// HEISE ONLINE — CYBERSECURITY
php2shell: Kritische Sicherheitslücken erlauben Codeeinschleusung in PHP
Zwei Fehler machen Webserver mit PHP aus dem Netz angreifbar. Betroffen: Versionen der letzten 20 Jahre, Admins sollten patchen.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
In der Fehler- und der Speicherverwaltung der Webskriptsprache PHP verbargen sich kritische Sicherheitsfehler, die zur Ausführung von Schadcode auf Millionen Webservern weltweit taugen. Alle PHP-Versionen der letzten Jahrzehnte sind betroffen, selbst das längst veraltete PHP 5. Wer einen Webserver mit der offenen Skriptsprache betreibt, sollte diesen schleunigst aktualisieren.
Die erste der beiden Schwachstellen mit dem gemeinsamen Namen php2shell ist CVE-2026-109618 (CVSS 9.2, kritisch). Sie lauert in der Speicherverwaltung der Skriptsprache. Sie ist ausnutzbar, wenn einige Vorbedingungen erfüllt sind und das in der PHP-Konfigurationsdatei eingestellte Speicherlimit (Direktive: memory_limit) anschlägt. Dann erzeugt die Sprache einen Ausführungsfehler – und sollte eigentlich alle Überbleibsel des fehlerhaft ausgeführten Skripts im Speicher wegräumen.
Ist jenes jedoch über ein vom Angreifer passend zurechtgebasteltes Upload-Formular oder eines mit besonders geschickt verschachtelten Arrays gestolpert, kommt PHP beim Aufräumen dieser Überreste aus dem Tritt. Das Resultat: Angreifer können Speicher auslesen, freigeben und eigenen Schadcode im Nutzerkontext des Webservers ausführen.
Ein zweiter Fehler fand sich im Error-Handling, also der Verarbeitung von Skriptfehlern. Um CVE-2026-109619 (CVSS 9.2, kritisch) erfolgreich auszunutzen, benötigt ein Angreifer neben ähnlichen Vorbedingungen wie bei CVE-2026-109618 mindestens zwei HTTP-Anfragen. Die erste erzeugt einen instabilen Zustand in PHPs Fehlerverwaltung, die zweite nutzt diesen aus. Dabei sind jedoch nicht alle „fatal errors“, also Fehler, die zum Skriptabbruch führen, ausnutzbar.
Beide Exploits sind nicht beim ersten oder zweiten Versuch erfolgreich, sondern benötigen mitunter mehrere Tausend Anfragen, bis sie eine der Schwachstellen auslösen. In einem kurzen Video zeigen die Entdecker von Calif, wie sie per php2shell nach 38 Sekunden Systemkommandos auf einem Webserver mit dem PHP-Framework Laravel ausführen.
Mit Ihrer Zustimmung wird hier ein externes Video (TargetVideo GmbH) geladen.
Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden.
Damit können personenbezogene Daten an Drittplattformen (TargetVideo GmbH) übermittelt werden.
Mehr dazu in unserer
Datenschutzerklärung.
Angriffe sind grundsätzlich ohne vorherige Anmeldung möglich – die Codeausführung aus der Ferne funktioniert innerhalb einiger Tausend bis Zehntausend HTTP-Anfragen zuverlässig und eignet sich daher für automatisierte Attacken à la Heartbleed. Dass sie bereits von Cyberkriminellen oder anderen Tunichtguten ausgenutzt wird, ist nicht bekannt – dürfte sich aber bald ändern.