Im Oktober 2026 wurden zwei schwerwiegende Schwachstellen in der serverseitigen Skriptsprache PHP öffentlich, die sofortige Gegenmaßnahmen von Behörden und Unternehmen weltweit auslösten. Die Lücken - CVE-2026-109618 und CVE-2026-109619 - erreichen einen CVSS-Score von 9,2, gelten als kritisch und betreffen etwa 70 % aller Web-Server, da PHP nach Schätzungen von Wiz das Fundament von rund siebziger Prozent aller Websites bildet. Durch fehlerhafte Out-of-Memory-Behandlung via longjmp() und verwaiste Heap-Pointer können Angreifer:innen eine vollständige Serverübernahme erzielen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft die Warnung mit Stufe 3 (Orange) ein und empfiehlt ein sofortiges Trennen betroffener Systeme vom Netz.

Technischer Root-Cause: Die longjmp() -Architekturfalle

Die Analyse von CERT-EU (2026) zeigt, dass beide Schwachstellen denselben Mechanismus teilen: Beim Erreichen des konfigurierten Speicher-Limits bricht PHP den laufenden Request mit longjmp() ab. Dabei wird der aktuelle Stack-Frame verworfen, ohne zuvor allokierte Datenstrukturen zu zerstören. Ergebnis ist ein CWE-824 - Access of Uninitialized Pointer, weil Zeiger auf nicht initialisierten Heap-Speicher zurückbleiben. Der neue Patch ändert das Verhalten, indem er den betroffenen Worker-Prozess mit einem harten Exit-Code 137 abrupt beendet, sodass kein nachfolgender Request mehr auf die fehlerhaften Pointer zugreifen kann.

  • Fehlerhafte Out-of-Memory-Behandlung über longjmp()
  • Verwaiste Heap-Pointer (CWE-824)
  • Hard-Kill mit Exit-Code 137 nach Speicherlimit-Überschreitung

Betroffene Umgebungen: Von Apache-modphp bis PHP-FPM

Die Schwachstellen sind nicht auf ein einzelnes Server-Setup beschränkt. Offizielle Bestätigungen von CERT-EU und den PHP-Maintainer*innen zeigen, dass sämtliche gängigen Server-APIs (SAPIs) betroffen sind:

  • mod_php (Apache)
  • PHP-FPM
  • php-cgi
  • FrankenPHP
  • LiteSpeed

Damit sind nicht nur klassische Shared-Hosting-Umgebungen, sondern auch moderne Container-Deployments und Cloud-Native-Stacks gefährdet. Die Gefahr erstreckt sich zudem auf Content-Management-Systeme wie WordPress, Drupal, Joomla, Typo3, Magento oder MediaWiki, weil diese auf dem PHP-Interpreter aufbauen und somit die gleichen Speicherstrukturen teilen.

Supportlücken im Altsystemraum: Warum Binär-Patches für PHP 5.4-8.1 fehlen

Für die aktuell unterstützten Versionen PHP 8.2 bis 8.5 stehen offizielle Binär-Patches bereit (PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12). Ältere Branches wie PHP 5.4, 7.0 - 7.4 und 8.0 - 8.1 sind bereits "End of Life". Das Projektteam veröffentlicht zwar Quellcode-Patches, jedoch keine fertigen Binaries. Betreiber von Legacy-Systemen müssen daher selbst kompilieren oder kommerziellen Support erwerben, um die Lücken zu schließen - ein Prozess, der in vielen Shared-Hosting-Umgebungen nicht automatisch realisiert wird.

  • Offizieller Patch erst ab PHP 8.2.35 verfügbar
  • Alte Branches benötigen manuelle Quellcode-Patches oder externen Support
  • Viele Betreiber bleiben ohne Schutz, wenn sie ausschließlich auf Standard-Repositories setzen

Updates für PHP 8.5 bis 7.4: Was Administrator:innen tun müssen

Am Mittwoch, dem 21. Oktober 2026, veröffentlichte das PHP-Entwicklungsteam die sicherheitsbereinigten Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Zusätzlich stehen Rückportierungen für die bereits auslaufenden Branches 7.4, 8.0 und 8.1 bereit. Administrator:innen sollten folgende Schritte unverzüglich umsetzen:

  1. Version prüfen (z. B. php -v ) und mit den offiziellen Release-Notes abgleichen.
  2. Direktes Update auf die neuesten Patch-Versionen durchführen.
  3. Falls Docker-Container verwendet werden, das Basis-Image neu bauen.
  4. Konfiguration anpassen: session.upload.progress.enabled=0 deaktivieren und memory_limit=-1 auf ein sicheres Niveau setzen, um ein unbeabsichtigtes Hard-Kill zu vermeiden.
  5. Server-Logs auf vermehrte "HTTP 500"-Meldungen und ungewöhnlich große PHPSESSID -Cookies überwachen.

