---
title: "PHP2Shell: Reale Ausnutzung von zwei kritischen PHP-Schwachstellen bestätigt — Angreifer erhalten unautorisierten Shell-Zugriff"
description: "Perplexity- und Expel-Forscher haben die erfolgreiche Ausnutzung von PHP2Shell-Schwachstellen (CVE-2026-109618/109619) bestätigt: Angreifer erlangen unautorisierten Remote-Shell-Zugriff. Patches wurden am 21. Oktober veröffentlicht, aber Angriffe laufen bereits."
date: 2026-10-28T18:39:52.128Z
lang: de
url: https://xab.info/de/posts/php2shell-reale-ausnutzung-kritischer-php-schwachstellen-bestaetigt
tags: [php, vulnerability, cybersecurity, cve-2026-109618, cve-2026-109619, php2shell, remote-code-execution, apache]
author: "Alexander Buran"
publisher: "XAB.info"
---

# PHP2Shell: Reale Ausnutzung von zwei kritischen PHP-Schwachstellen bestätigt — Angreifer erhalten unautorisierten Shell-Zugriff

![Laptop mit Quellcode und einem blauen PHP-Elefanten-Plüschtier auf der Tastatur](https://xab.info/media/2026/10/28/php2shell-podtverzhda-uspeshnaya-ekspluatatsiya-kriticheskikh-uyazvimostey-php/php2shell-podtverzhda-uspeshnaya-ekspluatatsiya-kriticheskikh-uyazvimostey-php-1.webp)

## Kernpunkte

- Erfolgreiche Ausnutzung von zwei kritischen PHP2Shell-Schwachstellen (CVE-2026-109618, CVE-2026-109619) zur unautorisierten Befehlsausführung bestätigt
- Angriff auf Server mit Apache mod_php und PHP 8.4.26 aufgezeichnet; Angreifer extrahierte ~800 KiB Speicher und führte Shell-Befehl in 1,6 ms aus
- Patches am 21. Oktober 2026 vom PHP-Team veröffentlicht; erste Angriffsversuche am 17. Oktober von Amazon Threat Intelligence registriert
- Laut VirusTotal-Schätzungen sind über 5,1 Mio. PHP-Hosts aus dem Internet erreichbar, davon haben ~3,8 Mio. einen offenen Port

Cybersicherheitsforscher haben bestätigt, dass zwei kritische Schwachstellen in der Programmiersprache PHP, zusammengefasst unter dem Namen PHP2Shell, nun aktiv in freier Wildbahn ausgenutzt werden. Es handelt sich dabei um die Fehler CVE-2026-1026-109618 und CVE-2026-109619, die es einem Angreifer ermöglichen, beliebige Befehle auf einem anfälligen Server ohne jegliche vorherige Autorisierung aus der Ferne auszuführen. Bis vor Kurzem verzeichneten Experten lediglich Angriffsversuche, hatten jedoch keine Beweise dafür, dass der Schadcode tatsächlich auf den Zielsystemen ausgeführt wurde. Die Situation änderte sich, nachdem unabhängige Forscher vollständige Angriffsketten auf Live-Servern dokumentieren konnten.

### Wie der bestätigte Angriff aussah

Die erste öffentliche Bestätigung einer erfolgreichen Ausnutzung kam von Adel Karimi, Leiter der Bedrohungserkennung und Vorfallreaktion bei Perplexity. Seine Honeypot-Server zeichneten einen vollständigen Angriff auf ein System auf, auf dem Apache mit dem mod_php-Modul und PHP-Version 8.4.26 lief. Während der Ausnutzung extrahierte der Angreifer etwa 800 Kilobyte Daten aus dem Prozess Arbeitsspeicher und nutzte dann die erhaltene Funktionsadresse zur Vorbereitung der nächsten Angriffsphase. Laut Karimi führte der Server nach dem Senden des letzten Bytes der entsprechenden HTTP-Anfrage innerhalb von etwa 1,6 Millisekunden einen Shell-Befehl aus. Ähnliche Ergebnisse wurden von Marcus Hutchins, einem Forscher bei Expel, bestätigt, der parallel Berichte über eine erfolgreiche PHP2Shell-Ausnutzung in öffentlichen Kanälen verfolgte.

### Chronologie: Von der Exploit-Veröffentlichung bis zum Patch

Das PHP-Entwicklerteam veröffentlichte Patches für beide Schwachstellen am 21. Oktober 2026. Zuvor waren Details zu den Fehlern und eine Reihe von Proof-of-Concept-Exploits bereits öffentlich zugänglich. Dabei betonten die Entwickler, dass die zu diesem Zeitpunkt veröffentlichten Exploit-Varianten nicht zu einer erfolgreichen Codeausführung führten. Dennoch meldeten Unternehmen wie Cloudflare, Hadrian, watchTowr, Previdian und Patchstack massenhafte Angriffsversuche, die zu diesem Zeitpunkt noch nicht in einer Ausnutzung endeten. Spezialisten von Amazon Threat Intelligence verzeichneten die ersten Angriffsversuche bereits am 17. Oktober — vier Tage vor der Veröffentlichung der offiziellen Updates. Somit existierte zwischen der öffentlichen Bekanntgabe und der Patch-Freigabe ein Zeitfenster, in dem Angreifer funktionierende Exploits vermutlich weiterentwickelten.

