PHP2Shell: Kritische Sicherheitslücken in PHP ermöglichen Angreifern Serverzugriff ohne Anmeldung

Kritische Schwachstellen mit weitreichenden Folgen

PHP gehört zu den am weitesten verbreiteten Programmiersprachen im Web. Zahlreiche Webseiten und Unternehmensanwendungen setzen auf PHP, darunter auch bekannte Content-Management-Systeme wie WordPress, Drupal und Joomla.

Die unter dem Namen PHP2Shell bekannt gewordenen Sicherheitslücken betreffen allerdings nicht primär diese Anwendungen, sondern den PHP-Kern selbst. Die beiden Schwachstellen CVE-2026-109618 und CVE-2026-109619 beruhen auf Fehlern in der Speicherverwaltung und können durch speziell präparierte HTTP-Anfragen ausgenutzt werden.

Im schlimmsten Fall können Angreifer dadurch Schadcode auf einem betroffenen Server ausführen. Auch das Auslesen sensibler Informationen aus dem Prozessspeicher ist möglich. Dazu können beispielsweise Zugangsdaten, API-Schlüssel oder Authentifizierungstokens gehören.

Besonders kritisch: Für die demonstrierten Angriffsszenarien ist kein Benutzerkonto erforderlich. Selbst Anwendungen, deren eigener Programmcode keine bekannten Sicherheitslücken aufweist, können betroffen sein.