PHP-Sicherheitslücke PHP2Shell: Ihre PHP-Version entscheidet.
Über zwei kritische Sicherheitslücken in PHP können Angreifer ohne Login eigenen Code auf Ihrem Server ausführen. Ich prüfe Ihre PHP-Version und spiele das Update ein, bei Shared Hosting zusammen mit Ihrem Hoster. Danach durchsuche ich die Logs nach Angriffsspuren und schicke Ihnen ein kurzes Protokoll.
- 149 €pro Website
- 299 €pro Server
- −15 %je System ab 3 Systemen
PHP2Shell: CVE-2026-109618 und CVE-2026-109619 erklärt
Bricht eine Anfrage unsauber ab, räumt PHP seinen Arbeitsspeicher nicht vollständig auf. Ein Angreifer provoziert diesen Zustand mit einer präparierten Anfrage und nutzt den Rest im Speicher für seinen Angriff.
CVE-2026-109618 · Abbruch am memory_limit
Erreicht eine Anfrage im falschen Moment das memory_limit, lässt PHP halb fertige interne Daten liegen und hält sie später für gültig. Unter Apache mit mod_php gelingt der Angriff, bevor Ihre Anwendung startet.
CVE-2026-109619 · Fatal Error mit freigegebenem Speicher
Löst ein Angreifer an der richtigen Stelle einen Fatal Error aus, behält PHP Verweise auf Speicher, den es schon freigegeben hat. Die nächste Anfrage im selben PHP-Prozess arbeitet mit diesem Speicher weiter. Darüber liest der Angreifer Daten aus und führt eigenen Code aus.
Gelingt der Angriff, läuft fremder Code mit den Rechten Ihres Webservers. Der Angreifer kann dann Kundendaten lesen oder Schadcode auf Ihrer Website ablegen.
Laut Bleeping Computer hat Cloudflare erste Angriffe beobachtet.[4]
- Schweregrad
- CVSS v4 9,2 für beide Lücken, Stufe „kritisch“
- Voraussetzung
- Angreifer brauchen kein Login.
- Betroffen
- PHP-FPM, mod_php, php-cgi, FrankenPHP und LiteSpeed. Unter mod_php ist das Risiko am höchsten.
- PHP-Update
- 8.5.12, 8.4.27, 8.3.36 oder 8.2.35[1]
- PHP 8.1 und älter
- Das PHP-Projekt liefert keine Updates mehr. Sie brauchen einen Backport Ihrer Distribution oder ein Upgrade.
Selbstcheck: Betrifft PHP2Shell Ihre WordPress- oder PHP-Website?
Haken Sie ab, was auf Ihre Website zutrifft. Schon ein Haken reicht, damit sich ein Blick auf Version und Logs lohnt.
Kein Punkt trifft zu? Dann ist Ihr Risiko gering. Gewissheit bringt ein Blick auf Version und Logs.
Mindestens ein Punkt trifft zu. Lassen Sie Version und Logs prüfen, zum Festpreis und mit Protokoll.
Preise ansehenBei Shared Hosting spielen viele Hoster das PHP-Update selbst ein. Im Kundenmenü steht aber oft eine ältere PHP-Version fest eingestellt, und für diese Version kommt das Update womöglich nicht an. Das prüfe ich als Erstes.
PHP Notfall-Check zum Festpreis
Sie zahlen pro Website oder pro Server und kennen den Preis, bevor ich anfange. Im Protokoll stehen der Stand vor dem Update und alles, was ich geändert habe.
Ab 3 Systemen zahlen Sie je System 15 % weniger. Agenturen und Firmen mit mehreren Websites bekommen eine nach Risiko sortierte Liste und ein gemeinsames Protokoll. Drei Websites kosten 379,95 € statt 447 €.
Angebot per E-Mail anfragenAlle Preise sind Endpreise. Gemäß § 19 UStG wird keine Umsatzsteuer berechnet. Der Festpreis gilt für eine Website oder einen Server üblichen Umfangs. Finde ich Hinweise auf einen erfolgreichen Angriff, halte ich an und bespreche mit Ihnen Vorgehen und Aufwand.
