heise security warnt:

Kritische PHP-Lücken erlauben Angriffe

Hannover, 21. Oktober 2026 – Zwei schwerwiegende Sicherheitslücken in der Webskriptsprache PHP gefährden Millionen Webserver weltweit. Betroffen sind alle Versionen der letzten 20 Jahre. Angreifer können ohne Anmeldung Schadcode einschleusen und ausführen. Administratoren sollten umgehend auf die aktualisierten Versionen 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren, rät heise security.

Die unter dem Namen php2shell zusammengefassten Schwachstellen stecken in der Fehler- und Speicherverwaltung von PHP. Beide Lücken gelten als kritisch. Sie ermöglichen Angreifern, eigenen Code im Nutzerkontext des Webservers auszuführen – eine der gefährlichsten Angriffsformen überhaupt.

„Es handelt sich um eine der schwersten Sicherheitslücken in PHP seit mindestens einem Jahrzehnt. Wer eine Webseite betreibt, muss unbedingt zügig für Updates sorgen - Angriffe werden nicht lange auf sich warten lassen“, erklärt heise online Redakteur Dr. Christopher Kunz.

Die erste Lücke nutzt einen Fehler aus, der auftritt, wenn ein Skript das eingestellte Speicherlimit erreicht. Haben Angreifer ein speziell präpariertes Upload-Formular oder verschachtelte Arrays eingeschleust, gerät die Speicherverwaltung aus dem Tritt. Die Folge: Angreifer können Schadcode ausführen.

Der zweite Fehler betrifft die Verarbeitung von Skriptfehlern. Hier benötigen Angreifer mindestens zwei HTTP-Anfragen: Die erste erzeugt einen instabilen Zustand, die zweite nutzt diesen aus. „Angriffe sind grundsätzlich ohne vorherige Anmeldung möglich", warnt heise security. Die Codeausführung funktioniere innerhalb einiger Tausend Anfragen zuverlässig und eigne sich daher für automatisierte Attacken.

Betroffen sind gängige Webserver-Konfigurationen: Apaches mod_php, PHP per FPMund auch Windows-Server. Die Fehler existieren in allen PHP-Versionen seit PHP 5, das bereits seit 21 Jahren veraltet ist.

Die PHP Group hat Updates veröffentlicht, die auf php.net verfügbar sind. Wer ältere Versionen nutzt, sollte mindestens auf PHP 8.3 wechseln. Die Unterstützung läuft hier noch bis Ende 2027. Das größte Zeitpolster bietet PHP 8.5.12.

Die Schwachstellen wurden von Forschern des Unternehmens Calif sowie von Googleund OpenAI entdeckt. „Daß die Lücken bereits von Kriminellen ausgenutzt werden, ist nicht bekannt, das dürfte sich aber bald ändern", sagt Kunz.