PHP2Shell: Kritische PHP-Lücken erfordern Updates für Shops

Für die beiden als PHP2Shell bekannten Sicherheitslücken stehen seit dem 21. Oktober 2026 Updates bereit. Das PHP-Sicherheitsteam warnt vor möglicher Codeausführung ohne Anmeldung. Betreiber von Onlineshops und Websites sollten ihren Hostinganbieter umgehend auf den konkreten Patchstand ansprechen: Ein Update der Shopsoftware allein behebt die Fehler in der darunterliegenden PHP-Laufzeit nicht.

PHP2Shell betrifft die technische Grundlage vieler Shops

PHP führt serverseitig unter anderem WordPress, PrestaShop und Magento aus. Die aktuellen Fehler liegen in dieser Laufzeitumgebung. PrestaShop betont deshalb, dass weder ein Update des Shops noch seiner Module die notwendige PHP-Aktualisierung ersetzt. Für Händler entscheidet damit auch die Betreuung der Serverumgebung darüber, wie schnell die Lücken geschlossen werden.

Das PHP-Team nennt in seiner Sicherheitsmeldung zu den kritischen PHP-Schwachstellen alle Installationen als gefährdet, die Webanfragen verarbeiten. Dazu gehören PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Besonders hoch bewertet es das Risiko bei mod_php, wo ein Angriff bereits vor dem Start des eigentlichen Anwendungscodes demonstriert wurde.

Zwei Speicherfehler mit unterschiedlichen Angriffsbedingungen

Bei CVE-2026-109618 kann ein Speichermangel die Verarbeitung unterbrechen, während interne Anfragedaten noch nicht vollständig initialisiert sind. Beim anschließenden Aufräumen verarbeitet PHP diese ungültigen Daten möglicherweise weiter. Das technische Advisory bestätigt eine erfolgreiche Codeausführung über HTTP gegen mod_php mit üblichen Speicher- und Eingabelimits.

Anzeige

CVE-2026-109619 betrifft interne Zustände, die auf Speicher einer bereits abgeschlossenen Anfrage verweisen. Bleiben solche Verweise erhalten, kann derselbe PHP-Arbeitsprozess sie bei einer späteren Anfrage erneut verwenden. Welche Kombinationen tatsächlich ausnutzbar sind, hängt unter anderem von Konfiguration, Fehlerbehandlung und betroffenen internen Zuständen ab.

Eine pauschale Gleichsetzung aller PHP-Installationen wäre deshalb ungenau. Für die erste Lücke beschreibt das Advisory PHP-FPM als grundsätzlich anfällig, hält aber zugleich fest, dass für diese Betriebsart kein vollständiger Exploit demonstriert wurde. Die Codeausführung erfolgt im Kontext des Web-Arbeitsprozesses; zusätzliche Rechte hängen von der jeweiligen Serverumgebung ab.

Diese PHP-Versionen schließen die Lücken

Die offiziellen Sicherheitsupdates sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Wer PHP2Shell über Pakete seiner Linux-Distribution oder eines Hostinganbieters behebt, muss allerdings mehr als die sichtbare Versionsnummer betrachten. Anbieter können die Korrekturen in ältere Versionsstände zurückportieren. Eine niedrigere Nummer allein beweist dann keine fortbestehende Verwundbarkeit.

PHP 8.1 und ältere Zweige erhalten keine regulären Updates mehr vom PHP-Projekt. Wegen der Schwere der Lücken wurden dennoch minimale Quellcode-Korrekturen für PHP 7.4, 8.0 und 8.1 bereitgestellt. Daraus entsteht keine erneute reguläre Unterstützung. Entscheidend bleibt, ob der zuständige Anbieter einen korrigierten Build für die eingesetzte Umgebung liefert.

Hostinganbieter müssen den laufenden Patchstand bestätigen

Bei verwaltetem Hosting sollten Händler konkret nachfragen, ob beide CVE-Korrekturen in der PHP-Umgebung ihrer Domain eingespielt und alle betroffenen Prozesse anschließend neu gestartet wurden. PrestaShop empfiehlt eine schriftliche Bestätigung. Wer eigene Server oder Container betreibt, muss entsprechend aktualisierte Pakete beziehungsweise Images einsetzen und die laufenden Prozesse erneuern.

Die gemeinsam mit europäischen Partnern veröffentlichte ENISA-Warnung fordert, PHP-Anwendungen zu identifizieren und öffentlich erreichbare Systeme vorrangig abzusichern. Das gilt auch für Produkte, in denen PHP im Hintergrund steckt. Ist eine zeitnahe Behebung unmöglich, sollen Betreiber die vorübergehende Isolation betroffener Anwendungen vom öffentlichen Netz erwägen.

Schutzmaßnahmen ersetzen den PHP-Patch nicht

Für PHP2Shell beschreibt das PHP-Team vorübergehende Konfigurationsmaßnahmen, weist aber ausdrücklich auf deren Grenzen hin: Sie reduzieren einzelne Angriffswege und machen eine Installation nicht vollständig sicher. Eine allgemeine Absicherung von Onlineshops gegen Cyberbedrohungen bleibt notwendig, ersetzt jedoch keine Korrektur der Laufzeitumgebung.

Die aktuelle Schwachstelle unterscheidet sich zudem von der separat behandelten Magento-Zero-Day mit Adobe-Hotfix. Für Händler folgt daraus eine praktische Aufgabe: Sicherheitsmeldungen müssen der richtigen technischen Ebene zugeordnet werden. Beim Shopanbieter nach einem Modulupdate zu suchen, während PHP ungepatcht weiterläuft, löst das aktuelle Problem nicht.

Faktenbox