Als PHP2Shell sind zwei kritische Sicherheitslücken in der Programmiersprache PHP bekannt geworden, die offiziell unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt werden. Sie wurden am 20. Oktober 2026 ungeplant öffentlich bekannt und ermöglichen unter bestimmten Voraussetzungen die Ausführung von Schadcode auf betroffenen Webservern.
Wie funktioniert PHP2Shell?
Die beiden Schwachstellen betreffen die interne Speicherverwaltung von PHP, einer Programmiersprache, die weltweit für den Betrieb von Websites eingesetzt wird. Bei der Verarbeitung von Webanfragen können Fehler dazu führen, dass Speicherbereiche unvollständig initialisiert oder bereits freigegebene Speicherbereiche erneut verwendet werden.
Kurz gesagt können Angreifer diese Fehler ausnutzen, um die Verarbeitung im Arbeitsspeicher gezielt zu beeinflussen. Unter bestimmten Voraussetzungen lässt sich somit von außen fremder Programmcode auf dem betroffenen Server ausführen. Diese sogenannte Remote Code Execution (RCE) kann Angreifern ermöglichen, geschützte Daten auszulesen oder ganze Systeme zu kompromittieren.
Welche PHP-Versionen sind betroffen?
PHP2Shell betrifft zahlreiche PHP-Versionen, darunter auch ältere Versionen, die keine regulären Sicherheitsupdates mehr erhalten.
Am 21. Oktober 2026 wurden folgende korrigierte PHP-Versionen veröffentlicht:
| PHP-Versionsreihe | Sicherheitsupdate |
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Ältere, nicht mehr unterstützte PHP-Versionen sollten auf eine unterstützte und abgesicherte Version migriert oder nach öffentlicher Empfehlung (BSI, NSA, CERT EU, etc.) vom Netz genommen werden.
Wie lassen sich Websites vor PHP2Shell schützen?
Die wichtigste Schutzmaßnahme ist die Installation der entsprechenden PHP-Sicherheitsupdates und Patches. Betreiber sollten dabei auch die eingesetzte Serverkonfiguration und die vom Betriebssystem bereitgestellten Sicherheitspakete berücksichtigen.
Solange kein geeignetes Sicherheitsupdate verfügbar ist, kann es erforderlich sein, gefährdete Anwendungen vorübergehend vom öffentlichen Internet zu isolieren. So hat es in diesem Fall auch das BSI vorgeschlagen.
PHP2Shell und TYPO3
PHP2Shell betrifft nicht unmittelbar TYPO3 selbst, sondern die darunterliegende PHP-Laufzeitumgebung. Deshalb können auch aktuelle TYPO3-Installationen gefährdet sein, wenn der Server eine verwundbare PHP-Version verwendet.
Welche CMS sind von PHP2Shell betroffen?
Im Grunde genommen kann damit jedes CMS-System, das PHP als Funktionsbasis nutzt, über diese Sicherheitslücken angreifbar sein. Dazu zählen insbesondere das weltweit am weitesten verbreitete System WordPress sowie Joomla!, Drupal und viele weitere.
Praxisbericht: Wie NEW.EGO auf PHP2Shell reagiert und betreute Websites geschützt hat, beschreiben wir in unserem Blogartikel zu den kritischen PHP-Sicherheitslücken.