php2shell: Was die PHP-Schwachstellen vom Oktober 2026 für Video-Websites bedeuten

Am 21. Oktober 2026 hat das PHP-Projekt PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Die Releases beheben zwei kritische Schwachstellen, CVE-2026-109618 und CVE-2026-109619, das unter dem Namen php2shell bekannte Paar. Unter den richtigen Bedingungen erlauben sie einem nicht authentifizierten Angreifer, Code auf einem Server auszuführen, auf dem PHP läuft. Die PHP Foundation sagt es unmissverständlich: Wer PHP einsetzt, sollte jetzt aktualisieren.

Vodlix hat seine Systeme gepatcht, bevor die Schwachstellen öffentlich wurden. Vodlix-Kunden mussten nichts unternehmen.

Ein Patch schützt niemanden, solange er nicht auf Ihrem Server installiert ist. Für ein Videounternehmen ist das der Kern von php2shell.

Was ist php2shell?

php2shell ist die Bezeichnung für zwei zusammenhängende Remote-Code-Execution-Schwachstellen in PHP, CVE-2026-109618 und CVE-2026-109619. Beide liegen in der Speicherverwaltung und der Fehlerbehandlung, also in Teilen von PHP, die nahezu jede Anfrage durchläuft. Die Advisories des PHP-Projekts stufen sie als kritisch ein; die korrigierten Versionen erschienen am 21. Oktober 2026.

Die PHP Foundation und die Advisories des PHP-Projekts bezeichnen die Schwachstellen mit ihren CVE-Nummern. Verwenden Sie diese also, wenn Sie die Advisories Ihrer Anbieter und Hoster durchsuchen.

CVE-2026-109618: Speicherbeschädigung, wenn PHP der Speicher ausgeht

Erreichte eine Anfrage das memory_limit von PHP genau im falschen Moment, konnte PHP teilweise initialisierte interne Daten zurücklassen und sie später als gültig behandeln. Auf Apache mit mod_php kann eine nicht authentifizierte Anfrage das auslösen, bevor überhaupt Anwendungscode läuft, und laut PHP Foundation wurde vollständige Remote Code Execution mit Standardeinstellungen nachgewiesen. Remote Code Execution wurde auch auf PHP-FPM über Codepfade der Anwendung bestätigt.

CVE-2026-109619: Veralteter Zustand aus einer früheren Anfrage

Ein fataler Fehler zum falschen Zeitpunkt konnte einen internen Zustand hinterlassen, der auf Speicher einer vorherigen Anfrage zeigte. Eine spätere Anfrage auf demselben Worker konnte diesen freigegebenen Speicher dann nutzen. Laut PHP Foundation demonstrierte der Melder Remote Code Execution gegen eine reale Anwendung auf Apache mit mod_php.

Welche PHP-Versionen beheben die php2shell-Schwachstelle?

Die korrigierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, alle veröffentlicht am 21. Oktober 2026. Jedes frühere Release in diesen vier Zweigen ist betroffen, so das Advisory des PHP-Projekts zu CVE-2026-109618. Wer PHP 8.1 oder älter einsetzt, bekommt für seinen Zweig keinen Patch.

TechCrunch berichtet, dass die Lücken in jeder PHP-Version seit dem 2004 erschienenen PHP 5 stecken und dass PHP 8.1 und älter nicht mehr unterstützt werden. Websites auf diesen Versionen haben mehr vor sich als ein kleines Update.

Wer hat die Schwachstellen gefunden, und wann?

Der Forscher Ryan A vom Sicherheitsunternehmen Calif meldete PHP die erste Remote Code Execution am 11. August 2026, während eines Audits, das am 30. Juli 2026 begonnen hatte. Wiz und OpenAI meldeten anschließend weitere Angriffspfade. Die Ursache geht auf ein Speicherproblem zurück, das dem PHP-Team erstmals 2024 aufgefallen war.

Die eigene Darstellung der PHP Foundation legt die Reihenfolge der Ereignisse dar:

1. 2024: Beim ersten externen Sicherheitsaudit von PHP seit Jahren fand ein Core-Entwickler die ersten Anzeichen des Out-of-Memory-Problems. Ein konkreter Angriffspfad wurde damals nicht gefunden, und die Behebung blieb liegen.

2. 30. Juli 2026: Calif begann im Rahmen des Programms Patch the Planet ein Audit von PHP.

3. 11. August 2026: Ryan A von Calif meldete eine unbedingte Remote Code Execution mit derselben Ursache. OpenAI meldete unabhängig davon dieselbe Ursache.

4. 24. August 2026: Wiz meldete weitere Angriffsvektoren.

5. 18. September 2026: OpenAI meldete weitere Angriffsvektoren.

6. 21. Oktober 2026: PHP veröffentlichte die korrigierten Versionen.

Die Foundation spricht die Lücke offen an: Sie nennt die Verzögerung nach 2024 „ein strukturelles Versagen“ des Entscheidungsprozesses im Sicherheitsteam und seiner fehlenden Ressourcen und erklärt, dass das Team seine Arbeitsweise ändert.

