PHP2Shell: Was hinter der PHP Lücke steckt und warum eure Seiten schon sicher sind

Vielleicht habt ihr es in den letzten Tagen schon mitbekommen: In PHP wurden zwei kritische Sicherheitslücken gefunden. Da fast alle Seiten, die ich betreue, auf PHP laufen, will ich kurz erklären, was da los ist. Vorweg das Wichtigste: Ich habe gestern Abend bereits alle betreuten Seiten aktualisiert bzw. die Settings angepasst. Ihr müsst also nichts machen.

Worum geht es?

Die beiden Lücken haben die Kennungen CVE-2026-109618 und CVE-2026-109619. In der Fachpresse heißen sie „PHP2Shell“, in Anlehnung an die bekannte Log4j Lücke von 2021. Mit einer Bewertung von 9,2 von 10 sind sie als kritisch eingestuft, Angreifer könnten damit aus der Ferne Schadcode auf Webservern ausführen. Und zwar ohne sich vorher anmelden zu müssen.

Wichtig zu wissen: Das Problem liegt im Server und nicht in WordPress selbst. Ein WordPress Update hilft hier also nicht weiter, die PHP Version auf dem Server muss aktualisiert werden. Betroffen sind alle Versionen von PHP 5.4 bis 8.5.11.

Wie ist der aktuelle Stand?

Eigentlich sollten die Details erst später veröffentlicht werden, sie sind aber vorher durchgesickert. PHP hat die Updates deshalb schon am 21. Oktober nachmittags rausgebracht. Sicher sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es vom PHP Projekt keine Updates mehr.

Angriffe gibt es leider schon. Laut Cloudflare ging die Zahl nach Bekanntwerden der Lücke innerhalb kurzer Zeit in die Millionen. Sophos hat außerdem einen öffentlichen Exploit und eine erfolgreiche Ausnutzung gesehen, ob ein Angriff klappt, hängt aber stark von der Konfiguration des Servers ab. Das BSI kennt laut seinem Update vom 22. Oktober noch keine erfolgreiche Ausnutzung in der Breite.

Was habe ich gemacht?

Ich habe mich gestern Abend direkt drangesetzt und auf allen betreuten Seiten PHP auf eine sichere Version gebracht. Wo das nicht sofort ging, habe ich die Einstellungen angepasst, die als Übergangslösung empfohlen werden. Zum Beispiel blockiert das Abschalten von session.upload_progress laut PHP einen der Angriffswege. Das reguläre Update ziehe ich dort nach, sobald es verfügbar ist.

Quellen:

1. BSI Cybersicherheitswarnung zu PHP
2. PHP 8.4.27 Release auf GitHub
3. The Hacker News zu PHP2Shell
4. Sophos zum öffentlichen Exploit
5. Borns IT Blog: Updates und Nachlese