Zwei kritische Lücken mit je 9,2 von 10 Punkten betreffen PHP-Server. Unter dem Namen PHP2Shell erlauben sie Code-Ausführung ohne Login. Das PHP-Team hat am 21. Oktober 2026 Korrekturen in vier Versionen veröffentlicht. Admins sollten ihre Installationen erfassen und sofort aktualisieren.
Zwei Lücken mit je 9,2 von 10 Punkten betreffen PHP-Server: Das Notfall-Update ist seit dem 21. Oktober 2026 verfügbar. Wer PHP betreibt, sollte jetzt prüfen und patchen.
Help Net Security hat die Meldung am 25. Oktober 2026 in seiner Wochenübersicht zusammengefasst. Das PHP-Team hatte den Termin zuvor angekündigt: Mittwoch, 21. Oktober 2026, 14:00 UTC. Eine spätere Aktualisierung der Quelle ist nicht erkennbar.
Das Wichtigste in Kürze
- Zwei kritische Lücken mit CVSS 9,2. Sie heissen zusammen PHP2Shell und tragen die Nummern CVE-2026-109618 und CVE-2026-109619.
- Code-Ausführung ohne Login. Angreifer könnten Webserver aus der Ferne übernehmen, ohne sich anzumelden.
- Vier gepatchte Versionen. Die Korrekturen stecken in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
- Sofort aktualisieren. Das PHP-Team ruft alle Nutzer dazu auf, ohne Aufschub zu patchen.
PHP2Shell: Was die beiden Lücken bedeuten
Das PHP-Team hat die Sicherheitsversion vorab angekündigt. Der Hinweis lautete: Bis zur Veröffentlichung sollten Administratoren jede PHP-Installation als möglicherweise betroffen betrachten. Details und Versionsnummern folgten erst mit dem Release.
Die Bewertung fällt eindeutig aus. Beide Fehler erreichen nach CVSS v4.0 den Wert 9,2 und gelten damit als kritisch. Laut Help Net Security lassen sie Angriffe auf Webserver zu, bei denen fremder Code ohne Anmeldung läuft.
| Kennzahl | Wert | Was das bedeutet |
|---|---|---|
| Anzahl Lücken | 2 | Beide wurden im selben Notfall-Release behoben |
| Bewertung (CVSS v4.0) | 9,2 je Lücke | Stufe «kritisch», hoher Handlungsdruck |
| Kennungen | CVE-2026-109618 und CVE-2026-109619 | Damit lassen sich Scanner und Patch-Listen abgleichen |
| Release-Termin | 21. Oktober 2026, 14:00 UTC | Ab da stehen die Korrekturen bereit |
| Gepatchte Versionen | 8.5.12, 8.4.27, 8.3.36, 8.2.35 | Je ein Update pro betroffener Hauptlinie |
So findest du heraus, ob du betroffen bist
Die Quelle nennt keine Liste betroffener Versionen. Sie nennt nur die vier Ausgaben mit Korrektur. Daher gilt als Faustregel: Läuft bei dir eine ältere Ausgabe der Linien 8.2 bis 8.5, brauchst du das Update.
Dabei helfen diese Prüfpunkte:
- Welche PHP-Version läuft auf jedem Server, auch auf Test- und Staging-Systemen?
- Wurde PHP über Paketquellen, Container-Images oder von Hand installiert?
- Gibt es Hosting-Verträge, bei denen der Anbieter PHP aktualisiert?
- Welche öffentlich erreichbaren Anwendungen nutzen PHP?
Container-Images brauchen oft einen neuen Build. Beim Hoster lohnt eine kurze Nachfrage, ob die Version schon angehoben wurde.
KI findet Fehler, OpenAI schlägt einen Ablauf vor
Zudem berichtet Help Net Security über OpenAIs Vorschlag für den Umgang mit kritischen Lücken. Das Unternehmen skizziert einen Prozess mit fünf Stufen für weit verbreitete Software. Er entstand aus einer rund zweimonatigen Reaktion auf Fehler in PHP.
Dabei spielte KI eine Rolle. Calif fand einen der PHP-Fehler mit OpenAIs Modell GPT-5.6 Sol. Das geschah im Rahmen der Initiative «Patch the Planet» für Open-Source-Sicherheit. Wiz fand und meldete die Lücke unabhängig davon ebenfalls. Der Quellentext bricht an dieser Stelle ab, weitere Details sind daher unbestätigt.
Die Meldung erwartet laut ihrer Überschrift mehr Funde durch KI. Deshalb spricht vieles dafür, Updates schneller einzuplanen.
Weitere Themen der Woche
Die Wochenübersicht enthält mehr als PHP. Zwei Beiträge betreffen KI direkt:
- Manipulierte Spracherkennung: Forschende am Imperial College London veränderten Modelle so, dass sie bei einer gewählten Person falsche Ausgaben lieferten. In einem Test führte das zu einer Aufforderung, 5 000 Dollar zu überweisen. KI-Agenten führten die Überweisung in einer Testumgebung aus.
- Agenten mit zu viel Macht: In einer Umfrage unter 1 100 IT- und Sicherheitsverantwortlichen gaben 70 % an, dass KI heute Entscheide trifft, die vor einem Jahr eine Freigabe durch Menschen brauchten.
Zudem erwähnt die Übersicht eine ausgenutzte Lücke im VPN GlobalProtect von Palo Alto. Im vorliegenden Auszug fehlen dazu Details.
Einordnung: Was das für Admins in der Schweiz heisst
Wer in der Schweiz Webserver mit PHP betreibt, sollte die Updates sofort einplanen. Der Release liegt seit dem 21. Oktober 2026 vor. Ziel sind PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, je nach Hauptlinie. Die Lücken erlauben Code-Ausführung ohne Anmeldung, daher lohnt es sich nicht, auf das nächste Wartungsfenster zu warten. Der Aufwand ist meist klein: ein Versions-Update pro Server oder ein neuer Container-Build. Die Quelle nennt keine Kosten. Der Preis eines Angriffs auf einen offenen Webserver liegt aber klar höher als der Aufwand eines Updates.
Fazit
Du hast jetzt die Eckdaten: zwei kritische Lücken, vier Korrekturversionen, Release am 21. Oktober 2026. Als Nächstes erfasst du alle PHP-Installationen und prüfst ihre Version. Danach spielst du das passende Update ein. Die Ankündigung des PHP-Teams und die Wochenübersicht von Help Net Security helfen bei der Kontrolle.
Quellen: Help Net Security. Stand: 25. Oktober 2026.
Geschrieben von der Redaktion · Freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.