Wie schwerwiegend ist php2shell, und wie hat das Internet reagiert?

Es ist schwerwiegend, weil PHP überall ist und der schlimmste Fall ein Angreifer ist, der Code auf Ihrem Server ausführt. TechCrunch berichtet, dass PHP rund 70 % der Websites antreibt und dass die US-amerikanische National Security Agency empfahl, eine Website offline zu nehmen, wenn sie nicht sofort gepatcht werden kann.

TechCrunch berichtet außerdem, dass die Lücken Angreifern Zugriff auf das Dateisystem eines Servers oder auf eine von der Web-App genutzte Datenbank verschaffen können. Zum Zeitpunkt des Berichts am 21. Oktober erklärte OpenAI, die Schwachstellen seien von Forschern vor Angreifern gefunden worden, ohne Berichte über Ausnutzung in freier Wildbahn. Die Offenlegung ändert das, weil die Details jetzt öffentlich sind.

Cloud-Anbieter reagierten noch am selben Tag. AWS veröffentlichte das Sicherheitsbulletin 2026-143-AWS am 21. Oktober 2026, eingestuft als „Important (requires attention)“, für PHP-Web-Laufzeitumgebungen, die von beiden CVEs betroffen sind.

Was bedeutet php2shell für eine Streaming-Plattform oder Video-Website?

Es bedeutet, jeden Teil Ihres Videogeschäfts zu prüfen, der mit PHP läuft, nicht nur den Player. Eine Streaming-Website ist ein Shop, ein Login, ein Abrechnungsprozess und oft auch eine Marketing-Website oder ein Blog. Läuft davon irgendetwas mit PHP auf einem Server, den Sie oder Ihr Hoster verwalten, braucht es eine korrigierte Version.

Sicherheit ist hier nicht nur eine IT-Aufgabe, sondern eine geschäftliche. Eine Video-Website, die offline geht, um auf einen Patch zu warten, verkauft während der gesamten Ausfallzeit keine Abos und keine Leihtitel.

WordPress ist ein häufiger Fall. TechCrunch berichtet, dass WordPress erklärte, die Schwachstelle sei nicht WordPress-spezifisch, und dass Websites, die darauf laufen, ihre Server patchen und mit ihren Hosting-Anbietern zusammenarbeiten müssen.

Patchen ist eine Schutzebene. Unser Leitfaden zu den OTT-Sicherheitsgrundlagen für Ihre Inhalte und Zuschauer behandelt die anderen, und unsere Seite zur Login-Sicherheit für Streaming-Plattformen behandelt Zuschauerkonten.

Wie ist Vodlix mit php2shell umgegangen?

Vodlix hat seine Systeme gegen CVE-2026-109618 und CVE-2026-109619 gepatcht, bevor die Schwachstellen am 21. Oktober 2026 öffentlich wurden. Bei Vodlix nutzt nur die Middleware PHP, und genau die wurde gepatcht. Vodlix-Kunden mussten nichts unternehmen.

Auf einer verwalteten Plattform wie Vodlix werden Sicherheitsupdates wie dieses für Sie eingespielt. Wenn Sie ein Sicherheitsproblem bei Vodlix melden möchten, schreiben Sie an [email protected].

Was sollten Sie tun, wenn Sie eigene PHP-Websites betreiben?

Aktualisieren Sie jede PHP-Installation, die Sie betreiben, auf eine korrigierte Version, oder bitten Sie Ihren Hoster darum, und lesen Sie die Advisories Ihrer Anbieter. Wenn Sie nicht sofort aktualisieren können, folgen Sie der von TechCrunch zitierten NSA-Empfehlung und nehmen Sie die Website offline, bis es möglich ist.

1. Erfassen Sie, was mit PHP läuft. Dazu gehören Ihre Hauptwebsite, jede WordPress-Website oder jeder Blog, Landingpages und Admin-Tools.

2. Prüfen Sie jede Version. Vergleichen Sie sie mit der Tabelle oben.

3. Aktualisieren Sie oder bitten Sie Ihren Hoster darum. Wechseln Sie auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Bei einem Managed Hoster lassen Sie sich das Datum der Aktualisierung bestätigen.

4. Planen Sie ein Upgrade für alte Zweige. PHP 8.1 und älter werden nicht mehr unterstützt, ein Patch kommt dafür also nicht.

5. Lesen Sie die Advisories Ihrer Anbieter. Beginnen Sie bei Ihrem Hoster und Ihrem Cloud-Anbieter. AWS hat bereits eines veröffentlicht.

6. Bestätigen Sie, dass die neue Version läuft. Prüfen Sie nach dem Update erneut, auf jedem Server.

Wie geht es weiter?

Wenn Sie Vodlix-Kunde sind, müssen Sie wegen php2shell nichts unternehmen. Bei Fragen besuchen Sie das Vodlix-Hilfecenter oder kontaktieren Sie das Vodlix-Team.

Wenn Sie eine verwaltete Plattform in Betracht ziehen, damit Updates wie dieses für Sie erledigt werden, sehen Sie sich die Funktionen der Vodlix-Plattform an oder fordern Sie eine Vodlix-Demo an.