Nach dem Notfall-Check
Läuft Ihre Website auf einer veralteten Basis, schreibe ich das ins Protokoll. Auf Wunsch schicke ich Ihnen ein unverbindliches Angebot für eine Modernisierung mit Nuxt und Node oder mit einem aktuellen PHP-Stack. Halten Sie Ihre PHP-Website aktuell, können Sie sie behalten.
Ablauf: vom Kurztermin zum Protokoll
- Heute
Kurztermin oder E-Mail
Sie buchen einen Kurztermin oder schreiben mir, um welche Websites es geht. Ich schicke Ihnen das Festpreisangebot, und Sie geben mir Zugang zum Kundenmenü oder per SSH.
- In 48 Stunden
Notfall-Check und PHP-Update
Ich prüfe Version und Setup, spiele das Update ein und kontrolliere die Logs. In der Regel bin ich 48 Stunden nach Erhalt der Zugänge fertig, an Werktagen.
- Abschluss
Protokoll
Sie lesen schriftlich nach, was vorher lief und was ich geändert habe. Dazu kommen meine Empfehlungen.
Fragen zum PHP-Update und zum Notfall-Check
Mein Hoster spielt Updates ein. Brauche ich den Notfall-Check?
Vielleicht nicht. Viele Hoster aktualisieren PHP selbst. Im Kundenmenü ist aber oft eine ältere Version fest eingestellt, oder Ihre Website läuft auf PHP 8.1 oder älter. Für diese Versionen gibt es keine Updates mehr. Im Notfall-Check kläre ich das und halte es im Protokoll fest.
Reicht eine Web Application Firewall (WAF)?
Eine WAF wie die von Cloudflare fängt bekannte Angriffsmuster ab und verschafft Ihnen Zeit. Die beiden Lücken schließt nur das PHP-Update.
Ist meine Website nach dem Notfall-Check 100 % sicher?
Diese Garantie gebe ich nicht. Das Update schließt die beiden Lücken. In den Logs suche ich nach typischen Angriffsspuren, einen früheren Einbruch kann ich damit aber nicht sicher ausschließen. Finde ich Hinweise, besprechen wir mit Ihnen die nächsten Schritte.
Wir nutzen PHP 7.4, 8.0 oder 8.1. Wie geht es weiter?
Für diese Versionen veröffentlicht das PHP-Projekt keine Updates mehr. Manche Linux-Distributionen und LTS-Anbieter liefern Backports. Ohne Backport brauchen Sie ein Upgrade. Ich teste, ob Ihre Anwendung mit einer neueren PHP-Version läuft, und sage Ihnen, was zu tun ist.
Muss ich jetzt von PHP weg?
Nein. Das PHP-Projekt pflegt PHP weiter und hat beide Lücken mit dem Update geschlossen. Eine Modernisierung lohnt sich, wenn Ihre Website aus anderen Gründen veraltet ist.
Wie lange dauert der Notfall-Check?
In der Regel bin ich innerhalb von 48 Stunden nach Erhalt der Zugänge fertig, an Werktagen. Von Freitagabend bis Samstagabend arbeite ich nicht.
Wer bietet den Notfall-Check an?
Ich bin Waldemar Enns, Webentwickler aus Rastatt mit 9 Jahren Erfahrung in Laravel und PHP, Vue und Nuxt sowie Node. Meine eigenen Server betreibe ich mit Docker. Mehr über mich auf waldemarenns.de
Lassen Sie Ihre PHP-Version prüfen.
Nennen Sie mir Website und Hoster. Sie bekommen ein Festpreisangebot, bevor ich etwas anfasse.
Quellen
- php.net · 21.10.2026Security advisory: Critical remote code execution vulnerabilities, update now
- PHP Foundation · 21.10.2026Today’s PHP Security Release
- CISA · 21.10.2026Critical Vulnerabilities in PHP Require Immediate Patching
- Bleeping Computer · 21.10.2026PHP ships emergency patches for critical PHP2Shell flaws