PHP2Shell: PHP-Sicherheitsupdates jetzt verfügbar

Die neuen PHP-Sicherheitsupdates sind da. Am 21. Oktober 2026 hat das PHP-Entwicklerteam gleich vier außerplanmäßige Updates veröffentlicht. Sie schließen zwei kritische Sicherheitslücken, über die Angreifer unter bestimmten Voraussetzungen Schadcode auf Webservern ausführen können. Betroffen sind auch Systeme, auf denen WordPress, Joomla, Drupal oder andere PHP-Anwendungen laufen.

Besonders dringend ist das Update für öffentlich erreichbare Webserver. Die beiden Schwachstellen CVE-2026-109618 und CVE-2026-109619 werden jeweils mit 9,2 von 10 Punkten nach CVSS v4.0 bewertet. Mit PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 stehen jetzt die offiziellen Sicherheitskorrekturen bereit. Wir zeigen Dir, welche Versionen abgesichert sind, wo Du die Updates bekommst und worauf Du bei WordPress und eigenen Servern achten solltest.

PHP2Shell: Vier neue PHP-Sicherheitsupdates schließen kritische Lücken

Das PHP-Sicherheitsteam hatte am 20. Oktober 2026 vor zwei besonders schwerwiegenden Schwachstellen gewarnt. Gleichzeitig kündigten die Entwickler außerplanmäßige Updates für den folgenden Tag an. Diese Sicherheitsupdates wurden inzwischen offiziell veröffentlicht und stehen über die PHP-Webseite zum Download bereit.

Die wichtigste Information für Administratoren ist die genaue Zuordnung der abgesicherten Versionen. Denn eine PHP-Installation, die vor wenigen Wochen noch vollständig aktuell war, enthält möglicherweise weiterhin die beiden kritischen Schwachstellen.

PHP-Versionsreihe	Vorherige Version	Abgesicherte Version
PHP 8.5	8.5.11	8.5.12
PHP 8.4	8.4.26	8.4.27
PHP 8.3	8.3.35	8.3.36
PHP 8.2	8.2.34	8.2.35

Alle vier Versionen schließen die beiden neu bestätigten Sicherheitslücken. Wer noch eine ältere Ausgabe innerhalb eines dieser Versionszweige verwendet, sollte deshalb möglichst kurzfristig aktualisieren. Es ist nicht zwingend erforderlich, gleichzeitig auf eine neue Hauptversion zu wechseln. Beispielsweise kann eine bestehende PHP-8.4-Installation zunächst auf PHP 8.4.27 gebracht werden.

Die ursprüngliche Sicherheitswarnung und den Hintergrund zur Entdeckung findest Du in unserem Beitrag Kritische PHP-Sicherheitslücken im Oktober 2026.

Welche Sicherheitslücken werden durch die PHP-Updates geschlossen?

Bei PHP2Shell handelt es sich nicht um einen einzelnen Fehler in einem WordPress-Plugin. Die Probleme befinden sich in PHP selbst und betreffen den Umgang mit internem Speicher und Zuständen zwischen HTTP-Anfragen.

CVE	Technische Ursache	Schweregrad
CVE-2026-109618	Fehlerhafte Speicherzustände bei Speichermangel	Kritisch, CVSS 9,2
CVE-2026-109619	Weiterverwendung bereits freigegebenen Speichers zwischen Anfragen	Kritisch, CVSS 9,2

CVE-2026-109618: Fehlerhafte Speicherbehandlung ermöglicht Angriffe

Die erste Schwachstelle hängt mit der Behandlung von Speichermangel zusammen. Wenn PHP während der Verarbeitung einer Anfrage keinen ausreichenden Speicher mehr zuweisen kann, wird die Verarbeitung normalerweise abgebrochen. Unter bestimmten Bedingungen bleiben dabei jedoch interne Daten in einem ungültigen Zustand zurück.

Bei der anschließenden Bereinigung kann PHP auf diese fehlerhaften Daten zugreifen. Angreifer können speziell vorbereitete HTTP-Anfragen verwenden, um den problematischen Zustand herbeizuführen. Das PHP-Projekt bestätigt, dass sich dieser Fehler bei Apache mit mod_php zur Ausführung fremden Codes ausnutzen lässt.

Besonders problematisch ist dabei, dass der Angriff bereits während der Verarbeitung einer Anfrage stattfinden kann, bevor der eigentliche Programmcode einer Webseite ausgeführt wird.

