# PHP2Shell: Alles zur kritischen PHP-Lücke

> PHP2Shell verständlich erklärt: CVE-2026-109618 und CVE-2026-109619, betroffene Versionen, Prüfung, Neustart und Übergangsmaßnahmen.

Quelle: https://phpsos.de/php2shell/  
Stand: 25.10.2026  
Anbieter: PHP SOS, PHP-Notfallhilfe und Server-Sicherheit. Soforthilfe per WhatsApp: https://wa.me/491736494914?text=Hallo%20PHP%20SOS%2C%20wir%20brauchen%20Hilfe%20mit%20unserem%20PHP-Server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

Zwei kritische Lücken in PHP selbst, CVSS 9.2, Schadcode ohne Anmeldung. Hier steht, was belegt ist, welche Versionen sicher sind und was Sie jetzt tun.

- [Was ist PHP2Shell? Die Lücke einfach erklärt](https://phpsos.de/php2shell/was-ist-php2shell/): PHP2Shell sind zwei kritische Lücken in PHP selbst, über die Angreifer ohne Anmeldung Code auf Webservern ausführen können. Hier die Lage in klaren Worten.
- [CVE-2026-109618: RCE durch Out-of-Memory-Zustand](https://phpsos.de/php2shell/cve-2026-109618/): CVE-2026-109618 ist eine der beiden PHP2Shell-Lücken: Ein Out-of-Memory-Zustand kann PHP mitten in der Anfrageverarbeitung unterbrechen. Behoben ab PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
- [CVE-2026-109619: RCE durch veralteten globalen Zustand](https://phpsos.de/php2shell/cve-2026-109619/): CVE-2026-109619 ist die zweite PHP2Shell-Lücke: Interner Zustand einer Anfrage kann nach dem Freigeben des Speichers bestehen bleiben und von der nächsten Anfrage im selben Worker genutzt werden.
- [CVE-2026-115560: Session-Upload-Progress-Hinweis](https://phpsos.de/php2shell/cve-2026-115560/): CVE-2026-115560 ist ein Hinweis von php.net vom 23.10.2026: mögliche Codeausführung nur bei einer ungewöhnlichen Session-Konfiguration. Abhilfe bis zum nächsten Release: session.upload_progress.enabled=0.
- [Welche PHP-Versionen sind betroffen?](https://phpsos.de/php2shell/betroffene-php-versionen/): Behoben ist PHP2Shell in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es keine offiziellen Updates mehr. Die Tabelle zeigt den Stand je Zweig.
- [PHP-Version und Patchstand richtig prüfen](https://phpsos.de/php2shell/php-version-pruefen/): Die angezeigte PHP-Version allein sagt nicht, ob PHP2Shell geschlossen ist. Entscheidend sind Paketstand, Backports und ob die neuen Prozesse wirklich laufen.
- [Warum mod_php das höchste Risiko trägt](https://phpsos.de/php2shell/mod-php-risiko/): Bei Apache mit mod_php stuft das PHP-Team das Risiko durch PHP2Shell am höchsten ein: Dort wurde ein Exploit gezeigt, bevor Anwendungscode läuft. So prüfen und handeln Sie.
- [Nach dem Update: PHP-FPM und alle Worker neu starten](https://phpsos.de/php2shell/php-fpm-neustart/): Ein PHP-Update wirkt erst, wenn alle PHP-Prozesse neu gestartet sind. Hier die Befehle für PHP-FPM, Apache, LiteSpeed und Container und wie Sie den Neustart prüfen.
- [Sofortmaßnahmen, wenn Sie noch nicht patchen können](https://phpsos.de/php2shell/sofortmassnahmen-ohne-patch/): Wenn das PHP-Update noch nicht möglich ist, verringern die Übergangsmaßnahmen von php.net das Risiko, schützen aber nicht vollständig. So setzen Sie sie richtig.
- [PHP 8.1 und älter: Was jetzt gilt](https://phpsos.de/php2shell/php-8-1-und-aelter/): Für PHP 8.1, 8.0, 7.4 und ältere Versionen gibt es gegen PHP2Shell keine offiziellen Updates. Was die Quell-Backports leisten und wie der Weg zu einer unterstützten Version aussieht.
- [PHP in Docker-Containern patchen](https://phpsos.de/php2shell/docker-container-patchen/): Container patchen sich nicht selbst. Gegen PHP2Shell müssen Sie das PHP-Image neu bauen oder neu ziehen und jeden Container aus dem neuen Image neu erstellen.
- [Bin ich schon kompromittiert? Anzeichen nach PHP2Shell](https://phpsos.de/php2shell/bin-ich-gehackt-anzeichen/): Für PHP2Shell gibt es keine bestätigten Indicators of Compromise. Woran Sie trotzdem erkennen, ob Ihr Server gehackt wurde, und wie Sie prüfen, ohne Spuren zu zerstören.