PHP2Shell: Wichtiger Sicherheitshinweis für deine PHP-Websites
Kritische PHP-Sicherheitslücken: Prüfe deine PHP-Installationen und installiere die verfügbaren Sicherheitsupdates.
Was ist passiert?
Am 21. Oktober 2026 hat das PHP-Team Sicherheitsupdates gegen zwei kritische Schwachstellen veröffentlicht: CVE-2026-109618 und CVE-2026-109619, bekannt als PHP2Shell. Unter bestimmten Bedingungen können Angreifer ohne Anmeldung Code mit den Rechten des Webserver-Prozesses ausführen.
Was solltest du jetzt tun?
- PHP aktualisieren: Die Korrekturen sind in PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 enthalten. Verwende mindestens die korrigierte Version deines Zweigs oder ein nachweislich gepatchtes Paket deines Betriebssystem-Anbieters. Eine ältere Versionsnummer allein beweist bei solchen Paketen keine Verwundbarkeit: Prüfe den Sicherheitshinweis deines Distributors.
- Alle PHP-Worker neu starten: Stelle nach dem Update sicher, dass keine Prozesse mit dem alten PHP-Code weiterlaufen. Prüfe alle Websites, PHP-Versionen und Container getrennt.
- Anwendungen aktuell halten: Aktualisiere auch dein CMS, Plugins und Themes. Ein CMS-Update allein ersetzt das PHP-Sicherheitsupdate nicht.
Was bedeutet das für deinen Key2Host-Dienst?
Eigener Cloud Server: Wenn du PHP selbst betreibst, prüfe und aktualisiere deine Installation einschließlich eigener Container. Sichere vor Änderungen deine Daten und prüfe anschließend deine Website.
Webhosting: Wenn du den Patchstand deiner verwendeten PHP-Version nicht feststellen kannst, melde dich über das Helpcenter. Nenne deine Domain und die verwendete PHP-Version. Dieser Hinweis bestätigt keinen individuellen Patchstand oder Sicherheitsvorfall.
Zusätzlicher Hinweis vom 23. Oktober
PHP empfiehlt vorübergehend, session.upload_progress.enabled=0 zu setzen, bis eine weitere Korrektur regulär veröffentlicht wird. Dieser zusätzliche Hinweis betrifft einen besonderen Konfigurationsfall und ersetzt die oben genannten Updates nicht. Prüfe Änderungen mit deinem Administrator.
Stand: 24. Oktober 2026.
Offizielle Quellen
Node.js-Sicherheitsupdate: Was du jetzt zu Node2Shell wissen solltest
Die Brotli-Lücke CVE-2026-111497 und weitere Node.js-Schwachstellen wurden behoben.
Entwicklungsupdate zu Key2Host
Key2Host befindet sich weiterhin in aktiver Entwicklung. Fortschritte werden kontinuierlich erzielt, Updates werden regelmäßig auf Discord geteilt.