Wissen · Stand 23. Oktober 2026

CVE-2026-109619: PHP2Shell-Lücke durch veralteten Zustand

CVE-2026-109619 ist eine der beiden kritischen Sicherheitslücken, die unter dem Namen PHP2Shell bekannt wurden. Sie steckt im PHP-Interpreter selbst und betrifft damit jede Website, die eine ungepatchte PHP-Version ausführt.

Kurz zusammengefasst

Schweregrad

CVSS 4.0: 9.2 (kritisch)

Art

Veralteter globaler Zustand zwischen Anfragen

Folge

Ausführung von eigenem Code ohne Anmeldung, mit den Rechten des Webserver-Kontos

Behoben in

PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35

Verwandt

CVE-2026-109618

Was passiert technisch?

Interner Zustand, der zu einer Anfrage gehört, kann bestehen bleiben, nachdem sein Speicher bereits freigegeben wurde. Eine spätere Anfrage an denselben PHP-Worker kann diesen veralteten Zustand verwenden, bevor er regulär zurückgesetzt wird. Auch das ermöglicht Codeausführung ohne Anmeldung.

Wer ist betroffen?

Betroffen sind alle PHP-Versionen vor den korrigierten Releases, unabhängig von der Anwendung: WordPress, Shops, Foren oder eigene Software. Die Lücke betrifft PHP-Worker, die mehrere Anfragen nacheinander bearbeiten; eine spätere Anfrage kann veralteten Zustand einer früheren nutzen. Betroffen sind laut Sicherheitshinweisen Apache mit mod_php (höchstes Risiko), PHP-FPM, php-cgi, FrankenPHP und LiteSpeed.

Was ist zu tun?

Aktualisieren Sie PHP auf eine korrigierte Version oder installieren Sie das gepatchte Paket Ihrer Linux-Distribution und starten Sie die PHP-Prozesse neu. Alle Schritte und Übergangsmaßnahmen finden Sie unter Was Sie jetzt tun sollten.

Offizieller Sicherheitshinweis: PHP-Projekt auf GitHub