PHP2Shell: Kritische RCE-Lücken treffen 20 Jahre PHP-Versionen
Zwei kritische PHP-Sicherheitslücken (CVE-2026-109618, CVE-2026-109619) ermöglichen Remote Code Execution. Angreifer begannen Exploits vier Tage vor Patch-Release. Alle PHP-Versionen seit 20 Jahren betroffen.
Was passiert
Zwei kritische Sicherheitslücken in PHP ermöglichen es Angreifern, Code auf Webservern ohne Authentifizierung auszuführen. Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 betreffen alle PHP-Versionen der letzten 20 Jahre, wie Heise Security meldet. Mit dem Begriff „PHP2Shell" beschreibt die Sicherheitscommunity diese Lücken, die eine direkte Remote Code Execution (RCE) auf betroffenen Systemen ermöglichen.
Der Zeitplan der Offenlegung zeigt ein hohes Risiko: Laut Amazon's Threat Intelligence Team wurden bereits am 17. Oktober 2026 erste Exploitversuche gegen das MadPot Honeypot System beobachtet — vier Tage bevor die Sicherheitslücken offiziell bekannt gemacht wurden. Dies deutet darauf hin, dass Informationen zu den Schwachstellen vor der öffentlichen Disclosure im Umlauf waren. Nachdem die Patches dann freigegeben wurden, begann sofort eine Welle von Exploitversuchen: The Hacker News berichtet von Millionen Angriffsversuchen, bei denen Threat Actors versuchen, infizierte Systeme in das Botnet „Potassium" (eine Mirai-Variante) zu integrieren.
Trotz der massiven Exploitaktivität gibt es derzeit keine dokumentierten erfolgreichen Durchbrüche. Heise Security konstatiert, dass bislang erfolgreiche Exploits nicht belegt sind. Zeitgleich haben Distributoren reagiert: Verschiedene Linux-Distributionen liefern bereits aktualisierte PHP-Pakete, Sicherheitsfirmen haben ihre Detection-Signaturen aktualisiert, und Palo Alto Networks bestätigt, dass sämtliche Versionen von PAN-OS und Panorama ebenfalls von PHP2Shell betroffen sind. SecurityWeek dokumentiert, dass Regierungen und Behörden zur sofortigen Aktualisierung aufrufen.
Die Exploits unterscheiden sich in ihrer Zielrichtung: Während einige Angreifer versuchen, Systeme in Botnets einzubinden, nutzen andere die Lücken möglicherweise zur initialen Intrusion und zum Zugriff auf dahinterliegende Infrastruktur.
Warum für DACH relevant
Im deutschsprachigen Raum hat PHP2Shell unmittelbare Auswirkungen auf Hosting-Provider, E-Commerce-Unternehmen und Behörden — PHP läuft auf geschätzten 77 Prozent aller Websites weltweit. In Deutschland, Österreich und der Schweiz führte die Offenlegung bereits zu präventiven Abschaltungen: Diverse Webseiten wurden weltweit offline genommen, wie Computerwoche dokumentiert. Das trifft besonders Mittelständler hart, die ihre Systeme selbst verwalten oder von kleineren Hosting-Partnern abhängen.
Aus DSGVO-Perspektive ist die Lage kritisch: Eine unkontrollierte Remote Code Execution auf Produktionssystemen gefährdet unmittelbar personenbezogene Daten. Unternehmen, die PHP-basierte Systeme betreiben (Wordpress, Magento, Symfony-Anwendungen), müssen ihre Sicherheitsmeldepflichten beachten — sollten Angreifer erfolgreich eindringen und Nutzerdaten exfiltrieren, greift die 72-Stunden-Notifizierungspflicht nach DSGVO-Artikel 33.
Der EU AI Act verschärft hier auch indirekt die Anforderungen: Wer KI-gestützte Systeme zur Detektion von Exploits einsetzt, muss sicherstellen, dass solche Systeme transparent und nachvollziehbar funktionieren. Pentesting und Vulnerability Management werden dadurch zum strategischen Erfordernis, nicht nur zur Best Practice. Für Unternehmen im DACH-Raum, die unter NIS2-Regulierung fallen, ist schnelles Patching nicht optional — es wird zur Compliance-Pflicht.
