

Welche PHP-Versionen sind von der Sicherheitslücke betroffen?

Die PHP-Entwickler haben am 21. Oktober 2026 Sicherheitsupdates veröffentlicht, mit denen beide Schwachstellen behoben werden sollen. Die korrigierten Versionen lauten:

Betreiber sollten ihre PHP-Installation schnellstmöglich auf eine abgesicherte Version aktualisieren. Besonders problematisch sind ältere PHP-Versionen, die nicht mehr regulär unterstützt werden. Für diese stellt das PHP-Projekt teilweise keine offiziellen Updates mehr bereit. In solchen Fällen können Sicherheitskorrekturen von Linux-Distributoren oder anderen Anbietern verfügbar sein. Andernfalls ist ein Wechsel auf eine unterstützte PHP-Version notwendig. Die PHP-Entwickler betonen, dass ausschließlich das Einspielen der entsprechenden Sicherheitskorrekturen einen vollständigen Schutz vor den beiden Schwachstellen bietet.

Was können Webseitenbetreiber jetzt tun?

Für Betreiber von PHP-basierten Webseiten besteht dringender Handlungsbedarf. Sie sollten überprüfen, welche PHP-Version auf ihrem Server installiert ist, und die verfügbaren Sicherheitsupdates möglichst sofort einspielen. Wer keinen direkten Zugriff auf die PHP-Konfiguration hat, sollte sich an seinen Webhosting-Anbieter oder zuständigen IT-Dienstleister wenden. Können die Sicherheitsupdates nicht kurzfristig installiert werden, empfehlen Sicherheitsbehörden, betroffene Systeme gegebenenfalls vorübergehend vom öffentlichen Internet zu trennen. Damit soll verhindert werden, dass Angreifer die Schwachstellen ausnutzen, bevor eine Aktualisierung möglich ist.

Für normale Internetnutzer besteht dagegen zunächst kein unmittelbarer Handlungsbedarf. Die Sicherheitslücken befinden sich auf den Servern der Webseiten und nicht auf den Smartphones oder Computern der Besucher. Dennoch können Verbraucher indirekt betroffen sein, etwa wenn Onlinedienste aus Sicherheitsgründen abgeschaltet werden oder Angreifer Kundendaten von ungeschützten Servern erbeuten. Die besondere Gefahr von PHP2Shell liegt somit in der Kombination aus einer weitverbreiteten Programmiersprache, schwerwiegenden Fehlern in der Speicherverwaltung und der Möglichkeit, Schadcode ohne vorherige Anmeldung auszuführen. Für Webseitenbetreiber kommt es deshalb vor allem darauf an, die bereitgestellten Sicherheitsupdates möglichst schnell zu installieren.