PHP2Shell ist der Name, unter dem zwei kritische Sicherheitslücken in der Programmiersprache PHP kursieren. Sie wurden am 21. Oktober 2026 bekannt und tragen die Kennungen CVE-2026-109618 und CVE-2026-109619.
Was bedeutet das?
Beide Lücken ermöglichen laut Berichten Remote Code Execution: Ein Angreifer kann ohne Anmeldung eigenen Programmcode auf dem Webserver ausführen. Sie wurden mit einem CVSS-Wert von 9,2 von 10 bewertet. Da WordPress und viele andere Webseiten auf PHP laufen, ist potenziell jede Seite mit einer verwundbaren PHP-Version betroffen.
Welche PHP-Versionen sind gepatcht?
Gepatcht sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für die nicht mehr unterstützten Versionen 7.4, 8.0 und 8.1 gibt es keinen regulären Patch. Wer eine davon betreibt, muss auf eine unterstützte Version wechseln.
Wie reagiert OIT?
Wir haben noch am Tag der Veröffentlichung die PHP-Version bei allen betreuten Webseiten auf Raidboxes geprüft und stellen ältere Versionen nach Abstimmung auf eine aktuelle um. Die ausführliche Erklärung steht in unserem Wissensbeitrag PHP2Shell: Was die kritischen PHP-Lücken bedeuten und wie OIT reagiert. Mehr zu unserer Leistung IT-Sicherheit findest du hier.