Ausnahmsweise ist der Countdown diesmal öffentlich bekannt: Um 14:00 UTC veröffentlicht das PHP-Projekt heute den Patch für zwei kritische Lücken im Kern der Sprache selbst — nicht in einem Plugin, nicht in einem CMS, sondern in PHP. Und Sicherheitsforscher von Sansec rechnen damit, dass die ersten automatisierten Angriffe innerhalb von 15 Minuten nach Veröffentlichung laufen.
WAS GENAU KAPUTT IST
Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und erreichen jeweils einen CVSS-Wert von 9,2. Beide erlauben unter bestimmten Bedingungen die Remote-Code-Execution — also die vollständige Übernahme des Servers, ohne dass sich ein Angreifer vorher einloggen muss. Weil der Fehler im PHP-Kern selbst sitzt, hilft kein noch so sauber programmiertes Plugin und kein noch so aktuelles CMS: Die Lücke betrifft die Infrastruktur darunter.
Betroffen sind praktisch alle PHP-Versionen seit 5.4.0 — also auch uralte Installationen, die seit Jahren klaglos liefen.
GEFAHR! Der Patch schützt nicht jeden
Hier liegt der eigentliche Haken: Einen offiziellen Fix bekommen nur PHP 8.2 und neuer. Wer noch auf PHP 8.1 oder älter läuft, geht leer aus — und das sind nach Schätzungen von Sansec rund 884.000 öffentlich erreichbare Server, viele davon Hoster von älteren Magento-, Shopware- und WooCommerce-Shops, die aus Kompatibilitätsgründen nie auf die aktuelle PHP-Version umgezogen sind.
Noch unangenehmer: Details der Lücke sind schon vor dem eigentlichen Embargo durchgesickert. Die Sicherheitsfirma watchTowr hat CVE-2026-109618 bereits unabhängig nachgebaut, und ein Exploit-Werkzeug mit dem Spitznamen „PHP2Shell“ macht in Sicherheitskreisen bereits die Runde. Sobald der offizielle Patch online ist, können Angreifer per Patch-Diffing — also durch den direkten Vergleich von alter und neuer Codezeile — innerhalb von Minuten sehen, wo genau der Fehler lag.
WARUM DAS NICHT EINFACH „MAL WIEDER EIN CVE“ IST
PHP treibt nach wie vor einen riesigen Teil des Webs an — von WordPress über klassische Shopsysteme bis zu selbstgeschriebenen Firmenanwendungen. Eine kritische Lücke im Kern selbst, kombiniert mit einer Versionsgrenze beim Patch, trifft deshalb nicht nur Exoten, sondern einen beachtlichen Teil des Shared-Hosting-Marktes. Viele Billig-Hoster aktualisieren PHP aus Kompatibilitätsangst für ihre Kunden nur selten — genau diese Server stehen jetzt besonders offen.
SO SCHÜTZT DU DEINEN SERVER — JETZT
- PHP-Version prüfen:
php -vauf dem Server oder im Hosting-Panel nachsehen. - 8.2 oder neuer? Sobald dein Hoster oder deine Distribution den Patch bereitstellt, sofort einspielen — am besten noch heute.
- 8.1 oder älter? Beim Hoster nach einem Backport fragen oder den Umzug auf eine aktuelle PHP-Version jetzt einplanen — ein offizieller Fix kommt dafür nicht.
- Shared Hosting? Nachfragen, ob der Anbieter den Patch bereits zentral eingespielt hat — das betrifft dich, auch wenn du selbst nichts installierst.
EXTRA-TIPP: Wer ein Web Application Firewall-Regelwerk (ModSecurity, Cloudflare WAF) einsetzt, sollte in den nächsten Stunden gezielt nach neuen Regeln für CVE-2026-109618/109619 suchen — ein Notbehelf, bis der eigentliche Umzug steht.
FAZIT: Heute ist Patch-Tag, kein normaler Mittwoch
Die Kombination aus riesigem Blast-Radius, vorab durchgesickerten Details und einem Patch, der nicht jeden rettet, macht PHP2Shell zu einem der unangenehmeren Lücken-Tage des Jahres. Wer heute Nachmittag nicht aktiv wird, sollte sich morgen nicht wundern, wenn der Server plötzlich Dinge tut, die niemand angewiesen hat.