### Ausmaß des potenziellen Schadens

PHP bleibt eine der weltweit verbreitetsten Server-Technologien: Schätzungen zufolge basieren rund 70 % aller Websites im Internet auf dieser Plattform. Laut VirusTotal wurden im öffentlichen Raum mehr als 5,1 Millionen Hosts mit installiertem PHP entdeckt, wobei etwa 3,8 Millionen von ihnen mindestens einen Port aufweisen, der für externes Scannen und potenzielle Angriffe zugänglich ist. Dies bedeutet, dass eine erfolgreiche PHP2Shell-Ausnutzung eine direkte Bedrohung für Millionen von Servern darstellt, die nicht auf die gepatchten Versionen aktualisiert wurden. Für Administratoren, die es versäumt haben, den Patch vor dem 21. Oktober zu installieren, ist es von entscheidender Bedeutung, Zugriffsprotokolle zu prüfen und auf Anzeichen einer unbefugten Befehlsausführung zu untersuchen.

### Was Administratoren und Entwickler tun sollten

Die wichtigste Empfehlung lautet sicherzustellen, dass alle Server auf PHP-Versionen aktualisiert werden, die die Korrekturen für CVE-2026-109618 und CVE-2026-109619 enthalten. Bei Systemen, auf denen ein Update nicht unmittelbar möglich ist, sollte der Zugriff auf anfällige Ports auf Firewall-Ebene eingeschränkt und das mod_php-Modul vorübergehend deaktiviert werden, es sei denn, es ist die einzige Funktionsweise der Anwendung. Darüber hinaus wird empfohlen, eine verstärkte Überwachung der Webserver-Protokolle auf für die PHP2Shell-Ausnutzung charakteristische anomale Anfragen zu aktivieren und die Dateiintegrität auf injizierte Web-Shells zu überprüfen. Forscher erinnern daran, dass das Vorhandensein öffentlicher Exploits und die bestätigte Massenausnutzung das Aufschieben von Updates zu einem inakzeptablen Risiko machen.

## Faktencheck und Quellen

- [Дыры в PHP начали использоваться в реальных атаках — подтверждены успешные взломы window-new](https://3dnews.ru/1150450/diri-v-php-nachali-ispolzovatsya-v-realnih-atakah-uspeshnie-vzlomi-podtvergdeni) - Primärquelle. Enthält vollständige Details zum Angriff, Namen der Forscher, CVE-Kennungen, Patch-Daten und Größenschätzungen.
- [Дыры в PHP начали использоваться в реальных атаках](https://runet.news/news/85521) - Nachdruck des 3dnews-Materials unter Beibehaltung aller Schlüsselfakten: Namen, Zahlen, Daten.
- [«Взломы подтверждены»: дыры в PHP начали использоваться в реальных атаках](https://www.topnews.ru/news_id_1320820.html) - Unabhängige Wiedergabe mit denselben Fakten: 800 KiB, 1,6 ms, PHP 8.4.26, CVE-Kennungen, Patch-Datum 21. Oktober.

## Häufige Fragen

### Was ist PHP2Shell und welche CVE-Kennungen entsprechen dem?

PHP2Shell ist der Sammelname für zwei kritische Schwachstellen in PHP: CVE-2026-109618 und CVE-2026-109619. Sie ermöglichen es einem Angreifer, beliebige Befehle ohne vorherige Autorisierung remote auf einem Server auszuführen.

### Wann wurden die Patches veröffentlicht und wer hat sie herausgebracht?

Das PHP-Entwicklerteam hat die Patches am 21. Oktober 2026 veröffentlicht. Zuvor waren Schwachstellendetails und Proof-of-Concept-Exploits öffentlich zugänglich.

### Wer hat die erfolgreiche Ausnutzung bestätigt?

Die erfolgreiche Ausnutzung wurde von Adel Karimi (Perplexity) über Honeypot-Server und Marcus Hutchins (Expel), der Berichte über erfolgreiche Angriffe in öffentlichen Kanälen verfolgte, bestätigt.

### Wie groß ist die potenzielle Bedrohung?

PHP wird auf etwa 70 % der Websites im Internet eingesetzt. Laut VirusTotal sind über 5,1 Millionen PHP-Hosts aus dem Netzwerk erreichbar, davon haben etwa 3,8 Millionen mindestens einen offenen Port.

### Was ist zu tun, wenn der Server noch nicht aktualisiert wurde?

Es ist notwendig, den Patch so schnell wie möglich zu installieren, den Zugriff auf anfällige Ports auf Firewall-Ebene zu beschränken, Webserver-Protokolle auf Anzeichen von unbefugtem Zugriff zu prüfen und sicherzustellen, dass keine Web-Shells injiziert wurden.