Kritische PHP-Lücken: Hoster melden Angriffe vor dem Update um 16 Uhr

Markus Seyfferth

Autor Dr. Web

21. Okt. 2026

3 Min. Lesezeit

Am Mittwochmorgen meldeten mehrere Hoster dem Sicherheitsanbieter Patchstack Angriffe auf zwei kritische Lücken in PHP. Das Update der PHP-Entwickler ist erst für 16 Uhr angekündigt, Einzelheiten zu den Lücken kursieren seit Dienstag. Gefährdet ist jede Website auf einer betroffenen PHP-Version, ob mit WordPress, Drupal oder Magento.

Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügen

Stand: Mittwoch, 21. Oktober, 10:50 Uhr. Am Dienstag hatte das PHP-Sicherheitsteam in einer Vorwarnung das Update angekündigt und sich vorbehalten, das Update bei Angriffen früher zu veröffentlichen.^[2] Um 9:34 Uhr vermerkte Patchstack in seiner laufend ergänzten Chronik die ersten Berichte über Angriffe.^[1]

Auf einen Blick

Das Wichtigste in Kürze

Patchstack meldet Angriffe, das PHP-Team hat sie bis 10:50 Uhr nicht bestätigt.
Beide Lücken (CVE-2026-109618 und CVE-2026-109619) bewertet das PHP-Team nach CVSS 4.0 mit 9,2 von 10 Punkten.
Betroffene und abgesicherte Versionen nennt das PHP-Team erst mit dem Update um 16 Uhr.
Auf PHP 8.1 und älter laufen laut WordPress.org 36,4 % der WordPress-Websites, diese Versionen pflegt das PHP-Team nicht mehr.

Was ist seit der Vorwarnung bekannt?

Umschlag mit Text, zerbrochenem Siegel und Kaffee-Etikett auf weißem Grund — Sicherheitsforscher Kevin Beaumont meldet, dass Lücken vor dem Patch veröffentlicht wurden. WatchTowr bestätigt beide Schwachstellen, die in Fachkreisen „PHP2Shell“ heißen

Am Dienstagabend schrieb der Sicherheitsforscher Kevin Beaumont, jemand habe die Lücken vor dem Patch öffentlich gemacht.^[5] Die Sicherheitsfirma watchTowr bestätigte kurz darauf beide Schwachstellen und riet, die Updates gleich nach dem Erscheinen einzuspielen.^[4] In Fachkreisen heißen die beiden Fehler seither „PHP2Shell“.^[1]

Laut Patchstack erlauben die Lücken Angreifern, eigenen Code auf dem Server auszuführen. Beide Schwachstellen stecken im PHP-Interpreter selbst, nicht in einer einzelnen Anwendung.^[1] Das EU-Computernotfallteam CERT-EU hält alle Versionen ab PHP 5 für möglicherweise betroffen und rät, aus dem Internet erreichbare Anwendungen notfalls vom öffentlichen Netz zu trennen.^[3]

Die Berichte über Angriffe stammen von Hostern, mit denen Patchstack zusammenarbeitet. Zahlen oder betroffene Systeme nennt der Sicherheitsanbieter nicht.

Warum sind vorab bekannte Details so gefährlich?

Bei einer koordinierten Offenlegung bereiten die Entwickler das Update vor, Einzelheiten erfährt die Öffentlichkeit erst mit der Korrektur. Betreiber gewinnen so einen Vorsprung, bei PHP2Shell fiel er weg: Die Details kursierten schon vor dem Update. Um 16 Uhr verrät der Vergleich von alter und neuer Version im quelloffenen PHP-Code, wo die Fehler sitzen. Mit diesem Wissen lassen sich Angriffe entwickeln.

Laut WordPress.org laufen 36,4 % der WordPress-Websites auf PHP 8.1 oder älter.^[6] Sicherheitskorrekturen veröffentlicht das PHP-Team nur noch für 8.2 bis 8.5.^[7] Trifft die Einschätzung von CERT-EU zu, bleiben diese Altversionen nach 16 Uhr ohne Korrektur vom PHP-Team. Bei Log4Shell, einer Lücke in einer verbreiteten Java-Bibliothek, rief das BSI im Dezember 2021 die Warnstufe Rot aus, weil Angreifer sie weltweit ausnutzten.^[8]

