Steven Lafortune
David GrandolfoAm 21. Oktober 2026 hat das PHP-Projekt Notfall-Updates für zwei kritische Schwachstellen veröffentlicht, die gemeinsam als PHP2Shell geführt werden. Sie können einer Person, die nicht angemeldet ist, ermöglichen, Code auf einem Server auszuführen, der PHP für Webanfragen verwendet. Wiz Research, das die Schwachstellen zusammen mit Calif und OpenAI gemeldet hat, schätzt, dass PHP etwa 70 % der Websites antreibt, darunter WordPress, Joomla, Drupal und MediaWiki.
David Grandolfo, Koordinator für defensive Sicherheit, hat eine direkte Nachricht für Devolutions-Kunden: unsere SaaS-Produkte sind von PHP2Shell nicht betroffen.
Wir verstehen, dass Nachrichten über kritische Sicherheitsschwachstellen Sorgen machen können, besonders wenn sie Technologien betreffen, die Millionen von Websites weltweit nutzen. Für Devolutions-Kunden gibt es jedoch eine gute Nachricht: Unsere Produkte und Dienste sind von PHP2Shell nicht betroffen.
Der Grund ist einfach: Wir verwenden PHP weder in unseren Produkten noch in unserer Infrastruktur. Diese konkreten Schwachstellen haben daher keine Auswirkung auf die Lösungen von Devolutions.
Unser Sicherheitsteam beobachtet neue Bedrohungen laufend und bewertet ihre mögliche Wirkung auf unsere Produkte und Dienste. In diesem Fall können Kunden sicher sein: Es sind keine zusätzlichen Updates, Konfigurationsänderungen oder Maßnahmen ihrerseits nötig, um PHP2Shell zu begegnen.
Unternehmen, die PHP einsetzen, sollten die verfügbaren Sicherheitsupdates so bald wie möglich einspielen. Devolutions-Kunden können unsere Lösungen weiter mit Vertrauen nutzen.
Was PHP2Shell ist
Die beiden Schwachstellen sind CVE-2026-109618 und CVE-2026-109619. Der PHP-Sicherheitshinweis sagt, dass beide eine nicht authentifizierte Remotecodeausführung ermöglichen können. Sie betreffen PHP-Installationen, die Webanfragen beantworten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das PHP-Sicherheitsteam sagt, das Risiko sei bei mod_php am höchsten, weil eine Anfrage die Schwachstelle erreichen kann, bevor der eigene Anwendungscode der Site läuft.
Google Cloud beschreibt den offiziellen CVSS-Basiswert mit 9,2 (kritisch) für jede Schwachstelle und nennt betroffene Versionen von PHP 5.4 bis 8.5.11. Wiz nennt denselben Bereich: Nahezu jede PHP-Version der letzten zehn Jahre ist von mindestens einem der Probleme betroffen. Die Fehler sitzen in der PHP-Engine, daher bleibt eine sorgfältige Anwendung auf einer ungepatchten Laufzeit exponiert. Wiz sagt außerdem, der anfällige Code sei seit mehr als einem Jahrzehnt in PHP gewesen und KI-Werkzeuge hätten es praktikabel gemacht, die Fehler zu zeigen und bei der Behebung zu helfen.
BleepingComputer berichtet, Cloudflare habe schon frühe Angriffsversuche gesehen, als die Patches erschienen, und eine vorübergehende Filterung ersetze das Update nicht. Derselbe Bericht nennt eine Warnung des britischen National Cyber Security Centre: Systeme, die PHP nutzen, aktualisieren oder vom Netz nehmen, bis sie gepatcht werden können.
Was Sie installieren sollten
Das PHP-Projekt sagt, es gebe keine vollständigen Gegenmaßnahmen. Das Update ist die einzige sichere Wahl. Installieren Sie eine dieser Versionen:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Linux-Distributionen und Anbieter mit Langzeitunterstützung haben die Patches vor der öffentlichen Veröffentlichung erhalten. Prüfen Sie daher bei Ihrem Anbieter, ob aktualisierte Pakete vorliegen. PHP 8.1 und älter erhält vom PHP-Projekt keine Updates mehr. Einige Anbieter portieren die Korrekturen zurück. Wenn Sie diese Versionen einsetzen, wenden Sie sich an Ihren Anbieter oder wechseln Sie auf eine unterstützte Version. Für alle, die aus dem Quellcode bauen, hat das PHP-Sicherheitsteam auch minimale Quellcode-Rückportierungen für PHP 7.4, PHP 8.0 und PHP 8.1 veröffentlicht.
Der Hinweis beschreibt ein paar vorübergehende Maßnahmen für Teams, die heute nicht aktualisieren können. PHP sagt ausdrücklich, dass diese Maßnahmen eine Installation nicht sicher machen.
Wenn Sie PHP selbst betreiben
Devolutions-Produkte und -Dienste verwenden kein PHP, auf dieser Seite ändert sich also nichts. Dieser Hinweis deckt keine PHP-Site ab, die Sie selbst betreiben: eine öffentliche Website, ein Intranet oder ein Content-Management-System. Wenn das in Ihrer Umgebung liegt, behandeln Sie es als eigene Aufgabe und aktualisieren Sie PHP auf eine Version aus der Liste oben.