Es besteht höchste Alarmbereitschaft für die globale Internet-Infrastruktur. Seit dem 21. Oktober 2026 werden zwei große Schwachstellen (identifiziert unter den Codes CVE-2026-109618 und CVE-2026-109619), die die PHP-Ausführungs-Engine (die Computersprache, die die meisten Websites und Plattformen wie WordPress ausführt) betreffen, aktiv von Hackern ausgenutzt. Mit einem kritischen Schweregrad von 9,2 von 10 gemäß der CVSS-Skala (dem Standardsystem zur Bewertung des Schweregrads von Schwachstellen) ermöglichen diese Verstöße die Ausführung von Code aus der Ferne oder Diebstahl sensibler Daten. Nach einem Informationsleck vor der offiziellen Veröffentlichung der Patches überholten die Angreifer die Verteidiger und zwangen die Webgiganten, dringend digitale Schutzschilde zu errichten.

Wie weit verbreitet sind Angriffe gegen diesen PHP-Fehler?

Weil die Details dieser Sicherheitslücke Da die Daten vor dem vereinbarten Offenlegungstermin durchgesickert waren, warteten die Hacker nicht. Zehn Stunden vor der offiziellen Ankündigung gab es bereits Tausende Angriffe. Fünfundvierzig Minuten nach der Veröffentlichung stieg der Zähler auf mehrere Zehntausend und erreichte Millionen von Ausbeutungsversuchen ein paar Stunden später.
Diese blitzschnelle Ausführung zeigt eine beispiellose Industrialisierung der Piraterie. Cyberkriminelle ändern ihre Angriffslast sogar in Echtzeit, um zu versuchen, die ersten Verteidigungslinien zu umgehen.

Die realen Konsequenzen sind unmittelbar. In Deutschland Cybersicherheitsexperten Und Politiker schlagen Alarm und weisen auf die Rolle der künstlichen Intelligenz hin, die es nun ermöglicht, komplexe Fehler in klaffende Einfallstore zu verwandeln in Rekordzeit. Der Automobilriese Volkswagen musste sogar abschalten präventiv Teil seiner IT-Infrastruktur für den Vertrieb, was vorübergehende Auswirkungen auf die Portale seiner Audi- und Nutzfahrzeughändler hatte. Niemand ist sicher, nicht einmal staatliche Websites.

Wie funktioniert die php2shell-Sicherheitslücke und wie kann man sich davor schützen?

Der Kern des Problems liegt in der Speicherverwaltung der PHP-Engine bei der Verarbeitung von HTTP-Anfragen (das Kommunikationsprotokoll zwischen Ihrem Browser und dem Server). Normalerweise weist der Server Speicher zu, um eine Anfrage zu verarbeiten, und bereinigt sie dann. Mit php2shell senden Hacker speziell gestaltete HTTP-Anfragen und sehr schwer, um diesen Speicher zu sättigen oder einen schwerwiegenden Fehler zu verursachen. Wenn der Prozess abstürzt, bereinigt er seine internen Daten nur unzureichend und weist weiterhin auf ungültigen Speicher hin.
Es handelt sich um einen architektonischen blinden Fleck, der betrügerischen Manipulationen Tür und Tor öffnet. Durch die Manipulation dieser beschädigten Speicherreste kann der Angreifer den Server zum Absturz bringen oder seinen eigenen Schadcode einschleusen.

Angesichts dieser Bedrohung, die alle Versionen seit 5.4 betrifft, hat das Unternehmen Cloudflare hat eine beispiellose technologische Antwort auf seine WAF (Web Application Firewall, eine Firewall, die schädlichen Webverkehr filtert) entwickelt. Das Unternehmen führte eine vollständige Transaktionserkennung ein, die sowohl die eingehende Anfrage als auch die Serverantwort analysiert, um den Angriff ohne Fehlalarme zu blockieren. Dieser Schutzschild, der neun Stunden vor der Veröffentlichung kostenlos für alle Kunden aktiviert wird, ist jedoch nur ein vorübergehender, aber notwendiger Verband.. Das Aktualisieren eines einfachen WordPress-Themes oder -Plugins reicht nicht aus: Administratoren müssen die Kernsoftware aktualisieren um Versionen (8.5.12, 8.4.27, 8.3.36 oder 8.2.35) zu sichern oder den Zugriff auf ihre Server zu sperren, wenn sie den Patch nicht sofort installieren können.

Häufig gestellte Fragen (FAQ)

Welche korrigierten PHP-Versionen müssen dringend installiert werden?

Systemadministratoren sollten ihre Server sofort auf die PHP-Versionen 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren. Wenn Ihr Host die Infrastruktur verwaltet, wenden Sie sich an ihn, um die Anwendung des Patches zu überprüfen.

Reicht die Aktualisierung meiner WordPress-Plugins aus, um mich zu schützen?

Nein, absolut nicht. Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 liegen direkt in der PHP-Ausführungsumgebung, was ein Update des Servers selbst erfordert und nicht der Code Ihrer Website.

Ersetzt der von Cloudflare bereitgestellte Schutz das offizielle Update?

Nein, WAF-Firewall-Filterregeln sind nur eine vorübergehende Abhilfemaßnahme. Obwohl sie bekannte Angriffsmuster blockieren, behebt erst der offizielle Patch der PHP Foundation die Speicherverwaltung des Servers dauerhaft.