PHP2Shell

PHP2Shell ist der Sammelname für zwei Sicherheitslücken im Kern von PHP, geführt als CVE-2026-109618 und CVE-2026-109619. Beide sind mit 9,2 von 10 Punkten bewertet, ein Wert, den man selten sieht. Sie erlauben es, aus der Ferne und ohne Passwort eigenen Code auf einem Server auszuführen und ihn im Zweifel zu übernehmen. Betroffen ist jede PHP-Version ab 5.4, also rund 14 Jahrgänge. Gefunden haben sie Sicherheitsforscher, die Informationen sickerten aber vor dem fertigen Patch durch, und noch vor der Veröffentlichung liefen die ersten Angriffsversuche.

Stell dir vor, seit 14 Jahren wird überall dasselbe Türschloss verbaut. Die Tür kann perfekt sitzen, das Schloss selbst hat einen Konstruktionsfehler: Mit einer bestimmten Abfolge aus Drehen und Rütteln geht es auf, ganz ohne passenden Schlüssel. Und dieser Fehler steckt in jedem Schloss, das vor dem Austausch eingebaut wurde.

Daraus folgt der Punkt, der am häufigsten missverstanden wird. Die Lücke sitzt nicht in deinem CMS, sondern eine Etage tiefer, in PHP selbst. WordPress, Contao, TYPO3, Joomla und Shopware laufen auf PHP, deshalb sind sie betroffen, obwohl keines von ihnen den Fehler verursacht hat. Es gibt dafür auch kein WordPress-Update. Geschlossen wird die Lücke auf dem Server, von deinem Hoster oder von dem, der deinen Server betreut.

Die praktische Konsequenz: Die Lücke ist seit dem 21. Oktober 2026 in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 geschlossen. Wer auf einem dieser Zweige liegt, braucht nur das Update. Unangenehm wird es ab PHP 8.1 abwärts, denn dort gibt es kein reguläres Update mehr, sondern nur Quellcode-Backports. Dann heißt die Maßnahme nicht Update, sondern Versionswechsel, und der gehört sofort geplant.