Lesen Sie dies zuerst. PHP hat am 21. Oktober zwei kritische Sicherheitslücken behoben. Läuft Ihr Shop mit einer ungepatchten PHP-Version, kann ein Angreifer möglicherweise ohne Anmeldung Code auf dem Server ausführen. Beide Sicherheitslücken betreffen PrestaShop nicht. Sie benötigen heute drei Antworten: Welche PHP-Version verwenden Sie? Hat Ihr Hosting-Anbieter die Fehlerbehebung bereits installiert (lassen Sie sich dies schriftlich bestätigen)? Wurde PHP seitdem neu gestartet?
Die meisten Sicherheitsmeldungen handeln von Plugins oder Themes, und die Lösung ist ein Klick auf „Aktualisieren“. Hier ist es anders. Ihr Problem liegt im Kern Ihres Shops, und die Lösung befindet sich auf dem Server – außerhalb des Einflussbereichs des Backends. Deshalb wird es leicht übersehen, und deshalb sollten Sie sich einen Nachmittag Zeit nehmen, um es in Ruhe und systematisch zu beheben.
Wie sich das entwickelt hat
Das PHP-Team warnte am 20. Oktober vor bevorstehenden Sicherheitsupdates. Diese wurden am 21. Oktober entdeckt und erhielten die CVE-Nummern CVE-2026-109618 und CVE-2026-109619. Beide Schwachstellen erreichen auf der CVSS-v4.0-Skala einen Wert von 9.2 und sind als äußerst kritisch eingestuft. Sie tragen den Namen „php2shell“. Eine gemeinsame Sicherheitswarnung wurde von der Europäischen Kommission (GD CNECT), ENISA, CERT-EU, Europol EC3 und dem CSIRTs-Netzwerk herausgegeben.
Die Europäische Kommission (GD CNECT), ENISA, CERT-EU, Europol EC3 und das CSIRTs-Netzwerk gaben daraufhin eine gemeinsame Erklärung ab, in der sie die Organisationen zum Handeln aufforderten.
Korrigierte Versionen: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Was ist eigentlich kaputt?
Beide Schwachstellen können zur Ausführung von Schadcode ohne Authentifizierung führen. Anders ausgedrückt: Ein Unbekannter im Internet könnte Ihren Server dazu bringen, seine Anweisungen auszuführen.
CVE-2026-109618 ist ein Problem mit der Speicherverwaltung. Stellen Sie sich vor, PHP erstellt den Arbeitsbereich für eine eingehende Anfrage und der Server hat mittendrin keinen Speicher mehr. PHP stoppt, aber die nachfolgende Aufräumroutine geht fälschlicherweise davon aus, dass der halbfertige Arbeitsbereich vollständig ist und verarbeitet ihn.
CVE-2026-109619 ähnelt eher einem Nachwirkungsfehler. Daten, die zu einer Anfrage gehörten, bleiben nach der Freigabe ihres Speichers weiterhin vorhanden und können von einer späteren Anfrage desselben Workers verwendet und als vertrauenswürdig eingestuft werden.
Beachten Sie, wo sich beides befindet: innerhalb von PHP. PrestaShop trägt keine Schuld und kann sich auch nicht dagegen verteidigen, da der Angriff erfolgen kann, bevor auch nur eine Zeile PrestaShop-Code ausgeführt wurde. Daher ändert ein Modul- oder Core-Update hier nichts. Das PHP-Update behebt das Problem.
Wessen Problem ist das?
Alle Möglichkeiten, PHP für Webanwendungen auszuführen, werden berücksichtigt: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed. Apache mit mod_php stellt den schlimmsten Fall dar, da der Angriff vor Ausführung des Anwendungscodes erfolgen kann.
Was Sie tun müssen, hängt von Ihrer Hosting-Umgebung und demjenigen ab, der Ihre PHP-Installation verwaltet:
| Hosting-Umgebung | Wer verwaltet PHP? | Empfohlene Maßnahme |
|---|---|---|
| Shared Hosting | Ihr Hosting-Anbieter | Kontaktieren Sie Ihren Hosting-Anbieter und bitten Sie um eine Bestätigung, dass die relevanten PHP-Sicherheitskorrekturen in Ihrer Umgebung angewendet wurden. |
| VPS oder dedizierter Server | Sie oder Ihr Systemadministrator | Installieren Sie die passenden Sicherheitsupdates für Ihre PHP-Version oder Ihr Betriebssystempaket und starten Sie gegebenenfalls die entsprechenden PHP-Dienste neu. |
| Docker oder Containerisiertes Hosting | Das Team, das für das Container-Image verantwortlich ist | Erstellen Sie das Image neu, indem Sie ein PHP-Basis-Image mit den entsprechenden Sicherheitskorrekturen verwenden, und stellen Sie es anschließend erneut bereit, um die laufende Umgebung zu überprüfen. |
| Ältere oder nicht unterstützte PHP-Versionen | Ihr Hosting-Anbieter oder Serveradministrator | Prüfen Sie, ob ein Backport für die Sicherheitsupdates des Anbieters verfügbar ist. Falls nicht, planen Sie nach Prüfung der Kompatibilität mit Ihrem Shop, Theme und Ihren Modulen den Wechsel zu einer unterstützten PHP-Version. |
Ihre Checkliste für heute
- Schlagen Sie die PHP-Version nach. Backoffice, Erweiterte Parameter, Informationen.
