PHP2Shell: Kritische RCE-Lücken mit CVSS 9.2

Die PHP-Entwickler veröffentlichen heute um 14:00 UTC einen außerplanmäßigen Sicherheitspatch, um zwei kritische Remote-Code-Execution-Schwachstellen zu beheben. Die Lücken sind als CVE-2026-109618 und CVE-2026-109619 katalogisiert und erhalten beide die maximale Kritikalitätsbewertung von 9,2 auf der CVSS-v4.0-Skala. Laut Help Net Security wird das PHP-Team das Update heute Mittag freigeben, nachdem die Sicherheitslücken bereits vor der offiziellen Veröffentlichung in Leak-Form zirkulieren.

Die genauen technischen Details der Verwundbarkeiten werden bis zur Veröffentlichung um 16:00 UTC durch Heise Security bekannt gegeben, doch schon jetzt ist klar: Es geht um Codeeinschleusung, die ohne Authentifizierung exploitbar ist. SecurityWeek spricht von einer drohenden Massenutzung dieser Lücken durch Angreifer, da die Flaws bereits in öffentliche Repositories durchgesickert sind. The Hacker News bestätigt, dass die beiden PHP-Schwachstellen nicht vollständig blockierbar sind, bevor das Patch-Update vorliegt – ein Umstand, der die Brisanz zusätzlich unterstreicht. Die Tatsache, dass bereits zirkulierende Umgehungsmaßnahmen nicht ausreichen, signalisiert die Schwere der Situation für produktive Umgebungen weltweit.

Warum für DACH relevant

Im deutschsprachigen Raum ist die Situation besonders brisant, weil PHP auf etwa 77 Prozent aller Webseiten mit bekanntem Server-Seitenskript läuft – und der Mittelstand in Deutschland und Österreich massiv auf Open-Source-Lösungen mit PHP-Kern setzt. CMS wie WordPress, Drupal und Magento sind in DACH-Unternehmen weit verbreitet. Eine kritische PHP-Lücke mit CVSS 9.2 tangiert daher direkt die Infrastruktur tausender Klein- und Mittelbetriebe.

Unter DSGVO-Gesichtspunkten ist die Lage klar: Ein erfolgreicher RCE-Angriff über PHP2Shell könnte zum Datenabfluss von Kundendaten, Zahlungsinformationen oder Geschäftsgeheimnissen führen. Das löst Meldepflichten aus, die unter Artikel 33 DSGVO stehen – und damit Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes. Besonders kritisch: Admins und DevOps-Teams müssen zwischen sofortigem Handeln und Systemstabilität abwägen. Laut Heise wird es ein technisches Risiko-Assessment brauchen, ob der Patch sofort eingespielt werden kann oder ob Testphasen nötig sind. Diese Gratwanderung ist typisch für den DACH-Raum, wo Compliance und verfügbare IT-Ressourcen oft begrenzt sind.

Die österreichische und Schweizer Datenschutzbehörde werden diese Lücke beobachten – ähnlich wie beim Log4Shell-Vorfall 2021. Unternehmen, die PHP-Systeme betreiben und nicht zeitnah patchen, geraten schnell unter Schadensersatz-Verdacht, falls ein Breach dokumentiert ist. Im EU-AI-Act-Kontext ist auch relevant: Automatisierte Angriffs-Tools auf Basis von KI-gestützten Exploits könnten diese RCE-Lücken schneller flächendeckend nutzen, als manuelle Tests es tun.

Was du jetzt tun solltest

Das wichtigste Gebot lautet: Einen Patch-Prozess starten, nicht sofort blind einspielen. Nach 14:00 UTC heute veröffentlicht PHP das Update – danach beginnt die kritischste Phase. Für DACH-Organisationen empfiehlt sich folgendes Vorgehen: Zunächst eine Bestandsaufnahme aller PHP-Versionen durchführen (mit Tools wie php -v oder Versionserkennung auf Webserver-Ebene). Parallel dazu sollte das Sicherheits-Team die Release Notes studieren und in einer Test- oder Staging-Umgebung validieren, ob das Patch-Bundle Kompatibilitätsprobleme mit laufenden Extensions oder Anwendungen erzeugt. Für den Produktivbetrieb ist dann eine gestaffelte Rollout-Strategie sinnvoll: Erst nicht-kritische Systeme, danach die zentralen Services. Die Blockierung von bekannten Exploit-Signaturen auf WAF- oder IDS-Ebene kann als Zweitmaßnahme greifen, reicht aber laut The Hacker News nicht aus.

Daneben ist Monitoring entscheidend: Logs auf verdächtige POST-Requests oder Datei-Upload-Anomalien prüfen, um festzustellen, ob bereits Exploitations-Versuche stattgefunden haben. Für DACH-Organisationen mit strengeren Audit-Anforderungen ist es sinnvoll, den Patchprozess zu dokumentieren – also Zeitstempel der Patching-Aktion, betroffene Systeme und Pre/Post-Update-Checksummen zu erfassen. Das ist keine IT-Spielerei, sondern in Compliance-Audits als Nachweis der Sorgfalt entscheidend.

Mehr zum Thema Sicherheitsforschung rund um KI-basierte Exploitations-Techniken findest du in unserem KI-Pentesting-Magazin. Weitere aktuelle RCE-Lücken und deren Auswirkungen haben wir im Artikel über KI-Agenten außer Kontrolle: Anthropic stoppt Live-Internet-Tests behandelt.

Quellen

• The Hacker News: PHP2Shell: What Actually Protects You Before the 14:00 UTC PHP RCE Patch
• SecurityWeek: PHP2Shell: Mass Exploitation Looms for Leaked Critical PHP Flaws
• Heise Security: Wichtige PHP-Updates am 21. Oktober beheben Codeeinschleusung-Schwachstellen
• Help Net Security: A critical PHP security release is coming today, so get ready to update!
• The Hacker News: PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert