PHP2Shell: Vier neue PHP-Versionen schließen die kritischen Lücken

Michael Dobler

Autor Dr. Web

21. Okt. 2026

3 Min. Lesezeit

Kurz vor 16 Uhr veröffentlichte das PHP-Team die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Die neuen Versionen schließen zwei kritische Lücken, über die Angreifer ohne Anmeldung eigenen Code auf Webservern ausführen können. WordPress selbst bekommt kein Update, Hoster und Betreiber müssen PHP auf dem Server aktualisieren.

Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügen

Stand: Mittwoch, 21. Oktober, 16:45 Uhr. Am Morgen hatten Hoster dem Sicherheitsanbieter Patchstack erste Angriffe auf die Lücken gemeldet. Kurz nach dem Update registrierte Patchstack nur Versuche, verwundbare Server aufzuspüren, aber noch keine bestätigten Einbrüche.^[1] Das BSI rechnet binnen weniger Stunden mit Angriffen in großem Stil.^[2]

Auf einen Blick

Das Wichtigste in Kürze

Abgesichert sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, beide Lücken bewertet das PHP-Sicherheitsteam nach CVSS 4.0 mit 9,2 von 10 Punkten.
Am höchsten ist das Risiko laut PHP-Team bei Apache mit mod_php, betroffen sind auch PHP-FPM, php-cgi, FrankenPHP und LiteSpeed.
Für PHP 7.4, 8.0 und 8.1 gibt es nur Korrekturen im Quellcode, fertige Pakete müssen Linux-Distributionen liefern.
Laut WordPress.org ist kein WordPress-Update geplant.

Was steckt hinter den beiden Lücken?

Einzelner Schlüssel mit Anhänger „Selbst nachfeilen“, daneben Schlüsselbund mit nummerierten Anhängern — Speicherfehler im PHP-Interpreter ermöglichen Angreifern, auf interne Daten freigegebener Speicherbereiche zuzugreifen

Beide Fehler (CVE-2026-109618 und CVE-2026-109619) sitzen in der Fehlerbehandlung des PHP-Interpreters. Bricht ein Speicherfehler eine Anfrage ab, bleiben interne Daten unfertig zurück oder zeigen auf bereits freigegebenen Speicher. Eine spätere Anfrage an denselben PHP-Prozess greift dann auf diese Reste zu.^[3] Ein Konto oder eine Lücke in WordPress oder einem Plugin brauchen Angreifer dafür nicht.

Gemeldet hat die Fehler die Sicherheitsfirma Wiz. Laut ihrem Bericht steckt mindestens einer davon in jeder PHP-Version seit 5.4. Wiz führte auf aktuellen Testinstallationen von WordPress, Drupal und Joomla ohne Anmeldung eigenen Code aus. In einem zweiten Angriff lasen die Forscher Passwörter und API-Schlüssel aus dem Arbeitsspeicher der PHP-Prozesse.^[4]

Warum drängt die Zeit diesmal besonders?

Seit mehr als zehn Jahren lagen die Fehler laut Wiz im Code. Ein funktionierender Angriff verlangte bisher viele aufeinander aufbauende Einzelschritte, angepasst an jeden Server. Mit KI-Modellen von Google und OpenAI baute Wiz solche Angriffe nach eigenen Angaben in Stunden.^[4] „Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich“, sagt BSI-Vizepräsident Thomas Caspers. Angreifer könnten die Updates mit KI-gestützten Werkzeugen schnell auswerten.^[2]

Dazu kommen Altlasten: Auf PHP 8.1 oder älter laufen laut WordPress.org 36,4 % der WordPress-Websites.^[5] Vorsorglich gingen am Mittwoch die niederländischen Behördenportale DigiD und MijnOverheid vom Netz.^[1] In Deutschland schaltete die Stadt Mainz mehrere Internetdienste und ihr Webportal ab.^[6]

PHP2Shell: Welche PHP-Version schließt die Lücken?

Abgesicherte Versionen laut PHP Group, Anteile laut WordPress.org, Stand 21. Oktober 2026

9,2

von 10 Punkten nach CVSS 4.0 vergibt das PHP-Sicherheitsteam für jede der beiden Lücken

seit 5.4

ist laut Wiz jede PHP-Version von mindestens einer der Lücken betroffen

36,4 %

der WordPress-Websites laufen auf PHP 8.1 oder älter und bekommen keine neue Version vom PHP-Team

Korrektur je Versionszweig

ZweigKorrekturAnteil an WordPress-Websites

8.5PHP 8.5.12

8.4PHP 8.4.27

8.3PHP 8.3.36

8.2PHP 8.2.35, Pflege endet am 31.12.2026

8.1nur Korrektur im Quellcode

8.0nur Korrektur im Quellcode

7.4nur Korrektur im Quellcode

älterkeine Korrektur vom PHP-Team

Die wichtigste Zeile im WordPress-Backend steht heute im Website-Zustand: die PHP-Version.
Markus Seyfferth, Chefredakteur Dr. Web

Was sollten WordPress-Betreiber jetzt tun?

Version ablesen: Unter „Werkzeuge“, „Website-Zustand“, „Bericht“ und „Server“ zeigt WordPress die PHP-Version der Website.^[7]
Hoster fragen: Bei Shared und Managed Hosting spielt der Anbieter das Update ein. Fragen Sie gerne nach, ob Ihre Websites schon eine der vier neuen Versionen nutzen.
Eigene Server aktualisieren: Spielen Sie die Pakete Ihrer Linux-Distribution ein und starten Sie jeden PHP-Prozess neu. Das freiwillig gepflegte Paketarchiv remirepo bekommt laut PHP-Team am Mittwoch keine Updates.^[3]
Altsysteme abschalten: Für selbst verwaltete Server mit PHP vor 8.2 rät WordPress.org, die Website notfalls vom Netz zu nehmen, bis eine gepflegte Version läuft.^[7]
Spuren prüfen: Als Warnzeichen nennt Wiz gehäufte Serverfehler nach Speicherproblemen, auffällig große Sitzungs-Cookies und PHP-Prozesse, die ohne Grund neu starten.^[4]

Gelangt ein Angreifer an Kundendaten, muss der Verantwortliche die Datenpanne nach Art. 33 DSGVO in der Regel binnen 72 Stunden der Aufsichtsbehörde melden.^[8] Managed-Hoster aus dem WordPress-Hosting-Vergleich spielen PHP-Updates meist selbst ein. Den Umstieg auf eine gepflegte Version erklärt der Ratgeber zum PHP-Update für WordPress, Grundregeln bündelt der Beitrag zur WordPress-Sicherheit.

FAQ: PHP2Shell: Vier neue PHP-Versionen schließen die kritischen Lücken

Welche PHP-Versionen schließen PHP2Shell?

PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 schließen beide Lücken (CVE-2026-109618 und CVE-2026-109619). Erschienen sind die Versionen am 21. Oktober 2026 kurz vor 16 Uhr deutscher Zeit. Linux-Distributionen bekamen die Korrekturen vorab und liefern eigene Pakete.

Brauche ich ein WordPress-Update gegen PHP2Shell?

Nein. Laut WordPress.org ist kein WordPress-Update geplant, die Lücken stecken im PHP-Interpreter auf dem Server. Schließen lassen sie sich nur mit einer neuen PHP-Version, die der Hoster oder der Betreiber des Servers einspielt.

Was gilt für PHP 8.1 und ältere Versionen?

Neue Versionen veröffentlicht das PHP-Team für 8.1 und älter nicht. Für PHP 7.4, 8.0 und 8.1 gibt es Korrekturen im Quellcode, fertige Pakete müssen Linux-Distributionen liefern. WordPress.org rät, betroffene selbst verwaltete Websites notfalls vom Netz zu nehmen.

Wie finde ich die PHP-Version meiner WordPress-Website?

WordPress zeigt die PHP-Version im Backend unter „Werkzeuge“, „Website-Zustand“, „Bericht“ und „Server“. Viele Hoster nennen sie zusätzlich in ihrer Verwaltungsoberfläche. Abgesichert sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12 sowie neuere Versionen.