Was ist PHP2Shell?
In PHP wurden zwei kritische Schwachstellen entdeckt, die Angreifern die Ausführung von Schadcode aus der Ferne ermöglichen. Die Schwachstellen werden unter CVE-2026-109618 und CVE-2026-109619 geführt und erreichen jeweils einen CVSS-v4.0-Score von 9,2. Für einen erfolgreichen Angriff ist keine Authentifizierung erforderlich.
Beide Schwachstellen betreffen die zentrale Verarbeitung von Anfragen in PHP. CVE-2026-109618 kann ausgelöst werden, wenn PHP während einer Anfrage der Arbeitsspeicher ausgeht und interne Daten dadurch in einen fehlerhaften Zustand geraten. Bei CVE-2026-109619 können Daten einer vorherigen Anfrage erhalten bleiben und bei einer späteren Anfrage auf demselben Worker erneut verwendet werden.
Im schlimmsten Fall kann bereits eine einzige nicht authentifizierte Anfrage ausreichen. Besonders kritisch: Der Angriff kann erfolgreich sein, bevor der eigentliche Anwendungscode ausgeführt wird. Auch sicher entwickelter Anwendungscode bietet daher keinen ausreichenden Schutz.
Wird PHP2Shell bereits aktiv ausgenutzt?
Details zu den Schwachstellen wurden vor der geplanten Veröffentlichung bekannt. Das PHP Security Team veröffentlichte deshalb am 20. Oktober vorab einen Sicherheitshinweis und zog die Veröffentlichung der Patches auf den 21. Oktober vor. Erste Ausnutzungsversuche wurden bereits beobachtet.
PHP kommt bei einer Vielzahl von Websites und Anwendungen zum Einsatz, darunter Content-Management-Systeme, Onlineshops, Kundenportale und interne Tools. Viele dieser Systeme werden von externen Dienstleistern entwickelt oder betrieben. Unternehmen können daher auch über Anwendungen betroffen sein, die sie nicht unmittelbar selbst verwalten.
Welche PHP-Versionen und Serverkonfigurationen sind betroffen?
Grundsätzlich sollte jede PHP-Installation, die Webanfragen verarbeitet, als betroffen betrachtet werden, unabhängig von der eingesetzten Version.
Besonders hoch ist das Risiko bei Servern, auf denen Apache mit mod_php eingesetzt wird. Für diese Konfiguration wurde bereits ein funktionierender Exploit demonstriert. Aber auch PHP-FPM, php-cgi, FrankenPHP und LiteSpeed sind betroffen und müssen gepatcht werden.
Für die aktuell unterstützten PHP-Versionen 8.2 bis 8.5 stehen korrigierte Versionen zur Verfügung. Aufgrund der Schwere der Schwachstellen hat das PHP Security Team zusätzlich minimale Source-Backports für PHP 7.4, 8.0 und 8.1 veröffentlicht. Sie richten sich an Organisationen, die PHP selbst aus dem Quellcode erstellen.
Für noch ältere Versionen, darunter PHP 5 und ältere PHP-7-Versionen, steht kein entsprechender Fix zur Verfügung. Einige Linux-Distributionen und Long-Term-Support-Anbieter stellen Backport-Patches für ältere Versionen bereit. Wo dies nicht der Fall ist, ist ein Upgrade erforderlich.
Betroffen?
Rufen Sie unsere 24/7-Notfall-Hotline an: +49 69 9585 9992, oder
Wie lassen sich die Risiken durch PHP2Shell reduzieren?
Systeme identifizieren und priorisieren
Identifizieren Sie sämtliche PHP-Installationen in Ihrer IT-Landschaft, nicht nur veraltete Versionen. Berücksichtigen Sie dabei auch weniger offensichtliche Systeme wie Shadow IT, Marketing-Microsites und PHP-Komponenten in Appliances.
Priorität sollten zunächst extern erreichbare Systeme haben, insbesondere Server, die Apache mit mod_php einsetzen.
Welche PHP-Versionen enthalten den Sicherheitsfix?
