PHP2Shell und die kritischen Sicherheitslücken der Woche: So patchen Sie Ihre Server (Oktober 2026)

Diese Woche brachte einen der schwerwiegendsten PHP-Sicherheitsvorfälle seit Jahren. Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Notfall-Releases für zwei kritische Remote-Code-Execution-Lücken mit dem Spitznamen PHP2Shell, nachdem Details einen Tag zu früh durchgesickert waren und Angreifer innerhalb weniger Stunden begannen, Server abzutasten. Gleichzeitig sorgten Microsofts rekordverdächtiger Oktober-Patchday und neue Einträge im CISA-KEV-Katalog für zusätzlichen Druck auf IT-Teams.

Dieser Leitfaden fasst zusammen, was passiert ist, welche Systeme betroffen sind und wie Sie konkret patchen oder Risiken mindern, damit Sie die nächsten 24 bis 72 Stunden richtig priorisieren.

Das Wichtigste in Kürze

• PHP jetzt aktualisieren: Die gepatchten Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Laut PHP ist das Update die einzige vollständige Lösung.
• Höchstes Risiko: Apache mod_php, wo ein Exploit greifen kann, bevor Ihr Anwendungscode läuft. PHP-FPM, php-cgi, FrankenPHP und LiteSpeed sind unter bestimmten Bedingungen ebenfalls betroffen.
• Angriffsversuche laufen bereits: Cloudflare und watchTowr meldeten am 21. Oktober aktive Exploit-Versuche.
• Altes PHP (8.1, 8.0, 7.4) erhält keinen regulären Fix: Nutzen Sie einen gepatchten Build Ihrer Distribution oder Ihres Anbieters, den Quellcode-Backport oder führen Sie ein Upgrade durch.
• Diese Woche ebenfalls patchen: die Windows-Shell-Zero-Day-Lücke CVE-2026-96951 sowie KEV-gelistete Lücken bei Ivanti, Palo Alto PAN-OS, Fortinet, Cisco, BeyondTrust und Atlassian.

Was ist PHP2Shell?

PHP2Shell bezeichnet zwei Schwachstellen in der PHP-Laufzeitumgebung selbst, nicht in einem bestimmten Framework oder CMS. WordPress, WooCommerce, Magento, Laravel und individuelle PHP-Websites können also betroffen sein, wenn der Server einen verwundbaren PHP-Build nutzt. PHP bewertet beide mit 9.2 nach CVSS v4.0; gemeldet wurden sie von Forschern von Wiz, Calif und OpenAI.

• CVE-2026-109618 (Speicherkorruption bei Out-of-Memory): Ein Out-of-Memory-Fehler unterbricht eine Anfrage und hinterlässt teilweise initialisierte Daten. Der Aufräumcode verarbeitet diesen ungültigen Zustand und öffnet so einen Weg zur Remote Code Execution.
• CVE-2026-109619 (veralteter globaler Zustand / Use-after-free): PHP behält Referenzen auf Anfragedaten, nachdem der Speicher freigegeben wurde; eine spätere Anfrage im selben Worker kann sie wiederverwenden. Die Forscher demonstrierten Codeausführung über die Funktion Session Upload Progress.
• Speicherabfluss: Zudem ließ sich Speicher von PHP-Workern ohne Authentifizierung auslesen, wodurch Passwörter, Session-Tokens und API-Schlüssel offengelegt werden können.

Betroffene und gepatchte PHP-Versionen

Linux-Distributionen portieren Fixes häufig zurück, ohne die Versionsnummer zu ändern. Prüfen Sie unter Ubuntu, Debian, Red Hat, Alpine und anderen das Paket-Changelog oder das Hersteller-Advisory auf die beiden CVE-IDs, statt sich auf die Versionsangabe zu verlassen.

PHP2Shell patchen: Schritt für Schritt

1. Alle PHP-Laufzeiten inventarisieren. Dazu gehören Webserver, Container, CI-Images und Zweitinstallationen. Beachten Sie, dass php -v auf der Kommandozeile nicht unbedingt die Binary ist, die Webanfragen bedient; prüfen Sie auch phpinfo() oder Ihren FPM-Pool.
2. Auf das gepatchte Release aktualisieren. Beispiel für Ubuntu oder Debian: sudo apt update && sudo apt install --only-upgrade php8.3 php8.3-fpm. Auf RHEL-basierten Systemen dnf update php* verwenden. Bei Docker auf Basis des neuesten offiziellen php-Image-Tags neu bauen und erneut ausrollen.
3. Alle PHP-Prozesse neu starten. Starten Sie PHP-FPM, Apache (bei mod_php), LiteSpeed oder FrankenPHP neu, damit kein alter Worker verwundbaren Code ausführt.
4. Verifizieren. Stellen Sie sicher, dass sowohl das installierte Paket als auch die laufenden Worker den gepatchten Build melden.
5. Speichereinstellungen nach dem Patch prüfen. Der Fix führt ein strengeres Speicherlimit ein, das lange Skripte und Shutdown-Handler stoppen kann. Testen Sie daher aufwendige Jobs wie Importe und Reports.
6. Zugangsdaten rotieren, falls Sie exponiert waren. Lief ein verwundbarer Build öffentlich erreichbar, sollten Sie wegen des Speicherabfluss-Risikos Datenbankpasswörter, API-Schlüssel und Session-Secrets erneuern.

