PHP2Shell: Die Sicherheitslücken in PHP, die die meisten Websites gefährden

Am 21. Oktober 2026 hat das PHP-Projekt zwei Sicherheitslücken in der Sprache selbst behoben. Mit einer einzigen präparierten Anfrage kann ein Angreifer einen Webserver übernehmen, noch bevor der Code einer Website ausgeführt wird und ohne Passwort. PHP läuft auf 69,3 % aller Websites, deren Serversprache bekannt ist – von kleinen Blogs bis zu großen Online-Shops.

Ob eine Website betroffen ist, hängt von der PHP-Version ihres Servers ab, nicht von der Version von WordPress, Joomla oder einer anderen Anwendung. Du findest sie im Kundenmenü deines Hosters und in den Systeminformationen der meisten Anwendungen (siehe die Tabelle der Anwendungen unten); auf dem Server selbst gibt der Befehl php -v sie aus.

Korrigierte PHP-Versionen

PHP-Anwendungen: was sie brauchen und wo sie deine PHP-Version anzeigen

61 verbreitete Anwendungen, die mit PHP laufen. Jede ist nur über die PHP-Version des Servers betroffen, auf dem sie läuft. 7 davon tragen ein Warnzeichen: Eine noch gepflegte Version läuft nur mit PHP ohne Fix, oder der Hersteller liefert das korrigierte PHP noch nicht aus.

Finde deine Anwendung

Aus Dokumentation und Quellcode der Anwendungen, geprüft am 23. Oktober 2026. Gelistet sind nur Anwendungen, deren Codebasis nachweislich PHP ist. Betreibt ein Anbieter die Anwendung für dich, aktualisiert er auch PHP. Die Menüpfade beziehen sich auf die englische Oberfläche der Anwendungen.

So funktioniert der Angriff

Wenn eine Anfrage mehr Speicher benötigt, als PHP zulässt, bricht PHP sie sofort ab und springt aus dem gerade ausgeführten Code heraus. Die Entdecker stellten fest, dass dies im ungünstigsten Moment passieren kann: mitten beim Erstellen einer Liste hochgeladener Dateien oder während Daten aus der Anfrage noch verwendet werden. Zurück bleiben halb fertige Daten, die PHP später als vollständig behandelt.

Ein Angreifer kann das von außen auslösen, mit einer Upload-Anfrage, die genau an dieser Stelle den Speicher erschöpft – ohne Anmeldung und noch bevor der eigene Code der Website startet. Die zweite Schwachstelle geht weiter: Datenreste aus einer Anfrage überdauern bis zur nächsten Anfrage, die derselbe Worker-Prozess bearbeitet, und dieser verwendet dann bereits freigegebenen Speicher wieder. Zusammen erlauben die beiden Schwachstellen einem Angreifer, den Speicher des Servers auszulesen und Befehle mit den Rechten des Webservers auszuführen.

Laut PHP-Projekt ist jede PHP-Installation gefährdet, die Webseiten ausliefert: als Apache-Modul, über PHP-FPM, php-cgi, FrankenPHP oder LiteSpeed. Am größten ist das Risiko beim Apache-Modul, wo der Angriff schon vor jedem Anwendungscode wirkt; bei PHP-FPM brauchten die Entdecker einen Weg über die Anwendung.

Welche Anwendungen betroffen sind

Jede Anwendung, die auf einer betroffenen PHP-Version läuft, ist gefährdet, denn die Lücke liegt eine Ebene darunter. Die Entdecker haben in ihren Tests Server mit diesen elf Anwendungen übernommen:

Die Liste der Anwendungen unter dem Test oben zeigt weitere PHP-Anwendungen, die PHP-Versionen, die sie brauchen, und wo sie die PHP-Version deines Servers anzeigen.

Drei Bewertungen für denselben Fehler

Das PHP-Projekt bewertet beide Schwachstellen mit 9,2 auf Version 4.0 der CVSS-Skala. Die US-amerikanische National Vulnerability Database vergibt 9,8 auf Version 3.1 – der Skala, die diese Reihe für jeden Fall verwendet. Ein Wert von 10,0, der am Tag vor der Veröffentlichung im Netz kursierte, war laut PHP Foundation falsch.

Eine Veröffentlichung unter Druck

Die Lücken wurden PHP ab August 2026 gemeldet, von Calif, Wiz Research und OpenAI, unabhängig voneinander. Laut PHP Foundation hatte ein Kernentwickler schon 2024 erste Anzeichen derselben Ursache gesehen, als eine Ausnutzung noch nicht nachgewiesen war. Die Veröffentlichung war für den 22. Oktober geplant; der letzte Tag davor verlief anders.

Am Abend des 20. Oktober veröffentlichte einer der Entdecker außerdem versehentlich ein Video des Angriffs; es wurde gelöscht, aber vielfach kopiert. Die gemeinsame Seite der Entdecker, php2shell.com, zeigt die Demonstrationen mit WordPress, Drupal und Joomla.

Am 23. Oktober 2026 waren keine Angriffe bekannt, und die US-Behörde CISA stufte die Ausnutzung als „keine“ ein. Die Entdecker haben veröffentlicht, wie der Angriff funktioniert, deshalb sollte das Update nicht warten.

Mit KI gefunden, von KI überflutet

PHP2Shell zeigt auch, wie KI die Suche nach Sicherheitslücken verändert. Die PHP Foundation hat PHP in Patch the Planet aufnehmen lassen, ein Programm von OpenAI, in dem Sicherheitsfirmen Open-Source-Projekten helfen, Schwachstellen zu finden und zu beheben; im Rahmen dessen begann Calif am 30. Juli 2026, PHP zu prüfen. Wiz gibt an, seinen ersten Fehler mit dem eigenen Werkzeug Wiz Atlas und den KI-Modellen Gemini 4 Argon und GPT-5.6 Sol gefunden zu haben. Schon früher im Jahr 2026 hatte die PHP Foundation PHP gemeinsam mit dem Projekt Alpha-Omega mit Anthropics Modell Claude Mythos untersuchen lassen.

Die Kehrseite: Das PHP-Sicherheitsteam erhält inzwischen weit mehr Meldungen als zuvor. Seit dem 1. Juli 2026 hat es 15 CVEs veröffentlicht und mehr als 100 Meldungen bearbeitet, die sich als ungültig, doppelt oder nicht reproduzierbar herausstellten. Laut PHP Foundation hilft KI dem Team beim Sortieren der Meldungen, doch jede Entscheidung trifft ein Mensch, und an jedem Patch arbeitet ein Mensch.

Wenn du heute nicht aktualisieren kannst

Das PHP-Projekt und die Entdecker nennen Einstellungen, die einen Angriff erschweren, bis das Update installiert ist. Sie warnen, dass diese Einstellungen nicht jede Variante des Angriffs abdecken.