PHP2Shell: von den ersten Details bis zum Update

Stand 21. Oktober 2026, 10:50 Uhr, Uhrzeiten nach deutscher Zeit

9,2

von 10 Punkten nach CVSS 4.0 vergibt das PHP-Team für jede der beiden Lücken

36,4 %

der WordPress-Websites laufen auf PHP 8.1 oder älter, diese Versionen pflegt das PHP-Team nicht mehr

ab PHP 5

hält CERT-EU alle Versionen für möglicherweise betroffen

Der Ablauf

20. Oktober

Durchgesickert

Einzelheiten zu beiden Lücken werden vor dem Update bekannt

20. Oktober

Bestätigung

watchTowr bestätigt die Lücken, das PHP-Team kündigt das Update an

20. Oktober

Warnung

CERT-EU rät, erreichbare Anwendungen notfalls vom Netz zu trennen

21. Oktober, 9:34 Uhr

Angriffe

Hoster melden Patchstack die ersten Angriffe

21. Oktober, 16 Uhr

Update

Das PHP-Team will abgesicherte Versionen und Einzelheiten veröffentlichen

Gegen durchgesickerte Details kann kein Betreiber etwas tun, gegen PHP 8.1 auf dem eigenen Server schon.
Michael Dobler, Herausgeber Dr. Web

Was sollten Betreiber bis 16 Uhr tun?

Bestand erfassen: Listen Sie jede PHP-Installation auf, auch Testumgebungen, Container und vergessene Altprojekte.
Update einspielen: Spielen Sie die neuen PHP-Versionen ein, sobald PHP oder Ihre Linux-Distribution sie bereitstellt. Bei Managed Hosting fragen Sie gerne nach dem Zeitplan des Anbieters.
Übergang absichern: Patchstack nennt als Notbehelf, die Fortschrittsanzeige für Datei-Uploads abzuschalten (Einstellung session.upload_progress.enabled). Die Maßnahme beruht auf ersten Analysen und ersetzt das Update nicht.^[1]
Altsysteme abschotten: Nehmen Sie Server mit PHP 8.1 oder älter notfalls vom Netz oder erlauben Sie den Zugriff nur noch per VPN.
Bastellösungen meiden: Vor inoffiziellen „Fix“-Plugins und kopierten Code-Schnipseln warnt Patchstack.

Für die Lücken liegen Berichte über Angriffe vor, ein Patch fehlt noch. Übernimmt ein Angreifer einen Server mit Kundendaten, muss der Verantwortliche die Datenpanne nach Art. 33 DSGVO in der Regel binnen 72 Stunden der Aufsichtsbehörde melden.^[9] Managed-Hoster aus dem WordPress-Hosting-Vergleich spielen PHP-Updates meist selbst ein. Den Umstieg auf eine gepflegte Version erklärt der Ratgeber zum PHP-Update für WordPress, Grundregeln bündelt der Beitrag zur WordPress-Sicherheit.

FAQ: Kritische PHP-Lücken: Hoster melden Angriffe vor dem Update um 16 Uhr

Welche PHP-Versionen sind von PHP2Shell betroffen?

Betroffene und abgesicherte Versionen nennt das PHP-Team erst mit dem Update am 21. Oktober 2026 um 16 Uhr deutscher Zeit. CERT-EU hält alle Versionen ab PHP 5 für möglicherweise betroffen. Sicherheitskorrekturen bekommen offiziell nur noch PHP 8.2 bis 8.5.

Hilft ein WordPress-Update gegen PHP2Shell?

Nein. Die Lücken stecken im PHP-Interpreter auf dem Server, nicht in WordPress oder einem Plugin. Schließen lassen sich die Lücken nur mit einer neuen PHP-Version, die der Hoster oder der Betreiber des Servers einspielt.

Werden die PHP-Lücken schon ausgenutzt?

Laut Patchstack meldeten mehrere Hoster am Morgen des 21. Oktober 2026 Angriffe. Zahlen nennt der Sicherheitsanbieter nicht, das PHP-Team hat die Angriffe bis 10:50 Uhr nicht bestätigt. Einzelheiten zu den Lücken kursieren seit dem 20. Oktober.

Was bedeutet koordinierte Offenlegung bei Sicherheitslücken?

Bei einer koordinierten Offenlegung bereiten die Entwickler das Update vor, bevor Einzelheiten zu einer Lücke öffentlich werden. Betreiber können so patchen, bevor Angreifer die Details kennen. Bei PHP2Shell sickerten die Einzelheiten vor dem Update durch.