PHP2Shell: Kritische PHP-Lücken, KI-Fund und ein Patch-Tag im Ausnahmezustand

Was hinter PHP2Shell steckt

Beide Fehler stecken im PHP-Interpreter selbst, nicht in einer bestimmten Anwendung. Deshalb ist auch eine sauber programmierte Software angreifbar, solange sie auf einer verwundbaren PHP-Version läuft. Beide Lücken sind mit einem CVSS-v4-Wert von 9,2 als kritisch eingestuft.

• CVE-2026-109618: Läuft PHP bei einer Anfrage der Speicher aus, bricht es die Verarbeitung abrupt ab. Passiert das etwa mitten im Parsen eines großen Datei-Uploads, bleiben interne Daten halb initialisiert zurück. Beim Aufräumen behandelt PHP diese Reste dann fälschlich als gültig. Laut Sansec lässt sich darüber auch Serverspeicher auslesen.
• CVE-2026-109619: Hier geht es um veralteten globalen Zustand rund um Fehler-Backtraces und den OPcache. Kombiniert mit der ersten Lücke ergibt sich eine Kette, die ohne Login zur Codeausführung führt.

Betroffen sind praktisch alle gängigen Server-Setups: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Als besonders heikel gilt mod_php, weil der Angriff dort greift, bevor überhaupt Anwendungscode läuft. Calif hat Angriffe unter anderem gegen WordPress, Drupal, Joomla, MediaWiki, Nextcloud, phpMyAdmin, Roundcube und Magento demonstriert.

Monatelange Vorarbeit, dann ging alles sehr schnell

Geplant war eine koordinierte Offenlegung, doch ein Leak zwang alle Beteiligten zur Eile. Zwischen dem ersten Fund und den Patches lagen gut zehn Wochen, zwischen Leak und Patch keine 24 Stunden. Alle Zeiten nach Sansec, Equixlyund Tenable, UTC; deutsche Zeit liegt zwei Stunden später.

Calif war schon vorher an PHP dran: Im Mai 2026 veröffentlichte die Firma eine Analyse zu einer 21 Jahre alten PHP-Lücke. Laut Cloudflare reicht der verwundbare Code bis PHP 5.4 zurück.

KI als Schwachstellenjäger

PHP2Shell gilt als einer der bislang schwersten Funde, an denen KI maßgeblich beteiligt war. Sowohl Calif als auch Wiz geben an, KI-Modelle bei ihrer Forschung eingesetzt zu haben. Calif und die PHP Foundation nahmen an OpenAIs Programm „Patch the Planet“ teil, das KI-Werkzeuge zum Finden und Beheben von PHP-Fehlern bereitstellte. Wiz sprach von den schwersten bisher per KI entdeckten Lücken, ein OpenAI-Forscher stieß etwa zeitgleich selbst auf das Problem.

Die Kehrseite zeigt sich in der Hektik des Leaks: Wenn KI das Finden erleichtert, wird auch das Nachbauen von Exploits einfacher. Das Zeitfenster zwischen Bekanntwerden und ersten Angriffen schrumpft.

Hoster ziehen den Stecker

Mehrere deutsche Hoster gingen am 21. Oktober lieber vom Netz, als das Risiko bis zum Patch zu tragen. Laut Leserberichten bei Caschys Blog trennte netcup alle potenziell gefährdeten Systeme vorsorglich vom Internet, darunter Webhosting, Managed Server und Webmail. IONOS deaktivierte demnach Nextcloud- und HiDrive-Instanzen, manitu unterband Uploads per Formular. International waren laut The Cyber Express sogar Wikipedia und Behördenseitenzeitweise offline.

Inzwischen sind viele Dienste wieder erreichbar. Leser berichten etwa von IONOS-Seiten, die mit PHP 8.3.36 wieder laufen.

Was Admins jetzt tun sollten

Die einzige verlässliche Abhilfe ist das Update. PHP-Core-Entwicklerin Gina Peter Banyard stellte klar, dass nur Patchen bzw. Upgraden wirklich hilft.

1. PHP-Version prüfen und aktualisieren: Ziel ist 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Distributionen wurden vorab informiert, Pakete sollten über die üblichen Paketmanager kommen.
2. Alte Versionen ersetzen: Für PHP 5 und 7 gibt es keine Patches. Wer darauf noch Dienste betreibt, muss auf einen unterstützten Zweig wechseln oder auf Backports seiner Distribution setzen.
3. Container und Images neu bauen: Docker-Images mit eingebautem PHP, etwa für Nextcloud, brauchen ein aktualisiertes Basis-Image.
4. Bei Hostern nachfragen: Auf Shared Hosting entscheidet der Anbieter über die PHP-Version. Ein Blick ins Kundenmenü oder in die Statusseite schafft Klarheit.
5. Übergangslösungen nur als Notnagel: Calif nennt zwei Teilmaßnahmen, nämlich Session-Upload-Progress abschalten und das Speicherlimit entfernen. Beides ersetzt kein Update, und die genauen Hinweise stehen in der offiziellen PHP-Ankündigung.
6. Logs prüfen: Erste Ausnutzungsversuche gab es offenbar schon vor der Veröffentlichung. Wer verwundbar und öffentlich erreichbar war, sollte nach Auffälligkeiten suchen.

Offene Frage: In Kommentaren kursiert der Hinweis, der Patch lasse sich eventuell umgehen. Bestätigt ist das bislang nicht.

Artikelbild mit Hilfe von KI erstellt.