Bekanntermaßen ist Sicherheit kein Zustand, sondern ein Prozess. Doch was passiert, wenn die Grundlage Ihres gesamten Web-Stacks plötzlich zum Risiko wird? Die aktuelle Sicherheitslücke PHP2Shell (CVE-IDs CVE-2026-109618 und CVE-2026-109619) stellt Unternehmen vor massive Herausforderungen. Auch wir bei Missing Gear Solutions waren direkt betroffen, da unsere eigene Homepage auf WordPress basiert. Wir haben die Lage analysiert und möchten Sie über die kritischen Punkte informieren.
Was ist PHP2Shell?
Die Schwachstellen sind als „Critical Remote Code Execution“ (RCE) eingestuft. Das bedeutet im Klartext: Ein Angreifer kann aus der Ferne Befehle direkt auf Ihrem Server ausführen, Daten stehlen und im schlimmsten Fall die gesamte Infrastruktur kompromittieren.
Das Besondere und Gefährliche: Es handelt sich um Pre-Auth-Vulnerabilities. Ein Angreifer muss also nicht einmal eingeloggt sein oder über Zugangsdaten verfügen, um Ihr System zu übernehmen. Passend formulierte Anfragen an den Webserver genügen.
Die technische Ursache
Bei PHP2Shell handelt es sich um zwei Schwachstellen, die bereits seit langer Zeit im Kern von PHP – mindestens seit Version 5 – schlummern:
- CVE-2026-109618 nutzt eine Schwachstelle im Umgang mit Datei-Uploads aus. PHP versucht, den Fortschritt von Multipart-HTTP-Anfragen zu verfolgen. Dabei beginnt das Session-Modul bereits mit der Verarbeitung von Daten, noch bevor die restliche PHP-Umgebung vollständig und sicher initialisiert wurde. Ein Angreifer kann diese unvollständige Initialisierungsphase ausnutzen, um bösartigen Code einzuschleusen.
- CVE-2026-109619 ergänzt dieses Angriffsszenario durch weitere Schwachstellen im PHP-Kern, die die Ausführung von beliebigem Code ermöglichen.
Keine vollständige Mitigation möglich
Wenn ein sofortiges Update nicht möglich ist, versucht man oft, die Ausnutzbarkeit der Schwachstellen durch geeignete Mitigationen zu eliminieren oder zumindest die Auswirkungen abzuschwächen.
Leider gilt in diesem Fall: Es gibt keine vollständige Mitigation für PHP2Shell.
Das Verbergen der PHP-Version etwa ist lediglich ein „Hardening“-Schritt, der es automatisierten Scannern etwas schwerer macht, Ihr System zu finden – er schließt die Tür aber nicht. Auch WAFs können durch geschickt manipulierte Multipart-Requests umgangen werden. Die einzige, wirklich sichere Methode, die Schwachstelle zu eliminieren, ist ein Update auf eine aktuelle, unterstützte PHP-Version.
Die folgenden Version sind von dem Bug nicht mehr betroffen:
- 8.2.35
- 8.3.36
- 8.4.27
- 8.5.12
Alle älteren Versionen seit mindestens PHP 5.x sind betroffen.
Keine Updates für PHP 5, 6 und 7 verfügbar
Eines der größten Risiken, die wir bei der Analyse festgestellt haben, ist die noch immer weit verbreitete Nutzung veralteter PHP-Versionen. Viele Webanwendungen und CMS-Installationen laufen noch immer auf PHP 5, 6 oder 7.
Für diese Versionen gibt es keine Sicherheits-Fixes.
Da diese Versionen das „End-of-Life“ (EOL) erreicht haben, werden keine offiziellen Patches mehr bereitgestellt. Wer diese Versionen nutzt, ist PHP2Shell schutzlos ausgeliefert. Es gibt – zumindest gegenwärtig – keine „schnelle Lösung“ oder einen kleinen Patch, den man einspielen kann.
Unsere Empfehlung
Stellen Sie fest, ob sie PHP in einer verwundbaren Version einsetzen und handeln Sie unverzüglich, wenn dem so ist.
Sofern kein Update zur Verfügung steht – etwa wenn Docker-Images noch nicht aktualisiert sind, oder Sie auf Drittanbieter angewiesen sind – nehmen Sie die betreffenden Systeme vom Netz.
Sicherheit darf kein Zufall sein. Handeln Sie jetzt, bevor es Angreifer tun.