PHP2Shell: Kritische PHP-Sicherheitslücke erkennen, überwachen und das Schließen nachweisen
Selten hat eine Sicherheitslücke so schnell so viele Unternehmen gleichzeitig betroffen: Unter dem Namen „PHP2Shell“ wurden in dieser Woche zwei kritische Schwachstellen in der Programmiersprache PHP bekannt. PHP ist die Grundlage eines großen Teils aller Webseiten, Onlineshops, Kundenportale und Content-Management-Systeme wie WordPress – und steckt darüber hinaus in vielen Appliances und Verwaltungsoberflächen, bei denen man gar nicht an PHP denkt.
Was über PHP2Shell bekannt ist
Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und sind jeweils mit 9,2 von 10 Punkten (CVSS 4.0) als kritisch eingestuft. Sie ermöglichen es Angreifern, ohne vorherige Anmeldung eigenen Programmcode auf dem Webserver auszuführen – im schlimmsten Fall bedeutet das die vollständige Übernahme des Servers.
Besonders brisant: Details zu den Schwachstellen wurden bereits vor dem offiziellen Update öffentlich. Das PHP-Projekt hat am 21. Oktober 2026 die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Für PHP 8.1 und ältere Versionen gibt es vom PHP-Projekt keine Korrektur mehr. Betroffen ist grundsätzlich jede PHP-Installation, die Webanfragen verarbeitet – unabhängig davon, ob PHP über PHP-FPM, Apache mit mod_php, php-cgi oder andere Webserver betrieben wird.
Das BSI geht davon aus, dass die Lücken großflächig ausgenutzt werden. Erste Angriffswerkzeuge sind bereits im Umlauf. Für Unternehmen heißt das: Jetzt zählt jede Stunde.
Die eigentliche Herausforderung: Wo läuft überall PHP?
Die Empfehlung klingt einfach – PHP aktualisieren. In der Praxis scheitert es aber oft an einer ganz anderen Frage: Welche Systeme im Unternehmen nutzen überhaupt PHP? Neben der offiziellen Unternehmenswebseite sind das häufig auch:
Intranet- und Kundenportale, Ticket- und Wiki-Systeme
Testumgebungen und alte Webserver, die „eigentlich“ längst abgeschaltet sein sollten
Weboberflächen von Appliances, Telefonanlagen, NAS-Systemen oder Steuerungen
Anwendungen von Dienstleistern, die im eigenen Netz betrieben werden
Genau diese vergessenen Systeme sind es, die Angreifer finden – denn sie suchen das Internet und kompromittierte Netzwerke automatisiert nach verwundbaren Diensten ab.
Wie Nexora® PHP-Schwachstellen sichtbar macht
Mit den Scans der Nexora® Penetration Testing Appliance werden die Systeme in Ihrem Netzwerk und an Ihrer Außengrenze geprüft. Dabei erkennt Nexora® Webanwendungen und Server, auf denen PHP läuft, und zeigt auf, wo verwundbare Versionen und bekannte Sicherheitslücken wie PHP2Shell vorhanden sind. Die Ergebnisse laufen im zentralen Nexora® Webportal zusammen und werden von unseren Sicherheitsexperten bewertet und priorisiert.
Der entscheidende Unterschied zu einem einmaligen Test: Nexora® prüft dauerhaft. Taucht ein neues System mit PHP im Netzwerk auf oder wird eine weitere Schwachstelle bekannt, wird das bei den laufenden Scans erkannt – nicht erst beim nächsten jährlichen Pentest.
Update eingespielt heißt nicht: Lücke geschlossen
Gerade bei einer kritischen Lücke wie PHP2Shell reicht es nicht, ein Update anzustoßen und den Punkt abzuhaken. Häufige Stolperfallen sind zum Beispiel:
Das Update wurde auf einem Teil der Server eingespielt, auf anderen aber nicht.
Die neue Version ist installiert, die laufenden PHP-Prozesse wurden aber noch nicht neu gestartet.
Eine Appliance bringt ihr eigenes PHP mit und muss vom Hersteller aktualisiert werden.
Vorübergehende Schutzmaßnahmen wurden gesetzt und später versehentlich wieder entfernt.
Mit Nexora® können Sie nach dem Patchen gezielt überprüfen, ob die Schwachstelle tatsächlich geschlossen wurde. Ein erneuter Scan zeigt, welche Systeme abgesichert sind und wo noch Handlungsbedarf besteht. Durch die kontinuierliche Überwachung fällt es außerdem auf, wenn ein bereits abgesichertes System später wieder verwundbar wird – etwa nach einer Wiederherstellung aus einem alten Backup.
Nachweis für Geschäftsführung, Audit und NIS2
Die Ergebnisse im Nexora® Portal dokumentieren nachvollziehbar, wann eine Schwachstelle erkannt und wann sie behoben wurde. Das schafft Klarheit für IT-Leitung und Geschäftsführung und liefert Nachweise für Audits, ISO/IEC 27001 und die Anforderungen der NIS2-Richtlinie an ein wirksames Schwachstellenmanagement.
Unser Rat: Jetzt handeln
Alle Systeme mit PHP identifizieren – nicht nur die bekannten Webseiten.
Auf die korrigierten PHP-Versionen aktualisieren bzw. Updates der Hersteller einspielen und Dienste neu starten.
Systeme mit PHP 8.1 oder älter vorrangig behandeln, da es hierfür keine offiziellen Korrekturen gibt.
Den Erfolg der Maßnahmen durch einen erneuten Scan überprüfen.
Sie möchten wissen, ob Ihre Systeme von PHP2Shell betroffen sind, oder prüfen lassen, ob Ihre Updates wirksam waren? Sprechen Sie uns an – wir unterstützen Sie mit Nexora® und unserem Remediation Support.
Hinweis: Das Titelbild dieses Beitrags wurde mit Hilfe künstlicher Intelligenz erstellt (Kennzeichnung gemäß Art. 50 KI-Verordnung (EU) 2024/1689).
Kommentare