---
title: "PHP2Shell: Angreifer nutzten die PHP-Lücken schon vor dem Patch aus"
url: https://media.yoora.tech/de/articles/php2shell-aftermath-exploitation-began-before-patch
lang: de
published: 2026-10-26T07:50:44+00:00
updated: 2026-10-26T07:50:44+00:00
section: "Meldung"
description: "Die Patches für zwei kritische PHP-Lücken kamen am 21. Oktober, doch Amazon sah Angriffsversuche schon etwa eine Woche früher. Erste Kompromittierungen sind bestätigt."
---

# PHP2Shell: Angreifer nutzten die PHP-Lücken schon vor dem Patch aus

Zwei kritische PHP-Lücken, zusammen PHP2Shell genannt (CVE-2026-109618 und CVE-2026-109619), erlauben es, ohne Passwort Code auf einem Server auszuführen. Die Patches erschienen am 21. Oktober, doch die Aufarbeitung zeigt, dass die Angriffe früher begannen.

## Was bekannt ist

Die Sicherheitsfirma Calif hat die Fehler gefunden. Zunächst galten sie als nicht ausnutzbar, dann entwickelten die Forscher einen Angriff und informierten die PHP Foundation. Diese organisierte ein vertrauliches Embargo, damit große Firmen und Hoster früh patchen konnten. Betroffen waren WordPress, Drupal, Joomla und MediaWiki, das Wikipedia antreibt. Laut dem Artikel hängen rund 70 Prozent der Websites an PHP.

## Wo es schiefging

Amazon bemerkte Ausnutzungsversuche etwa eine Woche vor Veröffentlichung der Patches und riet, ab dem 17. Oktober nach Spuren zu suchen. Als Erklärungen kommen ein Leck während des Embargos, eine unabhängige Entdeckung oder Spionage infrage. Die Foundation macht eine Firma verantwortlich, die Fixes Stunden vor Embargoende veröffentlichte. Bis Freitagabend bestätigten Palo Alto Networks und Trail of Bits Kompromittierungen, Cloudflare meldete nach der Offenlegung einen starken Anstieg von Angriffsversuchen.

## Die KI-Frage

Calif sagt, KI habe bei der Ausnutzung geholfen, die Hauptarbeit habe aber die Erfahrung der Forscher geleistet. Kein Modell finde bislang alle Bugs mit einem einfachen Prompt.

## Was jetzt zu tun ist

Banken, Händler und Krankenhäuser nahmen Server zum Aktualisieren vom Netz. Kleine Teams, Einzelentwickler und Produkte mit eingebettetem PHP patchen am langsamsten, manche Altsysteme womöglich nie. Praktisch heißt das: PHP aktualisieren und Logs ab dem 17. Oktober prüfen.