Zuletzt aktualisiert: 23. Oktober 2026

Zwei kritische Fehler in PHP, CVE-2026-109618 und CVE-2026-109619, werden PHP2Shell genannt. Ein entfernter Aufrufer kann auf einem betroffenen PHP-Worker Code ausführen, ohne sich anzumelden.

PHP ist die serverseitige Sprache hinter einem großen Teil des Webs, oft geschätzt auf etwa 70 % der Seiten, deren serverseitige Sprache bekannt ist. Onlineshops, Unternehmensseiten und WordPress gehören dazu. Die praktische Reichweite ist die Seite und die Dateien, die dieser PHP-Prozess lesen kann, nicht ein Schlüssel zu jedem Rechner im Internet.

Dieses kurze Video erklärt die Reichweite:

1. Was geschehen ist

Das PHP-Projekt hat am 21. Oktober 2026 Notfallversionen veröffentlicht. Eine abgestimmte Veröffentlichung war für den 22. Oktober vorgesehen. Die Details gingen früher in Umlauf, deshalb kamen die Korrekturen vorgezogen.

Beide Fehler liegen in der Verarbeitung von Anfragen. Einer tritt auf, wenn der Speicher ausgeht, während PHP die Anfrage noch aufbaut, und die spätere Aufräumarbeit einen unfertigen Zustand berührt. Der andere tritt auf, wenn ein fataler Fehler das Aufräumen unterbricht und einen veralteten Zeiger hinterlässt. Ein Angreifer braucht kein Konto auf der Seite.

Das PHP-Projekt sieht Apache mit mod_php als die Bereitstellung mit dem höchsten Risiko. PHP-FPM, php-cgi, FrankenPHP und LiteSpeed sind ebenfalls betroffen. Ob sich der Fehler zuverlässig ausnutzen lässt, hängt von der Prozessanordnung ab. Unauthentifizierte Codeausführung ist dennoch das Problem, das die Anbieter beheben.

2. Welche Versionen zu aktualisieren sind

Die vollständige Behebung ist eine korrigierte PHP-Version. Aktualisieren Sie und starten Sie danach die PHP-Worker neu, damit der neue Stand den Verkehr bedient.

• PHP 8.5: behoben in 8.5.12. Betroffen sind 8.5.0 bis 8.5.11.
• PHP 8.4: behoben in 8.4.27. Betroffen sind 8.4.0 bis 8.4.26.
• PHP 8.3: behoben in 8.3.36. Betroffen sind 8.3.0 bis 8.3.35.
• PHP 8.2: behoben in 8.2.35. Betroffen sind 8.2.0 bis 8.2.34.

PHP 8.1 und älter, einschließlich 7.x und der Linie ab 5.4, hat kein Upstream-Binary für CVE-2026-109618. Einige Linux-Anbieter haben eigene Pakete veröffentlicht. Wenn Ihr aus dem Internet erreichbarer Server noch ein PHP am Lebensende nutzt und Sie heute keine Anbieterkorrektur einspielen können, nehmen Sie die Seite vom Netz, bis Sie auf eine korrigierte Version wechseln können.

AWS, Red Hat und Ubuntu haben eigene Hinweise veröffentlicht. Berichte sagen außerdem, die NSA habe Betreiber zum Aktualisieren aufgefordert. Konfigurationsänderungen ersetzen das Upgrade nicht.

3. Wie die Fehler gefunden wurden

OpenAIs Patch the Planet war an der Reaktion beteiligt. Calif hat einen der Fehler mit GPT-5.6 Sol gefunden. Wiz hat die Probleme unabhängig gemeldet. Die Betreuer von PHP haben die Korrekturen und die Veröffentlichung geführt.

Wegen des frühen Lecks kamen die Patches als Notfall und nicht am ursprünglich geplanten Tag. Sobald die Details öffentlich waren, begann die Suche nach Servern ohne Patch.

4. Was jetzt zu tun ist

• Wechseln Sie auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 oder auf das korrigierte Paket Ihres Linux-Anbieters oder Hosters, und starten Sie PHP neu.
• Erfassen Sie jeden Ort, an dem PHP läuft, einschließlich Appliances und Software, die ein eigenes PHP mitbringt, nicht nur die Version, die Sie für den Shop installiert haben.
• Wenn der Server noch PHP 8.1 oder älter nutzt und kein Anbieterpaket vorliegt, lassen Sie ihn nicht im öffentlichen Internet, während Sie den Wechsel vorbereiten.

Ein Shop, der nur ein Stapel von PHP-Plugins ist, erlebt solche Tage wieder. Der Patch bleibt die erste Aufgabe. Die längere Aufgabe ist, dass der nächste Notfall nicht dieselbe Form hat.

5. FatLeon Commerce

FatLeon Commerce ist proprietärer Quellcode, den Sie in Ihrem eigenen AWS-Konto bereitstellen. Der Shop läuft nicht auf PHP. Diese PHP-Version behebt ihn nicht, und dieser Fehler steckt nicht darin.

Eine Codebasis, zwei Lizenzen. Der Kauf ist einmalig. Paddle.com ist der Merchant of Record.

• Standard: Shops, die Sie selbst betreiben. https://fatleon.com/product/fatleon-standard-license
• Agency: Shops, die Sie auch für Kunden bauen. https://fatleon.com/product/fatleon-agency-license

Die Lizenzdatei in der ZIP regelt die Nutzung. Fragen zu einer Bestellung gehen an info@fatleon.com.