CVE-2026-109619: Veraltete interne Speicherzustände werden erneut verwendet

Die zweite Schwachstelle betrifft interne PHP-Daten, die eigentlich nur während einer einzelnen Anfrage gültig sein dürfen. Werden solche Daten nicht ordnungsgemäß zurückgesetzt, kann ein länger laufender PHP-Prozess später auf Speicher zugreifen, der bereits freigegeben wurde.

Dieses Verhalten wird als Use-after-free bezeichnet. Auch dadurch können schwerwiegende Speicherfehler entstehen. Die technischen Sicherheitshinweise beschreiben mehrere mögliche Angriffswege, unter anderem im Zusammenhang mit der Verarbeitung von Sitzungsinformationen, Datei-Uploads und Fehlerzuständen.

Beide Schwachstellen können letztlich zur Remote Code Execution führen. Das bedeutet, dass ein Angreifer Code auf dem betroffenen Webserver ausführen kann. Die Ausführung erfolgt dabei zunächst mit den Berechtigungen des betroffenen PHP-Prozesses. Welche weiteren Schäden möglich sind, hängt von der Serverkonfiguration und den vorhandenen Zugriffsrechten ab.

Welche Webserver und PHP-Anwendungen sind betroffen?

Grundsätzlich müssen sämtliche Server überprüft werden, die eine verwundbare PHP-Version zur Bearbeitung von Webanfragen einsetzen. Das betrifft nicht nur klassische Linux-Webserver, sondern auch PHP-Installationen unter Windows Server.

Serverumgebung	Einschätzung
Apache mit mod_php	Besonders kritisch, eine Ausnutzung ohne vorherige Anmeldung wurde bestätigt
Nginx oder Apache mit PHP-FPM	Betroffen, konkrete Angriffswege hängen teilweise von Anwendung und Konfiguration ab
PHP über CGI beziehungsweise FastCGI	Überprüfung und Update erforderlich
FrankenPHP und LiteSpeed	Vom PHP-Sicherheitsteam ebenfalls ausdrücklich berücksichtigt
Windows Server mit IIS und PHP	Installierte PHP-Laufzeit und eingesetzte Windows-Pakete überprüfen

Bei Apache mit mod_php ist die Risikolage besonders ernst. Das PHP-Projekt beschreibt einen nachgewiesenen Angriffsweg, bei dem eine nicht angemeldete Person über HTTP die Codeausführung erreichen kann. Für PHP-FPM sind ebenfalls gefährliche Wege beschrieben, allerdings sind dort teilweise zusätzliche Bedingungen erforderlich.

Auch unter Windows Server kann PHP für Webanwendungen eingesetzt werden. Welche Besonderheiten dabei entstehen, erklären wir in unserem Artikel WordPress auf dem Windows Server betreiben.

Was bedeutet PHP2Shell für WordPress-Webseiten?

WordPress ist besonders relevant, weil das Content-Management-System PHP auf dem Webserver verwendet. Dazu gehören die Verarbeitung von Seitenaufrufen, Formularen, Anmeldungen und zahlreiche Funktionen von Plugins und Themes.

Die aktuelle Sicherheitswarnung bedeutet allerdings nicht, dass jede WordPress-Webseite bereits gehackt wurde. Entscheidend sind die tatsächlich eingesetzte PHP-Version, die Webserver-Konfiguration und die Erreichbarkeit möglicher Angriffswege.

Ein normales WordPress-Update behebt diese beiden Schwachstellen nicht. Auch die Aktualisierung sämtlicher Plugins und Themes reicht nicht aus, wenn die zugrunde liegende PHP-Laufzeit verwundbar bleibt.

Schritt für Schritt: PHP-Version in WordPress überprüfen

1. Du kannst Dich zunächst wie gewohnt im Administrationsbereich Deiner WordPress-Webseite anmelden.
2. Im linken Menü findest Du unter Werkzeuge den Eintrag Website-Zustand.
3. Wechsle dort zum Bereich Bericht beziehungsweise Info.
4. Im Abschnitt Server wird die aktuell für WordPress verwendete PHP-Version angezeigt.
5. Vergleiche die angezeigte Version mit der Tabelle der veröffentlichten Sicherheitsupdates.
6. Falls eine ältere PHP-Version verwendet wird, kannst Du im Kundenbereich Deines Hosting-Anbieters nach verfügbaren PHP-Updates suchen oder den Support kontaktieren.

Vor einem Wechsel empfiehlt sich ein vollständiges Backup aus WordPress-Dateien und Datenbank. Wie eine solche Sicherung eingerichtet werden kann, zeigen wir unter Automatisierte WordPress-Backups unter Windows erstellen.

