PHP2Shell, Node.js und Linux: Was die aktuellen Sicherheitslücken für deine Web-App bedeuten

PHP2Shell: Code ausführen über PHP selbst

Am 21. Oktober 2026 hat das PHP-Projekt ein kritisches Sicherheitsupdate veröffentlicht. Es schließt zwei Lücken im PHP-Interpreter (CVE-2026-109618 und CVE-2026-109619), über die Angreifer aus der Ferne eigenen Programmcode auf dem Server ausführen können. In Sicherheitskreisen laufen sie unter dem Namen PHP2Shell. Seit dem 26. Oktober führt die US-Cybersicherheitsbehörde CISA beide Lücken als aktiv ausgenutzt.

Das Besondere: Die Lücken stecken nicht in einem Plugin oder einer einzelnen Anwendung, sondern in PHP selbst. Betroffen ist damit potenziell jede Website und Web-App, die auf einer nicht aktualisierten PHP-Version läuft, vom WordPress-Blog bis zum Onlineshop.

• Behoben in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35
• PHP 8.1 und älter bekommt vom PHP-Projekt keine Updates mehr
• Übergangslösung laut PHP-Projekt: session.upload_progress.enabled=0 in der php.ini setzen und alle PHP-Prozesse neu starten. Das blockiert die bekannten Angriffswege, aber nicht alle Varianten.

Node.js: Lücke beim Entpacken von Daten

Ebenfalls am 21. Oktober hat das Node.js-Projekt Updates für die Versionen 22, 24 und 26 veröffentlicht. Sie beheben unter anderem eine Lücke im mitgelieferten Brotli-Decoder (CVE-2026-111497). Entpackt eine Anwendung manipulierte Brotli-Daten aus einer nicht vertrauenswürdigen Quelle, kann das zum Absturz, zum Auslesen von Speicher oder zur Ausführung von Code führen. Node.js stuft die Lücke als „hoch“ ein, die CISA führt die zugrunde liegende Brotli-Lücke als aktiv ausgenutzt.

Behoben ist sie in Node.js 22.23.4, 24.22.1 und 26.12.1. Für den 11. November 2026 hat das Node.js-Projekt bereits die nächsten Sicherheitsupdates für alle drei Versionslinien angekündigt. Auch diese solltest du zeitnah einspielen.

Linux-Kernel: der Weg zu Root-Rechten

Am 28. Oktober hat die CISA eine Lücke im Linux-Kernel (CVE-2026-46300) als aktiv ausgenutzt gemeldet. Ein Fehler bei der Verarbeitung verschlüsselter IPsec-Pakete kann dazu führen, dass Daten im Arbeitsspeicher unbeabsichtigt verändert werden.

Brisant wird das in Kombination: Laut CISA nutzen Angreifer die Linux-Lücke zusammen mit PHP2Shell, um Webshells einzuschleusen und Befehle mit Root-Rechten auszuführen. Über PHP kommen sie auf den Server, über den Kernel übernehmen sie ihn vollständig.

Die Lösung ist das Kernel-Update der eigenen Distribution. Wichtig: Erst nach einem Neustart läuft der korrigierte Kernel.

Was du jetzt tun solltest

• Versionen prüfen: Welche PHP- und Node.js-Version läuft auf deinen Servern, welcher Kernel? Das gilt auch für Server, um die sich eigentlich ein Dienstleister kümmert.
• Updates einspielen: auf die oben genannten Versionen oder neuer, bei Linux das Kernel-Update der Distribution.
• Neu starten: PHP-Prozesse, Node.js-Anwendungen und bei einem Kernel-Update den ganzen Server. Ohne Neustart läuft oft noch die alte Version.
• Spuren prüfen: Da die Lücken bereits ausgenutzt werden, lohnt ein Blick auf unbekannte Dateien im Webverzeichnis, neue Benutzerkonten und ungewöhnliche Prozesse.
• Veraltete Versionen ersetzen: PHP 8.1 und älter bekommt keine Updates mehr, PHP 8.2 nur noch bis Ende 2026.

Warum Updates im Alltag liegen bleiben

Oft läuft eine Anwendung jahrelang, ohne dass sich jemand für den Server darunter zuständig fühlt. Updates werden verschoben, weil sie etwas kaputtmachen könnten. Bei Apps, die mit KI-Werkzeugen gebaut wurden, weiß manchmal niemand genau, welche Versionen überhaupt im Einsatz sind.

Die aktuellen Lücken zeigen, warum das gefährlich ist: Zwischen dem Update für PHP am 21. Oktober und der Meldung aktiver Angriffe durch die CISA lagen nur fünf Tage.

So behältst du den Überblick

Welche Lücken gerade wirklich ausgenutzt werden, zeigt meine Übersicht aktueller Sicherheitslücken. Sie basiert auf dem Katalog der CISA und ist mit Schweregrad, Ausnutzungswahrscheinlichkeit und einer deutschen Einordnung aufbereitet. Du kannst nach Bereich filtern oder direkt nach dem Produkt suchen, das du einsetzt. Wenn du nichts verpassen willst, bekommst du neue Lücken auch per E-Mail: als wöchentliche Übersicht oder als Warnung bei kritischen Lücken.

So helfe ich dir

Im Managed Hosting betreibe ich deine Web-App bei Hetzner in Deutschland und spiele Updates und Sicherheits-Patches für dich ein, mit Überwachung und täglichen Backups. Wurde deine Anwendung mit KI gebaut, prüfe ich sie vorher mit dem KI-Code-Check auf typische Schwachstellen.