Skip to main content

Kritische PHP-Lücken: Jetzt auf PHP 8.2 oder neuer aktualisieren

Veröffentlicht von 22. Oktober 2026

Am 21. Oktober hat das PHP-Projekt Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht. Beide können laut PHP die Ausführung von Schadcode aus der Ferne ohne Anmeldung ermöglichen. Website-Betreiber:innen sollten umgehend handeln, wer noch PHP 8.1 oder älter nutzt, muss die PHP-Version wechseln.

Was ist passiert?

Am Mittwoch, 21. Oktober 2026, hat das PHP-Projekt die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie beheben die Schwachstellen CVE-2026-109618 und CVE-2026-109619, die unter dem Namen «PHP2Shell» bekannt sind. Beide werden mit einem CVSS-Wert von 9.2 bewertet.

Die Lücken liegen im PHP-Interpreter selbst und nicht in einzelnen Anwendungen. Jede Website auf einer betroffenen PHP-Version ist daher exponiert, unabhängig vom eingesetzten CMS. Laut Wiz Research, die die Fehler gemeldet haben, ist jede PHP-Version bis zurück zu 5.4 von mindestens einem der Probleme betroffen. Am höchsten schätzt PHP das Risiko bei Servern mit Apache und mod_php ein, wo der Angriff bereits vor dem Laden von WordPress möglich ist.

Die Lage ist ernst: Hadrian berichtet von Angriffen in großem Umfang, vor allem über den Session-Upload-Progress-Pfad von PHP. Auch watchTowr hat Ausnutzung in freier Wildbahn beobachtet. Die Schwachstellen waren zudem nicht in der CISA-Liste ausgenutzter Schwachstellen verzeichnet (Stand 21. Oktober, 21:03 UTC), und Angaben zur Angriffslage können sich rasch ändern.

Warum PHP 8.1 und älter keine Option mehr sind

Das PHP-Projekt veröffentlicht Fixes nur für PHP 8.2 und neuer. PHP 8.1 und älter erhalten keine Updates mehr und gelten als verwundbar, sofern ein Distributions- oder LTS-Anbieter die Korrekturen nicht rückportiert hat. Für PHP 5 und 7 gibt es keine offiziellen Patches. Wer sicher gehen will, muss deshalb auf eine unterstützte Version wechseln: mindestens PHP 8.2.35.

Zu beachten: PHP 8.2 erreicht am 31. Dezember 2026 das Supportende. Wo es die eingesetzte Software erlaubt, empfiehlt sich deshalb direkt PHP 8.3 oder 8.4, um nicht in wenigen Wochen erneut migrieren zu müssen.

Was Website-Betreiber:innen jetzt tun sollten

  1. PHP-Version prüfen. Die aktuelle Version zeigt das Hosting-Kundencenter an. Alternativ hilft das Terminal mit php -v oder bei WordPress der Bereich «Werkzeuge → Website-Zustand → Info».
  2. Backup erstellen. Sichern Sie Dateien und Datenbank, bevor Sie etwas ändern.
  3. Kompatibilität klären. Aktualisieren Sie CMS, Plugins, Themes und Erweiterungen auf die neueste Version. Ältere Komponenten laufen teils nicht unter PHP 8.x. Bei WordPress ist laut WordPress.org kein eigenes Update nötig, die Lösung ist allein das PHP-Update.
  4. PHP-Version umstellen. Wählen Sie im Hosting-Panel mindestens PHP 8.2, besser 8.3 oder 8.4. Bei der Umstellung wird in der Regel automatisch die aktuelle Patch-Version eingesetzt. Fragen Sie im Zweifel beim Hoster nach.
  5. Website testen. Prüfen Sie Startseite, Login, Formulare, Shop und Checkout. Aktivieren Sie bei Fehlern vorübergehend die Fehlerprotokollierung, um inkompatible Plugins zu finden.
  6. Eigene Server: Pakete aktualisieren. Wer Server selbst betreibt, aktualisiert die PHP-Pakete über den Paketmanager und startet PHP-FPM bzw. Apache neu. Danach mit php -v den Patch-Stand kontrollieren (8.2.35, 8.3.36, 8.4.27 oder 8.5.12).
  7. Logs auf Auffälligkeiten prüfen. Achten Sie auf unbekannte Dateien, unerwartete Zugriffe auf Upload-Funktionen oder ungewöhnliche Last. Bei Verdacht auf eine Kompromittierung: Passwörter und Zugangsdaten ändern und das Backup vor dem Vorfall einspielen.
  8. Mitteilungen des Hosters verfolgen. Viele Anbieter haben zusätzliche Schutzmaßnahmen auf Serverebene eingerichtet. Solche Maßnahmen ersetzen das Update jedoch nicht.

Fazit

Updaten ist laut Fachleuten die einzige vollständige Gegenmaßnahme. Wer noch PHP 8.1 oder älter einsetzt, sollte die Umstellung auf mindestens PHP 8.2 nicht aufschieben.

1337 0 0 0 0