Nach dem PHP-Update solltest Du wichtige Seitenfunktionen ausprobieren. Dazu gehören das WordPress-Backend, Formulare, die Mediathek, eingesetzte Plugins und gegebenenfalls der Bestellablauf eines Onlineshops. Auf diese Weise lassen sich mögliche Kompatibilitätsprobleme frühzeitig erkennen.

PHP-Sicherheitsupdates herunterladen: Alle offiziellen Downloads

Die neuen PHP-Versionen können direkt über die offizielle PHP-Webseite bezogen werden. Für selbst verwaltete Linux-Server sind normalerweise die Paketquellen des jeweiligen Betriebssystems oder des eingesetzten PHP-Anbieters der richtige Weg. PHP stellt daneben die offiziellen Quellcodepakete und Windows-Binärdateien bereit.

PHP auf Linux- und Windows-Servern aktualisieren

Bei einem selbst verwalteten Webserver reicht es nicht aus, lediglich ein neues PHP-Paket herunterzuladen. Entscheidend ist, dass die tatsächlich verwendete Laufzeit ersetzt wird und anschließend keine alten PHP-Prozesse mehr aktiv sind.

PHP unter Linux aktualisieren

Auf Debian oder Ubuntu lässt sich zunächst über den Paketmanager überprüfen, welche Aktualisierungen angeboten werden. Eine mögliche Vorgehensweise besteht aus folgenden Befehlen:

sudo apt update
sudo apt upgrade

Bei RHEL-basierten Distributionen kann die Aktualisierung über DNF erfolgen:

sudo dnf upgrade

Welche PHP-Version anschließend installiert wird, hängt von der verwendeten Distribution und den eingebundenen Paketquellen ab. Bei produktiven Servern solltest Du vor der Aktualisierung die vorgesehenen Paketänderungen und mögliche Abhängigkeiten überprüfen.

Nach der Installation müssen betroffene PHP-FPM-Dienste oder Apache-Prozesse neu gestartet beziehungsweise vollständig neu geladen werden. Die genauen Dienstnamen richten sich nach der Installation. Bei PHP-FPM könnte beispielsweise ein Dienst wie php8.4-fpm vorhanden sein.

Das PHP-Sicherheitsteam weist darauf hin, dass Linux-Distributoren und Langzeit-Supportanbieter die Korrekturen vorab erhalten haben. Dadurch können abgesicherte Pakete bereits in deren Repositories verfügbar sein, obwohl die angezeigte PHP-Versionsnummer vom offiziellen PHP-Release abweicht.

PHP unter Windows Server und IIS aktualisieren

Auf Windows Server wird PHP häufig über FastCGI in den Internet Information Services eingebunden. In diesem Fall ist normalerweise die Non Thread Safe Variante von PHP vorgesehen. Die passenden Windows-Pakete stellt das PHP-Projekt auf seiner offiziellen Downloadseite bereit.

Vor einem Austausch der PHP-Laufzeit sollten Administratoren überprüfen, welche php-cgi.exe tatsächlich in der FastCGI-Konfiguration hinterlegt ist. Anschließend können die passenden Binärdateien nach dem vorgesehenen Updateverfahren eingespielt und die betroffenen IIS-Anwendungspools neu gestartet werden.

Bei Windows Server ist zusätzlich wichtig, zwischen Betriebssystemupdates und PHP-Updates zu unterscheiden. Ein installiertes Windows-Sicherheitsupdate ersetzt nicht automatisch die PHP-Laufzeit. Mehr Informationen zur allgemeinen Serveraktualisierung findest Du in unserem Überblick der Windows Server Sicherheitsupdates vom Oktober 2026.

Installierte PHP-Version nach dem Update überprüfen

Über die Konsole kannst Du mit folgendem Befehl die PHP-Version anzeigen:

php -v

Allerdings zeigt dieser Befehl die Version der PHP-Kommandozeile an. Bei mehreren parallel installierten PHP-Versionen muss sie nicht mit der Version übereinstimmen, die Apache, Nginx oder IIS für die Webseite verwendet.

Deshalb sollte zusätzlich die serverseitig verwendete PHP-Version überprüft werden. Bei WordPress eignet sich dafür der Website-Zustand. Administratoren können außerdem die tatsächlich geladenen PHP-FPM-Prozesse, Paketversionen und Serverkonfigurationen kontrollieren. Erst wenn sämtliche betroffenen Instanzen abgesichert sind, gilt die Aktualisierung als abgeschlossen.

