php2shell: Offizielle PHP-Fixes nur ab Version 8.2
59 % der PHP-Hosts mit sichtbarer Version melden ältere Releases
Hamburg, 22.10.2026 (PresseBox) - Das PHP-Projekt hat am 21. Oktober 2026 zwei kritische Sicherheitslücken geschlossen, die unter dem Namen php2shell bekannt geworden sind. Offizielle Releases mit dem Fix gibt es nur für PHP 8.2 und neuer. Rund 59 % der PHP-Hosts mit sichtbarer Versionsangabe melden jedoch PHP 8.1 oder älter. Erste Angriffsversuche sind bereits registriert. Die Lizenzberatung ProLicense bietet Betroffenen gepatchte Laufzeitumgebungen für diese Versionen an.
Zwei kritische Lücken, Codeausführung ohne Anmeldung
CVE-2026-109618 und CVE-2026-109619 sind nach CVSS 4.0 jeweils mit 9,2 von 10 bewertet. Ein Angreifer benötigt keine Anmeldung und kann Code mit den Rechten des Webserver-Prozesses ausführen. Die eine Lücke nutzt Zustände, die ein PHP-Worker nach einem abgebrochenen Request zurücklässt. Die andere verwandelt einen gezielt ausgelösten Speicherüberlauf in eine Codeausführung. Angekündigt wurden die Lücken am 20. Oktober auf Hacker News, einen Tag später lagen die Fixes vor. Amazon registrierte einen ersten Angriffsversuch auf einen eigenen Honeypot bereits am 17. Oktober, vier Tage vor der Veröffentlichung. Am 21. Oktober meldeten weitere Sicherheitsanbieter, darunter Cloudflare und watchTowr, Angriffsversuche. Erfolgreiche Kompromittierungen sind bislang nicht bestätigt.
Offizielle Releases nur für PHP 8.2 und neuer
Behoben sind die Fehler in den Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für PHP 7.4, 8.0 und 8.1 veröffentlicht das PHP-Projekt kein Release. Es stellt lediglich minimale Quellcode-Backports auf GitHub bereit, die nur nutzen kann, wer PHP selbst kompiliert. Wer PHP aus Paketquellen bezieht, ist auf ein Update seines Anbieters angewiesen. Zum 31. Dezember 2026 endet zudem der Support für PHP 8.2.
59 % der PHP-Hosts melden ältere Versionen
Der Threat-Intelligence-Anbieter Mallory zählte am 20. Oktober rund 884.000 öffentlich erreichbare Hosts, deren Banner PHP 8.1 oder älter auswies. Das entspricht 59 % der rund 1,5 Millionen Hosts mit sichtbarer Versionsangabe, weitere 740.000 Hosts zeigen keine Version an. Die Erhebung beruht auf Server-Bannern und belegt nicht, wie viele Systeme tatsächlich ungepatcht sind. Für diese Versionszweige liefert das PHP-Projekt jedoch kein reguläres Release. Abhilfe kommt nur über eigene Builds, den Distributor oder kommerzielle Anbieter.
PHP End of Life als Compliance-Risiko
Die Advisories nennen vorläufige Maßnahmen zur Risikoreduzierung, etwa das Abschalten von session.upload_progress. Eine vollständige Behebung sind sie nicht, als einzige vollständige Abhilfe nennt das PHP-Projekt das Update. Für Unternehmen, die Anforderungen aus ISO 27001, NIS2 oder PCI DSS erfüllen müssen, kann eine verwundbare PHP-Laufzeitumgebung damit zu einem Sicherheits- und Compliance-Befund werden. Entscheidend ist, ob das Risiko bewertet, dokumentiert und wirksam behandelt wird.
„Ein Upgrade ist die richtige Antwort, aber selten eine, die sich in einer Woche umsetzen lässt. Alte PHP-Versionen stecken in Appliances, in Control Panels mit fester Version oder in Anwendungen, deren Migration erst im nächsten Budget steht. Für diese Zeit braucht es gepatchte Software, damit die Compliance stimmt und die Kosten nicht durch ein Notfall-Upgrade explodieren“, sagt Markus Oberg, Partner bei ProLicense.
Drittsupport für End-of-Life-PHP
ProLicense vertreibt als Reseller die PHP-Langzeitunterstützung von HeroDevs. HeroDevs liefert in Partnerschaft mit Zend gepatchte PHP-Laufzeitumgebungen für Versionen, die das PHP-Projekt nicht mehr pflegt. Beide php2shell-CVEs sind dort nach Angaben von HeroDevs behoben, die eingesetzte PHP-Version bleibt unverändert.
ProLicense ordnet das Angebot als Übergangslösung ein: Es schafft Zeit für eine geplante Migration, ersetzt sie aber nicht. Ansprechpartner ist Markus Oberg.
Hier können Sie Kontakt aufnehmen: https://www.prolicense.com/kontakt/