Übergangslösungen, wenn Sie heute nicht patchen können

Diese Maßnahmen senken das Risiko, beheben die Lücken aber nicht vollständig. Nutzen Sie sie nur als Brücke bis zum regulären Update.

• Für CVE-2026-109619: session.upload_progress.enabled=0 in der php.ini oder der FPM-Pool-Konfiguration setzen und die Worker neu starten. Nicht auf ini_set() oder .user.ini verlassen. Unter PHP 8.5 zusätzlich fatal_error_backtraces=0 setzen.
• Für CVE-2026-109618: post_max_size=8M setzen (oder 32M, wenn Uploads nötig sind), upload_max_filesize darunter halten, Größenlimits für Anfragen in Nginx, Apache oder der WAF erzwingen und Multipart-Anfragen blockieren, die Ihre Anwendung nicht nutzt.
• Speicherlimits: Container- oder cgroup-Limits statt RLIMIT_AS oder RLIMIT_DATA verwenden.
• Für PHP-FPM: Wenn die Performance es zulässt, pm.max_requests=1 erwägen, damit jeder Worker nur eine Anfrage verarbeitet.
• Angriffsfläche reduzieren: Admin-Bereiche und Staging-Seiten hinter VPN oder IP-Allowlist legen und WAF- bzw. CDN-Regeln für PHP2Shell aktivieren.

Anzeichen, dass Ihr Server ins Visier genommen wurde

• Ungewöhnliche Multipart-POST-Anfragen, gefolgt von Memory-Limit-Fehlern in den Logs
• Gehäufte HTTP-500-Antworten
• Übergroße PHPSESSID-Cookies
• Unerklärliche Abstürze oder Neustarts von PHP-Workern
• Neue oder veränderte PHP-Dateien in Upload- oder Cache-Ordnern

Weitere kritische Sicherheitslücken dieser Woche

PHP war nicht das einzige dringende Thema. Microsofts Patchday im Oktober 2026 (13. Oktober) schloss rund 1.411 Lücken, darunter 70 kritische und drei Zero-Days. Außerdem nahm die CISA zwischen dem 13. und 16. Oktober mehrere aktiv ausgenutzte Schwachstellen in ihren Known-Exploited-Vulnerabilities-Katalog (KEV) auf.

Priorisieren Sie bei all diesen Lücken aus dem Internet erreichbare Systeme wie VPN-Gateways, Firewalls, Fernwartungstools und Mail-Gateways. Spielen Sie den Hersteller-Patch ein, prüfen Sie die installierte Version und beschränken Sie Verwaltungsoberflächen auf vertrauenswürdige Netze oder deaktivieren Sie die betroffene Funktion, falls Sie nicht sofort patchen können.

Hinweis für Nutzer von Windows 10 und 11

Das Oktober-Update 2026 ist das letzte Sicherheitsupdate für Windows 11 24H2 Home und Pro sowie Windows 10 Enterprise LTSB 2016. Planen Sie Upgrades für Rechner, die noch diese Versionen nutzen.

Wie OneXT Digital Sie unterstützt

Viele Unternehmen betreiben Dutzende PHP-Websites über verschiedene Hoster, Versionen und Plugins hinweg, was Notfall-Patches langsam und riskant macht. Das Team von OneXT Digital prüft Ihren PHP-, WordPress-, WooCommerce- und Magento-Stack, spielt PHP2Shell-Patches oder Übergangs-Härtungen ein, testet Ihre Website nach dem Update und richtet eine laufende Wartung ein, damit die nächste kritische CVE in Stunden statt Wochen erledigt ist. Kontaktieren Sie uns für einen kostenlosen Sicherheitscheck Ihrer Website.

Quellen

• Qualys: PHP2Shell security release analysis
• The Hacker News: PHP issues emergency patches for PHP2Shell
• CISA: Critical vulnerabilities in PHP require immediate patching
• BleepingComputer: Microsoft October 2026 Patch Tuesday