Updates umgehend einspielen
Aktualisieren Sie auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 oder installieren Sie die gepatchten Pakete Ihrer Linux-Distribution beziehungsweise Ihres Long-Term-Support-Anbieters.
Da noch nicht alle Drittanbieter- oder Community-Repositories aktualisierte Pakete bereitstellen, sollten Sie überprüfen, ob die von Ihnen verwendeten Pakete den Fix tatsächlich enthalten. Container-Images sollten neu erstellt werden, anstatt lediglich laufende Container zu patchen. Denken Sie außerdem an PHP-Versionen, die Bestandteil von Appliances oder gehosteten Plattformen sind.
Systeme neu starten und Updates überprüfen
Nach dem Update müssen alle Webserver und PHP-Worker-Prozesse neu gestartet werden. Andernfalls kann der anfällige Code weiterhin ausgeführt werden.
Prüfen Sie anschließend erneut Ihre Systemlandschaft, um sicherzustellen, dass auf allen betroffenen Systemen eine korrigierte Version läuft.
Nicht kurzfristig aktualisierbare Systeme absichern
Internetexponierte Systeme mit nicht mehr unterstützten PHP-Versionen sowie Systeme, die sich nicht kurzfristig aktualisieren lassen, sollten offline genommen oder durch strenge Zugriffsbeschränkungen geschützt werden.
PHP hat zudem temporäre Konfigurationsmaßnahmen veröffentlicht. Für bekannte Angriffspfade stehen auch entsprechende WAF-Regeln zur Verfügung. Diese Maßnahmen schützen allerdings nur vor bereits bekannten Angriffswegen. Sie müssen in der Serverkonfiguration umgesetzt werden und erfordern einen Neustart aller Worker. Sie ersetzen kein Patchen: Ein Update bleibt die einzige sichere Lösung.
Externe Dienstleister einbeziehen
Fordern Sie von Hosting-Providern, Agenturen und SaaS-Anbietern eine schriftliche Bestätigung an, dass die von ihnen für Ihr Unternehmen betriebenen Systeme gepatcht wurden.
Wie sollten Unternehmen auf eine mögliche Kompromittierung reagieren?
Systeme gezielt auf Angriffsspuren untersuchen
Nach dem Patchen sollten Unternehmen prüfen, ob die Schwachstellen möglicherweise bereits ausgenutzt wurden. Analysieren Sie dazu rückwirkend die vergangenen Monate auf Hinweise auf eine mögliche Kompromittierung.
Achten Sie insbesondere auf Webshells, unerwartete oder veränderte PHP-Dateien, neu angelegte Administratorkonten und ungewöhnliche ausgehende Verbindungen.
Zugangsdaten und Secrets erneuern
Bei Systemen, die möglicherweise kompromittiert wurden, sollten sämtliche Zugangsdaten und Secrets erneuert werden, auf die die jeweilige PHP-Anwendung zugreifen konnte. Dazu gehören unter anderem Datenbankpasswörter, API-Schlüssel, Tokens und Zertifikate.
Regulatorische Meldepflichten prüfen
Unternehmen, die unter NIS-2 fallen sowie Finanzunternehmen im Geltungsbereich von DORA, sollten prüfen, ob durch eine bestätigte Ausnutzung regulatorische Meldepflichten ausgelöst werden. Die entsprechenden Fristen können nur wenige Stunden betragen.
Über den akuten Vorfall hinaus planen
Der Security Support für PHP 8.2 endet am 31. Dezember 2026. Systeme, die jetzt auf PHP 8.2.35 aktualisiert werden, benötigen daher bereits einen Fahrplan für das nächste Upgrade.
Wie PwC bei PHP2Shell unterstützen kann
- Schnelle Analyse der möglichen Exponierung (24 bis 72 Stunden)
Wir analysieren Ihre externe Angriffsfläche einschließlich der durch Drittanbieter betriebenen und gehosteten Systeme und identifizieren PHP-basierte Services sowie die jeweils eingesetzten Versionen.
