PHP2Shell: Alles zur kritischen PHP-Lücke
Zwei kritische Lücken in PHP selbst, CVSS 9.2, Schadcode ohne Anmeldung. Hier steht, was belegt ist, welche Versionen sicher sind und was Sie jetzt tun.
Was ist PHP2Shell? Die Lücke einfach erklärt
PHP2Shell sind zwei kritische Lücken in PHP selbst, über die Angreifer ohne Anmeldung Code auf Webservern ausführen können. Hier die Lage in klaren Worten.
Weiterlesen →02CVE-2026-109618: RCE durch Out-of-Memory-Zustand
CVE-2026-109618 ist eine der beiden PHP2Shell-Lücken: Ein Out-of-Memory-Zustand kann PHP mitten in der Anfrageverarbeitung unterbrechen. Behoben ab PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Weiterlesen →03CVE-2026-109619: RCE durch veralteten globalen Zustand
CVE-2026-109619 ist die zweite PHP2Shell-Lücke: Interner Zustand einer Anfrage kann nach dem Freigeben des Speichers bestehen bleiben und von der nächsten Anfrage im selben Worker genutzt werden.
Weiterlesen →04CVE-2026-115560: Session-Upload-Progress-Hinweis
CVE-2026-115560 ist ein Hinweis von php.net vom 23.10.2026: mögliche Codeausführung nur bei einer ungewöhnlichen Session-Konfiguration. Abhilfe bis zum nächsten Release: session.upload_progress.enabled=0.
Weiterlesen →05Welche PHP-Versionen sind betroffen?
Behoben ist PHP2Shell in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es keine offiziellen Updates mehr. Die Tabelle zeigt den Stand je Zweig.
Weiterlesen →06PHP-Version und Patchstand richtig prüfen
Die angezeigte PHP-Version allein sagt nicht, ob PHP2Shell geschlossen ist. Entscheidend sind Paketstand, Backports und ob die neuen Prozesse wirklich laufen.
Weiterlesen →07Warum mod_php das höchste Risiko trägt
Bei Apache mit mod_php stuft das PHP-Team das Risiko durch PHP2Shell am höchsten ein: Dort wurde ein Exploit gezeigt, bevor Anwendungscode läuft. So prüfen und handeln Sie.
Weiterlesen →08Nach dem Update: PHP-FPM und alle Worker neu starten
Ein PHP-Update wirkt erst, wenn alle PHP-Prozesse neu gestartet sind. Hier die Befehle für PHP-FPM, Apache, LiteSpeed und Container und wie Sie den Neustart prüfen.
Weiterlesen →09Sofortmaßnahmen, wenn Sie noch nicht patchen können
Wenn das PHP-Update noch nicht möglich ist, verringern die Übergangsmaßnahmen von php.net das Risiko, schützen aber nicht vollständig. So setzen Sie sie richtig.
Weiterlesen →10PHP 8.1 und älter: Was jetzt gilt
Für PHP 8.1, 8.0, 7.4 und ältere Versionen gibt es gegen PHP2Shell keine offiziellen Updates. Was die Quell-Backports leisten und wie der Weg zu einer unterstützten Version aussieht.
Weiterlesen →11PHP in Docker-Containern patchen
Container patchen sich nicht selbst. Gegen PHP2Shell müssen Sie das PHP-Image neu bauen oder neu ziehen und jeden Container aus dem neuen Image neu erstellen.
Weiterlesen →12Bin ich schon kompromittiert? Anzeichen nach PHP2Shell
Für PHP2Shell gibt es keine bestätigten Indicators of Compromise. Woran Sie trotzdem erkennen, ob Ihr Server gehackt wurde, und wie Sie prüfen, ohne Spuren zu zerstören.
Weiterlesen →Jede Stunde zählt. Schreiben Sie uns jetzt.
Schildern Sie kurz System, PHP-Version und Beobachtung. Wir melden uns, klären die Lage und arbeiten remote, bis der Vorfall abgeschlossen und dokumentiert ist.