Kritische Sicherheitslücken in PHP („PHP2Shell“): Sicherheitsupdates sind eingespielt

Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in der Programmiersprache PHP veröffentlicht (CVE-2026-109618 und CVE-2026-109619), die in der Berichterstattung auch als „PHP2Shell“ bezeichnet werden. Unter bestimmten Umständen ermöglichen sie Angreifern, ohne Anmeldung Schadcode auf Webservern auszuführen. 

Da PHP die Grundlage vieler verbreiteter Anwendungen wie WordPress, Joomla, Drupal oder Shopware bildet, sorgt das Thema derzeit weltweit für große Aufmerksamkeit.

Was ist passiert?

Die Schwachstellen wurden von Sicherheitsforschern entdeckt und dem PHP-Team vertraulich gemeldet. Die Veröffentlichung der Details sowie der Sicherheitsupdates war für den 22. Oktober geplant. 

Bereits am 20. Oktober gelangten jedoch erste Informationen vorzeitig an die Öffentlichkeit. 

Das PHP-Team zog die Veröffentlichung daraufhin vor und stellte am 21. Oktober die abgesicherten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 bereit. Diese Versionsnummern beziehen sich auf das Original-PHP von php.net. Linux-Distributionen wie Ubuntu und Debian verwenden eigene Versionsnummern (mehr dazu weiter unten).

Für ältere PHP-Versionen, deren Support bereits ausgelaufen ist (End of Life), stellt das PHP-Team keine Korrekturen mehr zur Verfügung.

Da die Lücken vor der Bereitstellung der Updates bekannt wurden und Berichten zufolge bereits einzelne Ausnutzungsversuche beobachtet wurden, lässt sich ein Angriff im Zeitraum vor dem Patch nicht mit letzter Sicherheit ausschließen. Uns liegen jedoch keine Hinweise auf eine Kompromittierung unserer Systeme vor.

Wie hat VegaSystems reagiert?

Wir haben unmittelbar reagiert und bereits vor Veröffentlichung der Sicherheitsupdates zusätzliche Schutzmaßnahmen auf unseren Servern aktiviert. Sobald die Patches verfügbar waren, haben wir alle bei uns angebotenen PHP-Versionen mit den notwendigen Sicherheitskorrekturen versehen.

Abgesichert sind damit:

• alle betroffenen Systeme im Shared Webhosting,
• alle im Rahmen eines Wartungsvertrags betreuten Green- und Private-Cloud-Server mit unterstützten Betriebssystem-Distributionen (non-EOL).

Warum zeigt Ubuntu 24.04 PHP 8.3.6 statt 8.3.36 an?

Einige Kunden haben uns gefragt, warum auf unseren Ubuntu-24.04-Systemen PHP 8.3.6 installiert ist und nicht die oben genannte Version 8.3.36. Der Grund: Ubuntu und Debian aktualisieren Pakete innerhalb einer Release nicht auf neue Upstream-Versionen. Stattdessen übernehmen sie die Sicherheitskorrekturen aus neueren Versionen in die ursprünglich ausgelieferte Version (Backporting). So bleibt das Verhalten der Software unverändert, während die Lücke geschlossen wird.

Die Versionsnummer setzt sich daher aus zwei Teilen zusammen:

• 8.3.6: die PHP-Basisversion von Ubuntu 24.04, die über die gesamte Lebensdauer der Release gleich bleibt,
• -0ubuntu0.24.04.13: die Ubuntu-Paketrevision, die die eingespielten Sicherheitsupdates enthält.

Die bei uns installierte Version 8.3.6-0ubuntu0.24.04.13 enthält den Fix für die aktuellen Lücken. Die Angabe „behoben ab 8.3.36“ bezieht sich auf das Original-PHP von php.net und lässt sich nicht direkt auf Distributionspakete übertragen. Sicherheitsscanner, die nur die Versionsnummer vergleichen, melden hier deshalb fälschlicherweise eine Schwachstelle.

Nachweisen lässt sich der Fix über:

• den Paketmanager (dpkg -l php8.3), der die genaue Versionsnummer anzeigt,
• den Paket-Changelog (apt changelog php8.3), in dem die CVE-Nummer aufgeführt ist,
• den Ubuntu CVE-Tracker bzw. die zugehörige Ubuntu Security Notice USN-8948-1.

Unsere Empfehlung

Auch wenn uns keine Hinweise auf Angriffe vorliegen, empfehlen wir Ihnen, Ihre Webseiten und Anwendungen auf ungewöhnliche Veränderungen zu prüfen, insbesondere auf:

• unbekannte oder neu hinzugekommene Dateien,
• unerwartete Änderungen an Inhalten oder Einstellungen,
• neu angelegte oder unbekannte Benutzerkonten.

Betreiben Sie einen eigenen Server ohne Wartungsvertrag oder nutzen Sie eine PHP-Version bzw. Distribution, deren Support ausgelaufen ist, sollten Sie zeitnah auf eine aktuelle, unterstützte Version aktualisieren. Nutzen Sie Ubuntu oder Debian, prüfen Sie dabei die Paketrevision wie oben beschrieben und nicht nur die PHP-Versionsnummer.

Bei Fragen oder Auffälligkeiten ist unser Support-Team gerne für Sie da unter info@vegasystems.de oder 05251/14854-0.