Was ist PHP2Shell?
PHP2Shell umfasst die Speicherfehler CVE-2026-109618 und CVE-2026-109619 in PHP selbst, beide mit CVSS v4.0 9,2. Nachgewiesen wurden nicht authentifizierte Codeausführung und Speicherpreisgabe. PHP veröffentlichte am 21. Oktober 2026 Korrekturen. Betroffen ist der Interpreter, nicht nur ein bestimmtes CMS.
Welche Installationen prüfen?
PHP empfiehlt Updates für alle Web-Installationen: FPM, mod_php, php-cgi, FrankenPHP und LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel und eigene Anwendungen nutzen denselben Interpreter. Erfassen Sie auch Verwaltungsoberflächen, Testsysteme, eingebettete Produkte und Container. Ein Anwendungsupdate ersetzt PHP nicht.
Ist FPM ausgenommen?
Nein. FPM beendet einen Kindprozess bei fehlgeschlagenem Anfrage-Start und verhindert damit bestimmte Startsequenzen. Anwendungs- und anfrageübergreifende Pfade bleiben möglich. Die mod_php-Demonstration belegt nicht identische Ausnutzbarkeit jeder Umgebung; FPM ist aber auch kein Ersatz für ein Update.
Distributions-Backports
Ubuntu, Debian und Enterprise-Linux können alte Upstream-Nummern mit neuen Sicherheitsrevisionen behalten. Ein Banner wie 8.3.6 beweist weder Anfälligkeit noch Korrektur. Ordnen Sie OS, Repository, Architektur und Paketrevision den Herstellerangaben für BEIDE CVEs zu. Diese Website erfindet keine Paketgrenzen.
PHP 8.1 und älter
Keine regulären PHP-Projektupdates. Ausnahmsweise gibt es minimale Quellcode-Backports für 7.4, 8.0 und 8.1; Bau und Validierung liegen beim Betreiber. OS- oder LTS-Anbieter können Pakete pflegen. Forschung erfasst Versionen ab 5.4 mit unterschiedlichen Voraussetzungen. Migrieren Sie und belegen Sie Zwischenlösungen.
Temporäre Maßnahmen sind unvollständig
Nur der vollständige Patch deckt alle Varianten ab. Konfigurationsänderungen können Uploads, Leistung und Verfügbarkeit beeinträchtigen. Administrativ vor der Anfrageverarbeitung anwenden und alle Worker neu starten. Lesen Sie beide Meldungen. CDN und WAF senken eventuell das Risiko, beweisen aber keinen korrigierten Interpreter.
Ein Patch schließt einen Einbruch nicht aus
Versionsvergleich erkennt keine frühere Ausnutzung. Sichern Sie Protokolle und Image-Belege, untersuchen Sie Abstürze, Dateien, Prozesse und ausgehende Verbindungen. Fehlende Fehlermeldungen beweisen nichts. Bei Verdacht isolieren und nach Eindämmung möglicherweise offengelegte Geheimnisse aus einer vertrauenswürdigen Umgebung wechseln.
Bewertungsmethode
Manuelle Prüfungen vergleichen vollständige stabile Versionen in vier veröffentlichten Zweigen. Anbieterpakete erfordern Belege für beide CVEs, unbekannte Builds bleiben unbekannt. Die optionale Website-Prüfung sammelt gemeldete Versionen und Plattformhinweise, keine Exploitbeweise. Fehlende Header, CDN oder eine aktualisierte Instanz belegen keine allgemeine Sicherheit. Datumsangaben sind redaktionelle Prüfstände.
Kann ein kostenloser Scanner einen Einbruch feststellen?
Nicht abschließend. Öffentliche Header liefern Versionshinweise, lokale Muster zeigen Auffälligkeiten, aber weder vollständige Laufzeit noch fehlende Historie oder Speicherlecks. Inventarisieren, Beweise sichern und Logs korrelieren. Bei fremden Konten, Prozessen oder Datenabfluss isolieren und Hoster beziehungsweise Incident-Team einschalten.
Angriffsversuch oder erfolgreicher Einbruch? →