Kritische PHP-Schwachstellen (CVE-2026-109618 & CVE-2026-109619): Was Sie jetzt wissen müssen

Was sind die Schwachstellen CVE-2026-109618 & CVE-2026-109619?

Kürzlich wurden zwei kritische Sicherheitslücken in PHP veröffentlicht, die unter den Bezeichnungen CVE-2026-109618 und CVE-2026-109619 (oft auch als php2shell bezeichnet) geführt werden. Es handelt sich dabei um sogenannte Remote-Code-Execution (RCE)-Schwachstellen. Das bedeutet, dass ein Angreifer im schlimmsten Fall aus der Ferne beliebigen Programmcode auf dem betroffenen Server ausführen kann. Solche Lücken gelten als besonders kritisch, da sie weitreichende Auswirkungen auf die Sicherheit und Integrität von Webanwendungen und Servern haben können.

Was genau ist eine Remote Code Execution (RCE)?

Eine Remote Code Execution (RCE) erlaubt es einer unautorisierten Person (einem Angreifer), Befehle auf einem System auszuführen, auf das sie normalerweise keinen Zugriff haben sollte. Stellen Sie sich vor, der Server ist ein gesichertes Gebäude, und die Webanwendung ist der Empfangsschalter. Wenn am Empfangsschalter eine unsichere Anweisung (wie ein präpariertes Datenpaket) nicht richtig überprüft wird, kann dies dazu führen, dass der Angreifer plötzlich vollen Zugriff auf die Verwaltungsräume des Gebäudes erhält.

Bei den aktuellen PHP-Lücken können Angreifer über manipulierte Anfragen Mechanismen in der PHP-Umgebung ausnutzen, um Systembefehle (sogenannte Shell-Befehle) an das Betriebssystem des Servers weiterzuleiten. Dadurch können sie möglicherweise sensible Daten auslesen, Schadsoftware installieren oder die vollständige Kontrolle über den Server übernehmen.

Warum sind diese Lücken so gefährlich?

Das Hauptrisiko einer RCE-Schwachstelle liegt in den potenziell weitreichenden Konsequenzen. Wenn ein Angreifer beliebigen Code ausführen kann, sind der Kreativität kaum Grenzen gesetzt. Häufige Folgen sind:

• Datendiebstahl: Zugriff auf Datenbanken, Kundendaten, Passwörter oder vertrauliche Unternehmensinformationen.
• Systemkompromittierung: Installation von Backdoors (Hintertüren), um auch in Zukunft Zugriff zu haben, selbst wenn die ursprüngliche Lücke geschlossen wird.
• Missbrauch für Angriffe: Der kompromittierte Server kann als Teil eines Botnetzes für weitere Angriffe (z. B. DDoS) auf andere Ziele missbraucht werden.

Gerade weil PHP eine sehr weit verbreitete Technologie im Web ist (viele Content-Management-Systeme und E-Commerce-Plattformen basieren darauf), ist die potenzielle Angriffsfläche enorm groß. Dies führt zu der aktuellen Verunsicherung bei vielen Website- und Shopbetreibern.

Wie können Sie sich schützen?

Die Absicherung Ihrer Systeme sollte oberste Priorität haben. Auch wenn wir aus Sicherheitsgründen keine aktiven Scan-Tools anbieten, mit denen Ihre Systeme direkt getestet werden können, empfehlen wir dringend die folgenden Abwehrmaßnahmen:

1. Patches und Updates einspielen (Patch-Management)

Die effektivste Maßnahme ist das sofortige Einspielen der offiziellen Sicherheitsupdates. Die Entwickler von PHP stellen Patches bereit, die diese Schwachstellen beheben.

• Prüfen Sie, welche PHP-Version aktuell auf Ihrem Server läuft (z. B. lokal über die Kommandozeile mit php -v oder in Ihrem Hosting-Dashboard).
• Aktualisieren Sie Ihre PHP-Installation auf die neueste sichere Version, die von den offiziellen PHP-Entwicklern oder Ihrem Linux-Distributions-Anbieter (z. B. Ubuntu, Debian, CentOS) zur Verfügung gestellt wird.

2. Web Application Firewall (WAF) konfigurieren

Wenn ein sofortiges Update nicht möglich ist oder als zusätzliche Sicherheitsschicht, sollten Sie eine Web Application Firewall (WAF) einsetzen. Eine WAF kann bekannte Angriffsvektoren blockieren, indem sie den eingehenden Traffic auf verdächtige Muster analysiert.

• Stellen Sie sicher, dass Ihre WAF auf dem neuesten Stand ist und über aktuelle Regeln (Rulesets) verfügt, die speziell auf die Abwehr von RCE-Versuchen ausgelegt sind.
• Große Cloud-Anbieter und spezialisierte Sicherheitsdienstleister aktualisieren ihre WAF-Regeln oft sehr schnell, wenn neue kritische Lücken bekannt werden.

3. Systemhärtung und Least Privilege

Befolgen Sie das Prinzip der minimalen Rechte (Least Privilege). Stellen Sie sicher, dass der Webserver und der PHP-Prozess nur mit den Rechten ausgeführt werden, die für den Betrieb der Website zwingend erforderlich sind. Dadurch wird der Schaden begrenzt, sollte es einem Angreifer dennoch gelingen, Code auszuführen (er kann dann z. B. keine systemweiten Änderungen vornehmen).

Fazit

Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 sind ernst zu nehmen und erfordern schnelles Handeln. Indem Sie Ihre Systeme umgehend aktualisieren, eine WAF einsetzen und Best Practices für die Sicherheit befolgen, können Sie das Risiko erheblich minimieren und Ihre Daten sowie die Ihrer Kunden schützen. Bei Unsicherheiten empfehlen wir, sich an Ihren IT-Dienstleister oder Hosting-Provider zu wenden, um die notwendigen Schritte zur Absicherung einzuleiten.