Wer am Mittwochabend eine Stadtverwaltung, ein Krankenhaus oder einen Stadtwerke-Auftritt aufrufen wollte, stand vielerorts vor verschlossenen Türen. Die Charité nahm ihre Webseite vom Netz, ebenso die Städte Mainz und Saarbrücken, in den Niederlanden fielen DigiD und MijnOverheid aus. Der Grund hat einen Namen, der nach Hacker-Film klingt, aber bitterer Ernst ist: PHP2Shell.
Was passiert ist
Am 21. Oktober 2026 veröffentlichte das PHP-Team Notfall-Updates für zwei kritische Schwachstellen im Kern der Sprache selbst: CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 von 10 Punkten bewertet. Laut CERT-EU können beide Lücken eine Codeausführung aus der Ferne ohne jede Anmeldung ermöglichen. Betroffen ist jede PHP-Installation, die Webanfragen bearbeitet, darunter Apache mit mod_php, PHP-FPM, php-cgi, FrankenPHP und LiteSpeed. Am gefährlichsten ist mod_php: Dort reicht laut PHP-Sicherheitshinweis eine einzige unauthentifizierte Anfrage, noch bevor der Code der eigentlichen Webseite überhaupt läuft.
[Mehr]