Zwei schwerwiegende Sicherheitslücken in der Programmiersprache PHP stellen Betreiber von Websites und Onlineshops vor erhebliche Herausforderungen. Die als PHP2Shell bezeichneten Schwachstellen können unter bestimmten Voraussetzungen die Ausführung fremden Programmcodes auf Webservern ermöglichen, wie auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) eindringlich warnt. Besonders betroffen sind potenziell Unternehmen, die PHP-basierte Shopsysteme und ältere Serverumgebungen einsetzen. Sicherheitsupdates wurden am 21. Oktober 2026 veröffentlicht, nachdem bereits erste mutmaßliche Angriffsversuche beobachtet worden waren.
Zwei PHP-Schwachstellen mit kritischer Bewertung
Die Sicherheitsprobleme betreffen grundlegende Funktionen der PHP-Laufzeitumgebung. Sie werden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt.
Beide Schwachstellen erhielten nach den vorliegenden Angaben einen CVSS-4.0-Wert von 9,2 auf einer Skala bis zehn. Damit werden sie als kritisch eingestuft.
PHP bildet die technische Grundlage zahlreicher Internetangebote. Neben WordPress, Drupal und Joomla nutzen auch E-Commerce-Plattformen wie Shopware, Magento beziehungsweise Adobe Commerce und WooCommerce die Programmiersprache.
Die Verbreitung der Technologie vergrößert die potenzielle Angriffsfläche. Allerdings ist nicht jede PHP-basierte Website automatisch verwundbar.
Gewinnen in der Plattform-Ökonomie
Angreifer können Schadcode auf Servern ausführen
Ursache der Schwachstellen sind Fehler bei der Speicherverwaltung und der Verarbeitung interner Programmzustände. Unter geeigneten Bedingungen lassen sich diese Fehler ausnutzen, um fremde Befehle auszuführen.
Bei CVE-2026-109618 stehen fehlerhafte Speicherzugriffe im Zusammenhang mit erschöpften Speicherressourcen im Mittelpunkt. CVE-2026-109619 betrifft den Zugriff auf bereits freigegebene Speicherbereiche.
Die Schwachstellen können unter bestimmten technischen Voraussetzungen ohne vorherige Anmeldung ausgenutzt werden. Dadurch entsteht ein erhebliches Risiko für öffentlich erreichbare Server.
Mögliche Folgen reichen vom Diebstahl vertraulicher Daten über manipulierte Website-Inhalte bis zur Installation von Schadsoftware. Welche Berechtigungen Angreifer tatsächlich erlangen, hängt von der jeweiligen Systemkonfiguration ab.
Erste Angriffsversuche bereits vor Veröffentlichung
Nach Erkenntnissen des Sicherheitsteams von Amazon wurde am 17. Oktober 2026 ein mutmaßlicher Angriff auf die PHP-Schwachstellen registriert. Damit erfolgte der Versuch mehrere Tage vor der öffentlichen Bekanntgabe.
Weitere verdächtige Aktivitäten wurden anschließend aus unterschiedlichen Netzwerkinfrastrukturen beobachtet. Dies deutet auf ein wachsendes Interesse an einer möglichen Ausnutzung hin.
Die Veröffentlichung der Sicherheitskorrekturen wurde auf den 21. Oktober vorgezogen. Ursprünglich war eine koordinierte Bekanntgabe für den folgenden Tag vorgesehen.
Im Zusammenhang mit vorzeitig veröffentlichten aktualisierten Container-Images entstand zudem eine Auseinandersetzung zwischen PHP-Verantwortlichen und dem Softwareanbieter Chainguard. Beide Seiten bewerteten den Ablauf unterschiedlich.
Onlineshops besonders gefährdet
Für Handelsunternehmen können die Schwachstellen erhebliche wirtschaftliche Folgen haben. Viele digitale Vertriebssysteme basieren auf PHP und sind unmittelbar mit Warenwirtschaft, Zahlungsabwicklung und Kundendatenbanken verbunden.
Ein erfolgreicher Angriff könnte Bestellprozesse manipulieren, vertrauliche Informationen offenlegen oder einen Onlineshop zeitweise außer Betrieb setzen. Zusätzlich drohen Kosten für Wiederherstellung, IT-Forensik und mögliche Datenschutzverfahren.
Besonders schwierig ist die Situation bei älteren, individuell angepassten Shopinstallationen. Dort können technische Abhängigkeiten die kurzfristige Aktualisierung der PHP-Version erschweren.
Ob ein konkretes System gefährdet ist, hängt insbesondere von der verwendeten Laufzeitumgebung, dem Patchstand und der Serverkonfiguration ab. Die bloße Nutzung eines PHP-basierten Shopsystems reicht für eine entsprechende Bewertung nicht aus.