Behörden und kritische Infrastruktur sind besonders exponiert. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und vergleichbare Institutionen in Österreich und der Schweiz dürften bereits Richtlinien zur Behebung ausgegeben haben. Für kleinere Webagenturen und Freelancer, die PHP-Systeme für Kunden betreuen, ist das Update zur unmittelbaren Haftungsfrage geworden.
Was du jetzt tun/wissen solltest
Die einzig wirksame Gegenmaßnahme ist, alle PHP-Installationen auf die neuesten gepatchten Versionen zu aktualisieren — es gibt keinen Workaround. Heise Security bestätigt: Updates einzuspielen ist das einzig wirksame Mittel. Für DACH-Unternehmen bedeutet das konkret: Heute sollte ein Patch-Management-Prozess greifen, der (1) alle PHP-Systeme inventarisiert, (2) kritische Systeme priorisiert und (3) Tests und Rollouts in Phasen durchführt, um Ausfallrisiken zu minimieren.
Zusätzlich kann das Open-Source-Tool php2shell-scanner von Searchlight Cyber eingesetzt werden, um zu überprüfen, ob lokale Systeme exponiert sind — Help Net Security berichtet über das Werkzeug. Das Tool testet automatisch auf CVE-2026-109618 und CVE-2026-109619. Ein solcher Scan sollte Teil der Incident-Response-Strategie sein, bevor Updates verteilt werden.
Das zentrale Lernmoment: PHP2Shell zeigt, dass RCE-Lücken mit vier Tagen Vorlauf bereits in aktiver Nutzung sind, bevor Öffentlichkeit und Patches verfügbar sind. Das bedeutet für KI-gestützte Pentesting und Abwehrmaßnahmen in Organisationen, dass proaktive Vulnerability Scanning und automatisierte Threat Detection nicht nur zeitgemäß, sondern existenziell sind. Für den DACH-Raum mit seinen strengeren Datenschutzvorgaben ist eine Kombination aus schnellem Patch-Management und intelligenter Überwachung der Standard, nicht die Ausnahme.
Quellen
- The Hacker News: PHP2Shell Exploit Attempts Hit Millions as Attackers Try to Deploy Mirai Malware
- SecurityWeek: Tech and Security Companies Respond to PHP2Shell Vulnerabilities
- Heise Security: php2shell: Updates trudeln ein, viele Webseiten offline, Angriffe laufen
- Heise Security: php2shell-Lücke: Was jetzt zu tun ist
- Ars Technica: Hackers got a four-day head start on epic PHP2Shell vulnerability
- Decrypt: Is the Internet Safe Again After the PHP Nightmare? What You Need to Know
- Computerwoche: PHP-Panik greift um sich – das raten Experten
- The Hacker News: Someone Tried to Exploit PHP2Shell 4 Days Before the Vulnerabilities Were Publicly Disclosed
- SecurityWeek: PHP2Shell Exploitation Started Days Before Patches
- Help Net Security: What the PHP2Shell vulnerability means for Fortinet, Cisco and Palo Alto customers
- Help Net Security: New PHP2Shell scanner checks your hosts for CVE-2026-109618 and CVE-2026-109619
Häufige Fragen
Welche PHP-Versionen sind von PHP2Shell betroffen?
Alle PHP-Versionen der letzten 20 Jahre sind durch die beiden Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 gefährdet. Es gibt keinen PHP-Version, die nicht von den Lücken betroffen ist.
Gibt es bereits erfolgreiche Exploits von PHP2Shell?
Laut aktuellen Berichten sind bislang keine erfolgreichen Exploits dokumentiert, obwohl Millionen von Exploitversuchen beobachtet wurden. Angreifer zielten darauf ab, Systeme in das Botnet Potassium einzubinden.
Was ist das einzige wirksame Mittel gegen PHP2Shell?
Das Einspielen von Updates auf die neuesten gepatchten PHP-Versionen ist das einzig wirksame Mittel. Es gibt keinen Workaround; eine Aktualisierung ist zwingend erforderlich.