PHP2Shell

Weil PHP die Grundlage für einen Großteil aller Websites ist, darunter jede WordPress-Seite, mussten Hoster weltweit innerhalb weniger Stunden reagieren. In diesem Beitrag erklären wir, was hinter den Lücken steckt, warum klassische Schutzmaßnahmen hier nicht greifen, wie wir die Websites unserer Kunden geschützt haben und was Sie prüfen sollten, wenn Ihre Website woanders liegt.

Das PHP-Projekt hat am 21. Oktober um 16:00 Uhr (MESZ) außerplanmäßige Sicherheitsupdates veröffentlicht. Sie schließen zwei Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9,2 von 10 Punkten als kritisch eingestuft (php.net). In den Medien kursiert dafür der Name „PHP2Shell“. Beide Fehler stecken im Kern von PHP, der Teil, der jede eingehende Anfrage verarbeitet:

• CVE-2026-109618: Wird während einer Anfrage der Speicher knapp, kann PHP mit halb vorbereiteten internen Daten weiterarbeiten. Ein Angreifer kann das gezielt ausnutzen.
• CVE-2026-109619: Daten einer Anfrage können im Speicher überleben und von einer späteren Anfrage wiederverwendet werden.

Im Ergebnis lässt sich auf dem Server eigener Programmcode ausführen, ohne Login. Ein funktionierender Angriff wurde bereits gezeigt.

Die Websites unserer Kunden waren am 21. Oktober nur 12 Minuten offline und sind seit 16:27 Uhr mit gepatchtem PHP online. So sind wir vorgegangen:

1. Vorbereitung am Nachmittag: Sobald die Warnung bekannt war, haben wir die Server-Verwaltung für fremde Zugriffe gesperrt und den weiteren Ablauf vorbereitet.
2. Abschaltung: Nach dem Sicherheitshinweis von PHP haben wir PHP auf unserem Kundenserver vorsorglich gestoppt. So gab es in der kritischen Phase nichts, was angegriffen werden konnte.
3. Updates um 16:20 Uhr: Die gepatchten PHP-Versionen kamen schneller als erwartet. Wir haben sie sofort eingespielt und alle Dienste neu gestartet.
4. Spurensuche: Wir haben den Server auf veränderte Dateien, neue Hintergrundaufgaben und fremde Prozesse geprüft. Es gab keine Hinweise auf einen Angriff.

E-Mail-Postfächer, Empfang und Versand waren zu keinem Zeitpunkt betroffen.

PHP2Shell zeigt, dass Website-Sicherheit nicht beim aktuellen WordPress und einem Sicherheits-Plugin aufhört. Entscheidend war hier, wie schnell jemand auf dem Server reagiert, Updates einspielt und hinterher prüft, ob alles sauber ist. Genau das übernehmen wir im Rahmen unserer Hosting- und Wartungsverträge. Sie sind unsicher, ob Ihre Website betroffen war, oder möchten Ihren Server in gute Hände geben?