Sicherheitsupdates für PHP veröffentlicht
Die PHP-Entwickler haben außerplanmäßige Sicherheitskorrekturen für mehrere unterstützte Versionszweige bereitgestellt. Nach den vorliegenden Informationen stehen folgende aktualisierte Versionen zur Verfügung:
| PHP-Versionszweig | Sicherheitsversion |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1 und älter | Keine reguläre Unterstützung durch das PHP-Projekt |
Besonders problematisch bleiben ältere Installationen ohne reguläre Sicherheitsversorgung. Für Unternehmen kann deshalb neben der unmittelbaren Fehlerbehebung auch eine grundlegende Modernisierung ihrer Serverumgebung erforderlich werden.
Millionen PHP-Dienste im Internet erreichbar
Eine Untersuchung des Sicherheitsunternehmens Modat identifizierte am 20. Oktober weltweit rund 4,38 Millionen über das Internet erreichbare PHP-Dienste. Etwa 79 Prozent davon sollen auf Versionszweigen ohne reguläre Unterstützung durch das PHP-Projekt betrieben worden sein.
Die Zahlen erlauben allerdings keinen direkten Rückschluss auf die Anzahl tatsächlich verwundbarer Websites. Sie verdeutlichen vor allem die große Verbreitung älterer PHP-Umgebungen.
Bei verwalteten Hostingangeboten übernehmen häufig Dienstleister die Aktualisierung der Laufzeitumgebung. Unternehmen mit eigenen Servern müssen dagegen selbst sicherstellen, dass geeignete Sicherheitskorrekturen installiert werden.
Hinzu kommt, dass Linux-Distributoren Fehlerbehebungen teilweise in ältere Paketversionen übernehmen. Eine niedrigere Versionsnummer bedeutet deshalb nicht zwangsläufig, dass ein System ungeschützt ist.
Unternehmen sollten PHP-Installationen überprüfen
IT-Verantwortliche sollten zunächst sämtliche öffentlich erreichbaren PHP-Anwendungen erfassen. Dazu gehören neben Onlineshops auch Unternehmenswebsites, Schnittstellen und Verwaltungsportale.
Anschließend ist zu prüfen, ob die jeweilige Laufzeitumgebung gegen die beiden Schwachstellen abgesichert wurde. Aktualisierungen von Shopsystemen oder Erweiterungen allein reichen nicht aus, wenn die zugrunde liegende PHP-Installation weiterhin betroffen ist.
Zusätzlich sollten Serverprotokolle auf verdächtige Aktivitäten untersucht werden. Dabei können weitergehende technische Analysen erforderlich sein, weil Angriffe auf die Laufzeitumgebung nicht zwangsläufig eindeutige Spuren in Anwendungsprotokollen hinterlassen.
Ergänzende Maßnahmen wie eingeschränkte Prozessberechtigungen, Netzwerksegmentierung und aktuelle Datensicherungen können mögliche Schäden begrenzen. Sie ersetzen jedoch keine wirksamen Sicherheitsupdates.
Künstliche Intelligenz unterstützt Sicherheitsforschung
Bei der Entdeckung der Schwachstellen spielten nach den vorliegenden Angaben auch KI-gestützte Analyseverfahren eine Rolle. Beteiligt waren Sicherheitsforscher verschiedener Organisationen, darunter Wiz, Calif und OpenAI.
Solche Werkzeuge können große Codebestände systematisch untersuchen und komplexe Fehlerkonstellationen erkennen. Dadurch lassen sich unter Umständen Sicherheitsprobleme identifizieren, die über längere Zeit unentdeckt geblieben sind.
Gleichzeitig können automatisierte Verfahren auch die Suche nach ausnutzbaren Schwachstellen beschleunigen. Für Unternehmen steigt damit die Bedeutung schneller Sicherheitsupdates und klar geregelter Reaktionsprozesse.
PHP2Shell erhöht Handlungsdruck vor dem Weihnachtsgeschäft
Die Sicherheitswarnung trifft den Onlinehandel in einer wirtschaftlich wichtigen Phase. Mit Black Friday und Weihnachtsgeschäft stehen zahlreiche Unternehmen vor den umsatzstärksten Wochen des Jahres.
Betriebsunterbrechungen oder Sicherheitsvorfälle könnten deshalb besonders hohe wirtschaftliche Schäden verursachen. Gleichzeitig müssen notwendige Aktualisierungen sorgfältig auf ihre Verträglichkeit mit bestehenden Shopinstallationen geprüft werden.
Wie viele Systeme tatsächlich kompromittiert wurden, lässt sich anhand der bislang vorliegenden Angaben nicht abschließend beurteilen. Die beobachteten Angriffsversuche unterstreichen jedoch die Dringlichkeit technischer Schutzmaßnahmen.
Der Vorfall zeigt, dass die Sicherheit digitaler Vertriebskanäle nicht allein von der eingesetzten Shopsoftware abhängt. Ebenso entscheidend sind die darunterliegenden Programmiersprachen, Serverkomponenten und die regelmäßige Pflege der gesamten IT-Infrastruktur.