Ein schneller Patch-Rollout reduziert das Risiko, das laut CrowdStrike bereits aktiv von Angreifern ausgenutzt wird.

Risiko-Einschätzung und Gegenmaßnahmen

Obwohl Web-Application-Firewalls (WAF) eingehende Anfragen filtern können, bieten sie nur einen unvollständigen Schutz. Variierte Multipart-Requests oder neue Exploit-Varianten umgehen bestehende Signatur-Datenbanken leicht. Zusätzlich zeigt die Praxis, dass ein fehlender HTTP 500 -Fehler keine Garantie für Sicherheit ist - erfolgreiche Exploits können stillschweigend Code ausführen, ohne den Server zum Absturz zu bringen. Deshalb ist ein Kern-Patch unverzichtbar.

  • WAF-Limitation: Filtern kann, aber neue Payloads umgehen; kein Ersatz für Kern-Patch.
  • Kein HTTP 500-Signal: Erfolgreiche Exploits benötigen keine Fehlermeldungen; umfassende Monitoring-Strategien nötig.

FAQ - Häufig gestellte Fragen

Muss ich mein CMS aktualisieren, wenn ich bereits den PHP-Patch installiert habe?

Nein. CMS-Updates allein bieten keinen Schutz - das eigentliche Update muss im PHP-Interpreter erfolgen. WordPress, Drupal und andere profitieren automatisch, sobald die zugrunde liegende PHP-Version aktualisiert ist.

Was bedeutet CVE-2026-109619 praktisch?

Die Schwachstelle nutzt verwaiste globale Zeiger, die bei nachfolgenden HTTP-Requests erneut angesprochen werden. So kann Schadcode in jeder PHP-Umgebung eingeschleust werden, unabhängig davon, ob mod_php verwendet wird.

Wie prüfe ich, ob meine Installation betroffen ist?

Überprüfen Sie die PHP-Version und die aktive SAPI. Ein Blick in die Server-Protokolle nach HTTP 500-Fehlern und ungewöhnlich großen PHPSESSID -Cookies liefert erste Hinweise.

Statistiken und wirtschaftlicher Kontext

Die beiden Schwachstellen erhalten je einen CVSS-Score von 9,2 (kritisch). Das BSI stuft die Warnung mit Stufe 3 Orange ein. Die Verbreitung von PHP beträgt laut Wiz rund 70 % aller Websites. OpenAI unterstützt die Koordination der Offenlegung mit einer Milliarde US-Dollar im Rahmen der Initiative "Patch the Planet" und stellt das Sicherheitssystem "Daybreak" für die Forschung bereit.

  • CVSS-Score v4.0: 9,2 Punkte (kritisch)
  • BSI-Warnstufe: 3 / Orange
  • Marktanteil PHP: ~70 %
  • OpenAI-Förderung: 1 Mrd. USD

Fazit

Der Fund der PHP2Shell-Lücken demonstriert, wie KI-gestützte Sicherheitsforschung jahrzehntealte Fehler in wenigen Stunden zu praktisch nutzbaren Exploits weiterentwickeln kann. Die technische Ursache liegt in der unsauberen Behandlung von Speicher-Grenzwerten über longjmp(), was zu verwaisten Heap-Pointern führt. Der veröffentlichte Hard-Kill-Patch eliminiert das Problem, indem er den betroffenen Worker sofort mit Exit-Code 137 beendet. Dennoch bleibt ein großer Teil der Infrastruktur gefährdet, solange veraltete PHP-Versionen ohne offizielle Binär-Patches betrieben werden. Betreiber:innen sollten umgehend die neuesten PHP-Versionen implementieren, ihre Server-Konfigurationen anpassen und ergänzende Überwachungsmaßnahmen etablieren. Nur ein kombiniertes Vorgehen aus sofortigem Patch-Rollout, systematischer Log-Analyse und langfristiger Modernisierung der PHP-Landschaft kann das globale Risiko, das durch die kritischen CVE-2026-109618/-109619 entsteht, nachhaltig reduzieren.