Am 20. Oktober 2026 kündigte das PHP-Team ein Notfall-Update für zwei kritische Sicherheitslücken an. Innerhalb weniger Stunden hatte die Sache einen Namen: PHPocalypse. Behörden in mehreren Ländern nahmen Websites vom Netz, Laravel stoppte Deployments in seiner Cloud, und Cloudflare rollte Schutzregeln für alle Kunden aus.
Der Grund für die Aufregung: Die Fehler stecken nicht in einem Plugin oder Framework, sondern in PHP selbst. PHP läuft hinter einem Großteil aller Websites, darunter WordPress, Shopware, Magento, Drupal, Joomla, Laravel und unzählige Eigenentwicklungen.
Was ist passiert?
Es geht um zwei Schwachstellen, zusammen auch "PHP2Shell" genannt:
- CVE-2026-109618: Remote Code Execution durch eine Speicherbeschädigung bei Out-of-Memory-Situationen
- CVE-2026-109619: Remote Code Execution durch veralteten globalen Zustand (Stale Global State)
Beide sind mit CVSS 9.2 als kritisch eingestuft. Ein Angreifer braucht keinen Login und kein Konto. Die Lücken greifen, bevor überhaupt Anwendungscode läuft. Ein Login-Schutz oder eine Firewall in Ihrer Anwendung hilft deshalb nicht.
Zusätzlich ist die Sperrfrist rund einen Tag zu früh durchgesickert. Angreifer hatten also Informationen, bevor die Patches verfügbar waren.
Wer ist betroffen?
Laut PHP-Projekt ist jede PHP-Installation gefährdet, die Webanfragen beantwortet, egal ob über PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP oder LiteSpeed. Das höchste Risiko besteht bei mod_php. Nach Angaben von Wiz Research reichen die betroffenen Versionen bis PHP 5.4 zurück.
Kurz gesagt: Wenn Ihre Website, Ihr Shop oder Ihr Kundenportal mit PHP läuft, sind Sie betroffen, bis gepatcht ist.
Die gepatchten Versionen
Am 21. Oktober 2026 um 14:00 UTC hat das PHP-Team folgende Versionen veröffentlicht:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Für PHP 8.1 und älter gibt es kein offizielles Release mehr. Das Security-Team hat zwar minimale Backports für 7.4, 8.0 und 8.1 bereitgestellt, diese müssen aber selbst eingespielt werden. Wer noch PHP 7.x oder 8.0/8.1 betreibt, sollte das Update auf eine unterstützte Version jetzt nicht länger aufschieben. Schätzungen zufolge läuft gut ein Drittel aller WordPress-Seiten auf einer PHP-Version ohne Support.
Was nicht hilft
- Anpassungen in der php.ini: Laut PHP-Release-Manager stoppt keine Einstellung die Angriffe, auch nicht das Abschalten von
session.upload_progress. - Workarounds aus der Community: Datadog weist ausdrücklich darauf hin, dass nur der offizielle Patch schützt.
- Nur auf die Web Application Firewall verlassen: Cloudflare hat Regeln gegen bekannte Angriffsmuster ausgerollt und beobachtet bereits, wie Angreifer ihre Payloads anpassen. Eine WAF schützt außerdem nur, wenn Ihr Server direkte Zugriffe am CDN vorbei blockiert.
Was Sie jetzt tun sollten
- Bestandsaufnahme: Welche Server, Container und Hosting-Pakete führen PHP aus? Welche Version jeweils? Vergessen Sie Staging-Systeme, alte Microsites und interne Tools nicht.
- Patchen: Auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren. Bei Managed Hosting beim Anbieter nachfragen, ob und wann das Update eingespielt wurde.
- Notfalls offline nehmen: CERT-EU empfiehlt, öffentlich erreichbare PHP-Anwendungen vom Netz zu nehmen, wenn ein sofortiges Update nicht möglich ist.
- Auf Spuren prüfen: Da die Details vor dem Patch bekannt waren, lohnt ein Blick in Logs, auf neu angelegte oder veränderte Dateien und auf unbekannte Admin-Konten.
- Altlasten angehen: Systeme auf PHP 8.1 oder älter auf eine unterstützte Version migrieren. Die nächste Lücke kommt bestimmt.
Wir prüfen Ihre Systeme
Sie sind nicht sicher, welche PHP-Version auf Ihren Servern läuft oder ob Ihr Hoster schon gepatcht hat? Wir übernehmen das für Sie: Wir prüfen Ihre Websites, Shops und Server auf die PHPocalypse-Lücken, spielen die Updates ein und kontrollieren, ob es Anzeichen für einen Angriff gibt.