Zum Inhalt springenistheinternetok
Alle Vorfälle

Sicherheitslücke·Kritisch

PHP2Shell: zwei kritische Lücken in PHP

Fix verfügbarAngreifer nutzen sie schonBetrifft Website-Betreiber
PHP

Was sich für dich ändert

Einige Regierungswebsites wurden vorsorglich vom Netz genommen.

PHP, die Sprache hinter einem Großteil aller Websites, hat zwei Lücken behoben, mit denen ein Angreifer per einzelner Anfrage einen Webserver übernehmen kann. Mehrere Regierungen nahmen Seiten vorsorglich vom Netz; Besucher müssen nichts tun, Betreiber von Websites müssen PHP sofort aktualisieren.

Beginn: 20. Okt. 2026Aktualisiert: 23. Okt. 2026

Auf X posten

Was soll ich tun?

Du
Nichts zu tun. Einige Regierungsseiten sind möglicherweise eine Weile offline.
Wenn du eine Website oder App betreibst
Aktualisieren Sie PHP auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 (oder auf das korrigierte Paket Ihrer Distribution; prüfen Sie dessen Changelog auf die CVE-Kennungen) und starten Sie alle Worker neu. PHP 8.1 und älter erhalten keinen offiziellen Fix. Maßnahmen wie session.upload_progress.enabled=0 verringern nur die Angriffsfläche; nur das Update behebt das Problem vollständig.

Was betroffen ist

CVE-2026-109618CVE-2026-109619Schweregrad 9.2 von 10

Zeitverlauf

  1. Fix verfügbar · 23. Okt. 2026

    Cloudflare erweitert seine Regeln auf ein verwandtes Problem beim Upload-Fortschritt von PHP-Sessions, CVE-2026-115560.

    Cloudflare

  2. Fix verfügbar · 21. Okt. 2026

    Regierungswebsites in mehreren Ländern, darunter Deutschland, Finnland, Belgien, die Niederlande und Frankreich, werden vorsorglich vom Netz genommen.

    Australian Associated Press

  3. Fix verfügbar · 21. Okt. 2026

    PHP veröffentlicht 8.5.12, 8.4.27, 8.3.36 und 8.2.35 und behebt damit CVE-2026-109618 und CVE-2026-109619. Betroffen sind alle PHP-Installationen, die Webanfragen bedienen; am höchsten ist das Risiko bei Apache mod_php.

    php.net

  4. Entschärft · 21. Okt. 2026

    Cloudflare aktiviert ab 03:02 UTC WAF-Regeln gegen die Lücken für alle Tarife, auch Free, und meldet Angriffsverkehr gegen seine Kunden, nachdem Details durchgesickert waren.

    Cloudflare

  5. Erkannt · 20. Okt. 2026

    PHP kündigt für den 21. Oktober ein kritisches Sicherheitsrelease an, das zwei Schwachstellen mit CVSS v4.0 9.2 behebt.

    php.net

Quellen

Verwandt