Zum Inhalt springen
Alle Beiträge

· von NetProtector Security Team

PHP2Shell: Kritische PHP-Lücken werden aktiv ausgenutzt

Illustration: PHP-Code mit beschädigter Speicherzelle, daneben eine Shell, in der Befehle ausgeführt werden

Zwei kritische Schwachstellen im PHP-Kern, zusammen „PHP2Shell“ genannt, erlauben es Angreifern, ohne Anmeldung Code auf Webservern auszuführen. Seit dem 20. Oktober 2026 gibt es Patches – und bereits Angriffe in freier Wildbahn. Wer PHP-Anwendungen betreibt, sollte jetzt handeln.

Worum es geht

Betroffen sind CVE-2026-109618 und CVE-2026-109619, beide mit CVSS 4.0 9.2 bewertet. Es handelt sich um Speicherfehler im PHP-Kern, nicht in einer einzelnen Anwendung oder einem Framework:

  • CVE-2026-109618: Bricht PHP eine Anfrage wegen Speichermangels ab, bleiben Anfragedaten nur teilweise initialisiert. Beim Aufräumen der Anfrage werden sie trotzdem als gültig behandelt – ein Angreifer kann so ungültigen Speicher ins Spiel bringen.
  • CVE-2026-109619: Globaler Zustand einer Anfrage überlebt die Freigabe seines Speichers. Eine folgende Anfrage auf demselben Worker liest ihn, bevor er neu gesetzt wird (Use-after-free). Damit lässt sich auch Speicher des Workers auslesen – samt Passwörtern, Tokens oder API-Schlüsseln, die dort gerade liegen.

Gefährdet sind alle Installationen, die Webanfragen bedienen: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Wie leicht die Lücken ausnutzbar sind, hängt von Konfiguration und Anwendung ab; ein bestätigter Angriffsweg führt über die Funktion Session Upload Progress.

Warum das dringend ist

Die Lücken wurden früher bekannt als geplant: Hinweise kursierten vor dem Patchtermin in Foren, ein Video mit einem Proof of Concept war versehentlich vorab öffentlich. Inzwischen sind Exploit-Skripte öffentlich verfügbar, und mehrere Sicherheitsfirmen beobachten aktive Ausnutzung. PHP läuft auf einem großen Teil aller Webserver – Angreifer scannen entsprechend breit.

Was Sie jetzt tun sollten

  1. Aktualisieren. Die behobenen Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Distributionen portieren Fixes oft zurück und behalten die alte Versionsnummer – maßgeblich ist das Sicherheitsadvisory Ihres Anbieters. PHP 8.1 und älter erhalten keine regulären Updates mehr; hier hilft nur ein Upgrade.
  2. Prüfen, was wirklich läuft. php -v auf der Kommandozeile zeigt nicht unbedingt die Version, mit der der Webserver arbeitet. Starten Sie PHP-FPM bzw. Apache nach dem Update neu und kontrollieren Sie die Version der laufenden Worker.
  3. Übergangsweise absichern, falls ein Update nicht sofort möglich ist (das PHP-Projekt betont: Nur das Update schließt die Lücken vollständig):
    • session.upload_progress.enabled = 0 in der php.ini oder FPM-Pool-Konfiguration setzen und Worker neu starten – per ini_set() oder .user.ini reicht das nicht.
    • Unter PHP 8.5 zusätzlich fatal_error_backtraces = 0.
    • Größen- und Upload-Limits (post_max_size, upload_max_filesize, max_file_uploads) eng setzen und Multipart-Anfragen am Reverse Proxy blockieren, wo sie nicht gebraucht werden.
    • Wo möglich, den Dienst vom Internet trennen oder vorgeschaltet filtern.
  4. Nach Spuren suchen. Prüfen Sie Webserver-Logs auf auffällige Multipart- und Upload-Anfragen sowie Abstürze von PHP-Workern seit Mitte Oktober. Erfolgreiche Angriffe zeigen sich häufig durch neue Dateien im Webverzeichnis oder ungewöhnliche ausgehende Verbindungen des Webservers.

Unsere Einschätzung

PHP2Shell ist ein Lehrstück dafür, wie schnell sich das Zeitfenster zwischen Bekanntwerden und Ausnutzung schließt. Ein aktuelles Patch-Management bleibt die wichtigste Maßnahme. Netzwerkseitig helfen Intrusion Prevention, bekannte Angriffsmuster am Perimeter zu blockieren, und eine Anomalieerkennung, die bemerkt, wenn ein Webserver plötzlich Verbindungen aufbaut, die er nie zuvor aufgebaut hat – ein typisches Zeichen einer erfolgreichen Kompromittierung.

Quellen