Wissen · Stand 23. Oktober 2026

CVE-2026-109618: PHP2Shell-Lücke durch Speichermangel

CVE-2026-109618 ist eine der beiden kritischen Sicherheitslücken, die unter dem Namen PHP2Shell bekannt wurden. Sie steckt im PHP-Interpreter selbst und betrifft damit jede Website, die eine ungepatchte PHP-Version ausführt.

Kurz zusammengefasst

Schweregrad

CVSS 4.0: 9.2 (kritisch)

Art

Speicherbeschädigung bei Speichermangel (Out-of-Memory)

Folge

Ausführung von eigenem Code ohne Anmeldung, mit den Rechten des Webserver-Kontos

Behoben in

PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35

Verwandt

CVE-2026-109619

Was passiert technisch?

Läuft PHP während einer Anfrage der Speicher aus, kann der Interpreter unterbrochen werden, während interne Anfragedaten erst teilweise initialisiert sind. Die anschließende Aufräumroutine behandelt diese ungültigen Daten als gültig. Angreifer können das ohne Anmeldung zur Ausführung von eigenem Code nutzen. Bei Apache mit mod_php lässt sich die Lücke auslösen, bevor überhaupt Anwendungscode läuft.

Wer ist betroffen?

Betroffen sind alle PHP-Versionen vor den korrigierten Releases, unabhängig von der Anwendung: WordPress, Shops, Foren oder eigene Software. Das höchste Risiko besteht bei Apache mit mod_php, weil die Lücke dort ausgelöst werden kann, bevor Anwendungscode läuft. Ebenfalls betroffen sind PHP-FPM, php-cgi, FrankenPHP und LiteSpeed.

Was ist zu tun?

Aktualisieren Sie PHP auf eine korrigierte Version oder installieren Sie das gepatchte Paket Ihrer Linux-Distribution und starten Sie die PHP-Prozesse neu. Alle Schritte und Übergangsmaßnahmen finden Sie unter Was Sie jetzt tun sollten.

Offizieller Sicherheitshinweis: PHP-Projekt auf GitHub