Die US-Cybersicherheitsbehörde CISA hat am 26. Oktober 2026 die beiden PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Über die Fehler können Angreifer ohne Anmeldung eigenen Code auf einem Webserver ausführen. Das PHP-Projekt bewertet beide mit 9,2 von 10 Punkten (CVSS 4.0) und stuft sie in seinem Sicherheitshinweis vom 21. Oktober als kritisch ein.
Betroffen ist jede PHP-Installation, die Webseiten ausliefert, egal ob über PHP-FPM, Apache mit mod_php oder LiteSpeed. Auch jede WordPress-Seite hängt deshalb an der Frage, welche PHP-Version ihr Server ausführt. Ein WordPress-Update hilft hier nicht, denn die Fehler stecken in PHP selbst.
Was ist seit dem Update passiert?
Das PHP-Projekt veröffentlichte am 21. Oktober die abgesicherten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Am selben Tag rief das Bundesamt für Sicherheit in der Informationstechnik dazu auf, die Updates unverzüglich einzuspielen. Seither kursieren die Lücken unter dem Namen PHP2Shell.
PHP2Shell: vom Update zum Angriff
Zwei kritische Lücken in PHP, Stand 27. Oktober 2026
- 21. Oktober 2026PHP veröffentlicht 8.5.12, 8.4.27, 8.3.36 und 8.2.35
- 24. Oktober 2026Angreifer führen auf drei Testservern 35-mal eigene Befehle aus
- 26. Oktober 2026Die CISA führt beide Lücken als aktiv ausgenutzt
- 27. Oktober 2026Censys zählt in Deutschland über 4 Millionen Dienste mit anfälliger Versionsnummer
Die Censys-Zahl beruht auf Versionsnummern; nachträglich eingebaute Korrekturen erkennt der Scanner nicht.
Quellen: PHP-Projekt, CISA, honeypot-data auf GitHub, heise online
Den ersten öffentlichen Nachweis erfolgreicher Angriffe lieferte am 24. Oktober Adel Karimishiraz, der beim KI-Unternehmen Perplexity die Angriffserkennung leitet und nebenbei Honeypots betreibt, also absichtlich verwundbare Lockvogel-Server. Auf drei dieser Server mit PHP 8.4.26 und Apache-Modul mod_php führten Angreifer von zwei IP-Adressen aus insgesamt 35-mal eigene Befehle aus, wie sein Bericht auf GitHub belegt. Die Versuche der Angreifer, weitere Programme nachzuladen, scheiterten in der Testumgebung.
Wie viele Server noch offen sind, lässt sich nur schätzen. Laut heise online zählte der Scanner der Sicherheitsfirma Censys am 27. Oktober in Deutschland noch mehr als 4 Millionen Dienste, die sich mit einer anfälligen PHP-Version melden. Censys schränkt selbst ein, dass Linux-Distributionen die Korrektur oft in ältere Versionsstände einbauen. Die Zahl ist deshalb nur ein Anhaltspunkt.
Wie findest du heraus, ob deine Website betroffen ist?
In WordPress zeigt dir die Seite „Werkzeuge“ › „Website-Zustand“ im Reiter „Bericht“ unter „Server“ die PHP-Version an. Abgesichert sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie jede spätere Version derselben Reihe.
Eine ältere Nummer im Bericht beweist noch keine offene Lücke. Viele Hoster bauen die Korrektur in ihre eigenen PHP-Pakete ein, ohne die Versionsnummer zu ändern. Gewissheit bringt nur die Nachfrage, ob die beiden CVE-Nummern auf deinem Server geschlossen sind.
Für PHP 8.1 und älter gibt das PHP-Projekt keine regulären Updates mehr heraus. Für 7.4, 8.0 und 8.1 stellte das Sicherheitsteam nur minimale Korrekturen im Quelltext bereit, die Hoster selbst einbauen müssen. WordPress empfiehlt ohnehin PHP 8.3 oder neuer, und für PHP 8.2 enden die Sicherheitsupdates am 31. Dezember 2026.
Was das für dich bedeutet
Schau am besten noch heute in den Website-Zustand jeder WordPress-Seite, die du betreust, und notier dir die PHP-Version. Liegt die Version unter den abgesicherten Nummern, schreib deinem Hoster und frag konkret, ob CVE-2026-109618 und CVE-2026-109619 in deinem Tarif geschlossen sind. Bleibt dein Hoster eine klare Antwort schuldig, hilft der Vergleich von Shared Hosting, Cloud und VPS bei der Suche nach einem neuen Anbieter.
Bei vielen Hostern lässt sich die PHP-Version im Kundenmenü auch selbst auf 8.3 oder 8.4 umstellen. Teste danach am besten kurz, ob Theme und Plugins sauber laufen.
Betreibst du einen eigenen Server, spiel die PHP-Pakete deiner Distribution ein und starte PHP-FPM oder Apache neu. Das PHP-Projekt stellt klar, dass Übergangslösungen wie das Abschalten von session.upload_progress eine Installation nicht sicher machen; vollständig schließt nur das Update die Lücken.
Ein Blick unter „Benutzer“ schadet ebenfalls nicht: Administratorkonten, die du nicht angelegt hast, sind ein Grund, sofort den Hoster einzuschalten. Wie du Backups und Grundschutz für eine WordPress-Seite einrichtest, zeigt die Lektion Sicherheit und Backups im WordPress-Kurs.
Die CISA hat die beiden Lücken am 26. Oktober 2026 in ihren Katalog aufgenommen.
Quellen
