PHP2Shell: Kritische Lücke in PHP, Webserver jetzt aktualisieren
Im Oktober wurden zwei schwere Sicherheitslücken in PHP bekannt, zusammengefasst unter dem Namen „PHP2Shell“. Das BSI hat dazu eine Warnung der Stufe 3 (Orange) veröffentlicht. Betroffen sind Websites und Webanwendungen, die mit PHP laufen, zum Beispiel viele WordPress-Seiten.
Worum geht es?
Die Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und werden mit 9,2 von 10 Punkten bewertet. Über speziell präparierte Anfragen können Angreifer ohne Anmeldung Schadcode auf dem Server ausführen. Laut Berichten lassen sich außerdem Daten aus dem Speicher auslesen, etwa Passwörter, API-Schlüssel oder Sitzungsdaten.
Nach den bisherigen Meldungen können praktisch alle PHP-Installationen betroffen sein, die Anfragen aus dem Internet annehmen. Als besonders gefährdet gilt Apache mit mod_php. Mehrere Behörden und Organisationen in Europa haben Webdienste vorsorglich vom Netz genommen.
Welche Versionen schützen?
Die PHP-Entwickler haben korrigierte Versionen veröffentlicht:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Für die älteren Zweige 7.4, 8.0 und 8.1 gibt es nach Berichten zurückportierte Korrekturen, je nach Linux-Distribution oder Hoster. Wer noch ältere PHP-Versionen betreibt, sollte dringend auf eine unterstützte Version umsteigen.
Was Sie jetzt tun sollten
- PHP auf allen Webservern auf eine der oben genannten Versionen aktualisieren, auch auf Test- und Entwicklungssystemen.
- Docker-Images mit PHP neu bauen, damit die Korrektur auch dort ankommt.
- Wenn ein Update nicht sofort möglich ist: den Server vorübergehend vom Internet trennen oder den Zugriff stark einschränken. Eine Web Application Firewall allein schützt laut Berichten nicht vollständig.
- Logdateien prüfen: viele HTTP-500-Fehler, ungewöhnlich große Session-Cookies, unbekannte Prozesse oder geänderte Dateien können auf einen Angriff hindeuten.
- Bei Websites beim Hoster nachfragen, ob die korrigierte PHP-Version bereits eingespielt ist.
Odoo ist in Python geschrieben und von dieser Lücke nicht direkt betroffen. Läuft auf demselben Server aber eine PHP-Anwendung, gilt die Warnung auch dort.
Sie sind unsicher, ob Ihre Website betroffen ist? Wir prüfen Ihre Server und Websites und spielen die Updates ein.
Prüfung anfragen