Kritische Sicherheitslücken in PHP

In der von vielen Webseiten genutzten Skriptsprache PHP wurden heute (21.10.2026) zwei kritische Sicherheitslücken ( CVE-2026-109618 , CVE-2026-109619 ) bekannt, die das Einschleusen von Schadcode ermöglichen.

Diese beiden als PHP2Shell bezeichneten Sicherheitslücken betreffen den PHP-Interpreter selbst, und lassen sich für Angriffe auf alle PHP-basierenden Web-Anwendungen (z.B. WordPress, Nextcloud, Joomla) ausnutzen.

Gegenmaßnahmen

Wir haben seit Vormittag alle PHP-Versionen durch Anpassungen an den Konfigurationseinstellungen sowie aktualisierte Regeln in der Web Application Firewall provisorisch vor möglichen Angriffen abgesichert. Diese Anpassungen können jedoch unter Umständen zu Problemen führen, und sind daher nur als Übergangslösung bis zum Erscheinen von Updates für PHP gedacht.

Updates

Das PHP Entwicklerteam hat gegen 16 Uhr Updates für die aktuell noch unterstützten PHP Versionen 8.5, 8.4, 8.3 und 8.2 sowie zurückportierte Updates für die nicht mehr offiziell unterstützten PHP-Versionen 8.1, 8.0 und 7.4 bereitgestellt, die wir bis 18 Uhr auf allen Webservern installiert haben.

Veraltete PHP-Versionen

Für die veralteten PHP Versionen 5.6, 7.0, 7.1, 7.2 und 7.3 stehen aktuell noch keine zurückportierten Updates bereit, für diese PHP-Versionen bleiben die Gegenmaßnahmen bis auf weiteres aktiv.

Die Gegenmaßnahmen bieten jedoch keinen hundertprozentigen Schutz vor Angriffen, wir empfehlen daher dringend, dass sie für Ihre Webseiten eine aktuelle PHP-Version ab PHP 8.3 aufwärts verwenden. Eine Anleitung zur Umstellung der PHP-Version finden Sie in unseren FAQs.

Zum Zeitpunkt der Veröffentlichung dieses Artikels sind noch keine zuverlässig auf unseren Webservern funktionierenden Exploitskripte im Umlauf, das kann sich aber in nächster Zeit ändern.

Wir beobachten die Situation, und werden bei Bedarf weitere Gegenmaßnahmen treffen. Dabei könnte es erforderlich werden, veraltete PHP-Versionen temporär ganz abzuschalten.