PHP 8.1 und ältere Versionen: Gibt es noch Sicherheitsupdates?

Für PHP 8.1 und ältere Versionsreihen veröffentlicht das PHP-Projekt keine regulären neuen Sicherheitsversionen mehr. Das bedeutet aber nicht automatisch, dass jede ältere Installation unverändert bleiben muss.

Einige Linux-Distributoren, Hosting-Anbieter und Unternehmen mit langfristigem PHP-Support stellen sogenannte Backports bereit. Dabei werden einzelne Sicherheitskorrekturen auf ältere Softwareversionen übertragen. Die angezeigte Versionsnummer kann deshalb gleich bleiben, obwohl der Anbieter die beiden Schwachstellen bereits behoben hat.

Das PHP-Sicherheitsteam hat wegen der außergewöhnlichen Schwere zudem minimale Quellcodekorrekturen für PHP 7.4, 8.0 und 8.1 bereitgestellt. Diese richten sich insbesondere an Anbieter und Administratoren, die PHP selbst kompilieren. Sie ersetzen allerdings keine regulär unterstützte PHP-Version.

Wer PHP 8.1 oder eine noch ältere Ausgabe betreibt, sollte deshalb mit dem Hosting-Anbieter klären, ob ein passender Sicherheitspatch verfügbar ist. Langfristig ist der Wechsel auf einen unterstützten Versionszweig sinnvoll. Auch PHP 8.2 erreicht nach dem aktuellen Supportplan bereits am 31. Dezember 2026 das Ende der offiziellen Sicherheitsunterstützung.

Was tun, wenn das PHP-Sicherheitsupdate noch nicht verfügbar ist?

Nicht bei jedem Hoster werden die neuen PHP-Pakete unmittelbar nach der Veröffentlichung zur Auswahl stehen. Das PHP-Sicherheitsteam beschreibt deshalb mehrere vorübergehende Möglichkeiten zur Risikoreduzierung. Keine davon ist jedoch ein vollständiger Ersatz für das Sicherheitsupdate.

Session Upload Progress vorübergehend deaktivieren

Für bestimmte Angriffswege im Zusammenhang mit CVE-2026-109619 kann die PHP-Einstellung session.upload_progress.enabled deaktiviert werden:

session.upload_progress.enabled = 0

Diese Änderung sollte über die zentrale PHP-Konfiguration oder die passende Server- beziehungsweise PHP-FPM-Pool-Konfiguration vorgenommen werden. Danach ist ein Neustart aller betroffenen PHP-Worker erforderlich.

Wichtig: Das PHP-Projekt warnt ausdrücklich davor, sich bei PHP-FPM auf ini_set() oder eine .user.ini-Datei zu verlassen. Die entsprechende Verarbeitung kann bereits vor dem Zeitpunkt stattfinden, an dem diese Einstellungen berücksichtigt werden.

Außerdem beseitigt die Deaktivierung nur bestimmte bekannte Angriffsmöglichkeiten. Andere Wege bleiben weiterhin möglich.

HTTP-Anfragen und Speicherverbrauch begrenzen

Zusätzlich empfiehlt PHP, die Größe eingehender HTTP-Anfragen sinnvoll zu begrenzen. Dazu gehört eine angemessene Einstellung für post_max_size sowie die Begrenzung von Uploads, Formularfeldern und Multipart-Anfragen am Webserver oder vorgeschalteten Proxy.

Die offiziellen Sicherheitshinweise nennen auch memory_limit=-1 als besondere Übergangsmaßnahme für CVE-2026-109618. Sie muss allerdings administrativ erzwungen und mit einer passenden Begrenzung des gesamten Server- beziehungsweise Container-Speichers kombiniert werden. Durch das Aufheben der PHP-Speichergrenze entstehen sonst zusätzliche Stabilitätsrisiken. Für normale WordPress-Anwender ist das keine Einstellung, die ohne genaue Prüfung geändert werden sollte.

Eine Web Application Firewall kann verdächtige Anfragen zusätzlich filtern. Sie verhindert jedoch nicht zuverlässig alle denkbaren Varianten der beiden Schwachstellen.

Öffentlich erreichbare Systeme bei Bedarf vorübergehend abschotten

Wenn für einen besonders gefährdeten Server kein Sicherheitspatch und keine ausreichend wirksame Schutzmaßnahme verfügbar ist, kann eine vorübergehende Einschränkung des Zugriffs sinnvoll sein. Beispielsweise lassen sich interne Verwaltungsanwendungen auf VPN-Zugriffe begrenzen.

Bei geschäftskritischen öffentlich erreichbaren Anwendungen muss diese Entscheidung sorgfältig getroffen werden. Der mögliche Ausfall einer Webseite ist unangenehm, eine erfolgreiche Kompromittierung des Webservers kann jedoch erheblich schwerwiegendere Folgen haben.

Wurde PHP2Shell bereits aktiv von Angreifern ausgenutzt?

Schon vor der Veröffentlichung der Patches gab es öffentliche Hinweise auf mögliche Exploit-Versuche. Cloudflare berichtete über erste Anzeichen entsprechender Angriffsaktivität. Daraus lässt sich allerdings nicht ableiten, dass jede verwundbare Webseite angegriffen wurde oder bereits kompromittiert ist.

Administratoren sollten dennoch nicht ausschließlich auf erkennbare Auffälligkeiten warten. Gerade bei einer möglichen Ausführung von Schadcode können Angreifer versuchen, Zugriffe und Veränderungen zu verbergen.

Bei einem begründeten Verdacht empfiehlt sich eine Untersuchung von Webserver-Logs, PHP-Fehlerprotokollen, ungewöhnlichen Dateiveränderungen und verdächtigen Prozessen. Neue PHP-Dateien an unerwarteten Speicherorten oder unbekannte administrative Konten können zusätzliche Hinweise liefern. Allerdings ist keines dieser Merkmale allein ein sicherer Beweis für einen erfolgreichen PHP2Shell-Angriff.

Wurde ein Server bereits übernommen, reicht die Installation des PHP-Updates allein möglicherweise nicht aus. Dann müssen auch mögliche Schadprogramme, manipulierte Dateien, Zugangsdaten und weitere Auswirkungen untersucht werden. Weitere Hintergründe bieten unsere Beiträge WordPress gehackt: Ursachen und Schutzmaßnahmen und Was ist Malware?.

Aus der Administratorpraxis: Diese Fehler solltest Du beim PHP-Update vermeiden

Bei Sicherheitsupdates ist nicht nur die Installation entscheidend, sondern auch die anschließende Überprüfung. In komplexeren Webserver-Umgebungen können mehrere PHP-Versionen nebeneinander existieren. Häufig wird dabei die Kommandozeilenversion aktualisiert, während die eigentliche Webseite weiterhin über eine ältere PHP-FPM-Instanz läuft.

Ein weiterer Stolperstein sind alte Prozesse, die nach einem Paketaustausch noch nicht neu gestartet wurden. Auch getrennte Pools für verschiedene Webseiten, Container und zusätzliche Webserver müssen berücksichtigt werden.

Unsere Empfehlung ist deshalb, nach dem Update eine kurze Funktionskontrolle durchzuführen. Dazu gehören ein Test der wichtigsten Webseiten, ein Blick in die Fehlerprotokolle und die Überprüfung der tatsächlich eingesetzten PHP-Versionen.

Wenn eine Webseite nach einer Aktualisierung nicht mehr funktioniert, können neben PHP auch nicht kompatible Plugins oder Erweiterungen die Ursache sein. Unser Beitrag Domain nicht erreichbar: Ursachen und Lösungen beschreibt weitere typische Fehlerquellen.

Unsere Einschätzung: Das PHP-Sicherheitsupdate sollte höchste Priorität haben

Die beiden PHP-Sicherheitslücken zählen aufgrund ihrer möglichen Auswirkungen zu den besonders ernst zu nehmenden Sicherheitsproblemen für Webserver im Oktober 2026. Die bestätigte Ausnutzbarkeit ohne Anmeldung bei Apache mit mod_php macht deutlich, weshalb die Entwickler außerplanmäßige Patches bereitgestellt haben.

Für WordPress-Betreiber bedeutet das vor allem, dass die PHP-Version auf dem Webserver überprüft werden muss. Wer einen eigenen Server betreibt, sollte außerdem alle PHP-Instanzen und laufenden Prozesse berücksichtigen. Bei älteren PHP-Versionen sind verlässliche Aussagen des jeweiligen Herstellers oder Hosting-Anbieters erforderlich.

Mit PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 stehen jetzt offizielle korrigierte Versionen zur Verfügung. Wer zeitnah aktualisiert und anschließend die tatsächlich verwendete Laufzeit überprüft, kann die beiden kritischen Schwachstellen zuverlässig schließen.

FAQ: Häufige Fragen zu den neuen PHP-Sicherheitsupdates