Sie erhalten eine priorisierte Übersicht der exponierten Systeme und des daraus resultierenden Handlungsbedarfs. Dabei setzen wir Frontier-AI-Modelle ein und betrachten die Angriffsfläche aus einer Perspektive, die auch dem Vorgehen vieler Angreifer entspricht. - Compromise Assessment und Threat Hunting
Unser Cyber-Defense-Team untersucht Ihre Webserver und Logdaten gezielt auf Hinweise darauf, ob die Schwachstellen bereits ausgenutzt wurden. Dabei suchen wir unter anderem nach Webshells, Persistenzmechanismen, ungewöhnlichen durch PHP gestarteten Prozessen und möglichen Datenabflüssen.
Zusätzlich stellen wir einsatzbereite Detection-Inhalte für Splunk, Microsoft Sentinel und Google SecOps bereit. - Security Operations Center (SOC) und 24/7-Monitoring
Unser SOC überwacht Ihre PHP-Systemlandschaft rund um die Uhr und reagiert unmittelbar auf verdächtige Aktivitäten. Webserver-, WAF- und Endpoint-Telemetriedaten werden kurzfristig in das Monitoring eingebunden und um PHP2Shell-spezifische Detection-Regeln ergänzt. Bestätigte Bedrohungen werden direkt an Ihr Team oder unsere Incident-Response-Experten eskaliert.
Wenn Sie bereits ein eigenes SOC betreiben, können wir insbesondere in der kritischen Phase nach Bekanntwerden der Schwachstellen zusätzliche Kapazitäten und Detection Content bereitstellen. Ist noch kein SOC vorhanden, kann ein kurzfristiges Emergency Monitoring die unmittelbare Überwachung sicherstellen und bei Bedarf als Übergang in einen langfristigen Managed Service dienen. - Incident Response
Gibt es Hinweise auf eine erfolgreiche Kompromittierung, unterstützt unser Incident-Response-Team bei der Eindämmung des Vorfalls, der forensischen Untersuchung und der Wiederherstellung. Dies umfasst auch die Kommunikation mit Aufsichtsbehörden und weiteren relevanten Stakeholdern. - Resilienz stärken und bei der Absicherung unterstützen
PwC unterstützt Sie dabei, Ihre operative Resilienz zu stärken. Dazu gehören die Validierung von Business- und IT-Continuity-Plänen, die Unterstützung beim Patch-Rollout sowie bei der Umsetzung kompensierender Maßnahmen und der Isolation von Systemen, die nicht kurzfristig gepatcht werden können.
Für nicht mehr unterstützte PHP-Versionen unterstützen wir zudem bei der Planung sicherer Migrationspfade. - Unterstützung bei regulatorischen Anforderungen
Wir prüfen gemeinsam mit Ihnen, ob Meldepflichten nach NIS-2, DORA oder DSGVO bestehen, und unterstützen bei der fristgerechten Vorbereitung erforderlicher Meldungen. - Über PHP2Shell hinaus: kontinuierliches Exposure Management
PHP2Shell wird nicht die letzte kritische Schwachstelle in einer weit verbreiteten Softwarekomponente sein. Deshalb ist entscheidend, bei zukünftigen Schwachstellen schnell feststellen zu können, ob und wo das eigene Unternehmen betroffen ist.
Wir unterstützen Sie beim Aufbau eines adaptiven Vulnerability- und Exposure-Managements. So lassen sich betroffene Systeme bei künftigen Schwachstellen innerhalb weniger Stunden identifizieren und priorisieren.
Die Verfügbarkeit und der Umfang unserer Leistungen stehen unter dem Vorbehalt einer vorherigen Unabhängigkeits- und Konfliktprüfung. PwC übernimmt keine Managementverantwortung. Sämtliche Entscheidungen und Freigaben sowie die Verantwortung für Kontrollen, Systeme und regulatorische Meldungen verbleiben beim Kunden. Für Prüfungskunden können einzelne Leistungen eingeschränkt oder nicht verfügbar sein.
Betroffen?
Rufen Sie unsere 24/7-Notfall-Hotline an: +49 69 9585 9992, oder
Follow us
Contact us