- Schreiben Sie an Ihren Gastgeber. Fragen Sie direkt: „Wurden unsere Server gegen CVE-2026-109618 und CVE-2026-109619 gepatcht und wurden alle PHP-Prozesse neu gestartet?“ Notieren Sie sich die Antwort. Hinweis: Manche Distributionen installieren den Patch im Hintergrund, ohne die Versionsnummer zu ändern. Daher lässt sich anhand der Versionsnummer nicht feststellen, ob der Server anfällig ist.
- Aktualisieren Sie das Programm und starten Sie es anschließend neu. Wechseln Sie zu einer korrigierten Version oder einem vom Hersteller gepatchten Paket. Starten Sie alle PHP-Prozesse neu. Ein Neustart wird oft vergessen. Erstellen Sie bei Docker die Images neu.
- Läuft das mit PHP 8.1 oder älter? Das PHP-Projekt hat minimale Backports für 7.4, 8.0 und 8.1 veröffentlicht, und viele Linux-Distributionen und LTS-Anbieter liefern gepatchte Pakete aus. Prüfen Sie, ob dies auch für Ihre Distribution gilt. Planen Sie in jedem Fall den Umstieg auf eine unterstützte Version.
- Denken Sie als Nächstes an PrestaShop. Wählen Sie eine Version, die Ihre Ziel-PHP-Version unterstützt (siehe Tabelle unten). Diese Version muss nach dem Patch installiert werden, nicht davor.
Noch kein Patch verfügbar? Die EU-Richtlinien schlagen eine Option vor: die betroffene Anwendung bis zur Behebung des Fehlers vom öffentlichen Netzwerk zu trennen. Für ein Geschäft mag das drastisch sein, aber es ist gut, diese Möglichkeit in Betracht zu ziehen.
Überbrückungslösungen, während Sie warten
PHP selbst vertritt die Position, dass keine Schutzmaßnahme vollständig ist und ein Update die einzig sichere Methode darstellt. Betrachten Sie alles in diesem Abschnitt lediglich als Möglichkeit, das Risiko für einige Tage zu minimieren, nicht mehr.
- Kappe post_max_size bei 8 MB (32 MB, falls Uploads erforderlich sind), beibehalten upload_max_filesize Darunter sollten Größenbeschränkungen auf dem Webserver oder Proxy hinzugefügt werden.
- Upload-Fortschritt deaktivieren mit session.upload_progress.enabled=0Es muss in die php.ini, den FPM-Pool oder die Serverkonfiguration eingetragen werden; ini_set und .user.ini Das wird nicht funktionieren. Die Worker müssen neu gestartet werden.
- Nur PHP 8.5: fatal_error_backtraces=0Starten Sie dann die Worker neu.
- Nur für Administratoren: Speicherlimit=-1 php_admin_valueund nur dann, wenn eine Speicherbegrenzung für Container oder Cgroups tatsächlich durchgesetzt wird. RLIMIT_AS und RLIMIT_DATA sollten ignoriert werden. Eine fehlerhafte Konfiguration kann hier zum Absturz des Servers führen.
- Fehler ausblenden (error_reporting, display_errors, @) bietet keinen Schutz.
Wie wäre es mit einer vorgeschalteten Firewall? Cloudflare hat beispielsweise php2shell-Regeln eingeführt, was eine sinnvolle zusätzliche Barriere darstellt. Allerdings sieht diese Firewall nur den Datenverkehr, der sie durchläuft. Daher muss der Ursprungsserver jeglichen Datenverkehr blockieren, außer dem, der von der WAF kommt. Das ist, als hätte man einen Sicherheitsgurt, aber kein neues Auto.
Die einzige vollständige Lösung ist ein Upgrade von PHP.
Richtig reparieren
Wie geht man richtig vor? Nachdem Sie die Krise überstanden haben, stellen Sie sicher, dass Sie für Ihren Shop eine unterstützte PHP-Version verwenden und diese mit einer kompatiblen PrestaShop-Version kombinieren. Beachten Sie den Zeitplan, da PHP 8.2 im Dezember 2026 das Ende seines Lebenszyklus erreicht. Bevor Sie PHP aktualisieren oder ein PrestaShop-Upgrade planen, überprüfen Sie den Sicherheitsstatus Ihrer PHP-Version und stellen Sie die Kompatibilität mit Ihrer PrestaShop-Version, Ihrem Theme und den installierten Modulen sicher.
| PHP Version | Sicherheitsstatus | Überlegungen zur PrestaShop-Kompatibilität |
|---|---|---|
| PHP 8.5 | Prüfen Sie den Status der entsprechenden Sicherheitsfreigabe und des Patches. | Prüfen Sie vor dem Upgrade die Kompatibilität mit PrestaShop 9 und allen installierten Themes und Modulen. |
| PHP 8.4 | Prüfen Sie den Status der entsprechenden Sicherheitsfreigabe und des Patches. | Bitte prüfen Sie die Kompatibilität mit Ihrer PrestaShop-Version und den verwendeten Erweiterungen. |
| PHP 8.3 | Prüfen Sie den Status der entsprechenden Sicherheitsfreigabe und des Patches. | Prüfen Sie vor dem Ändern der PHP-Version die Versionsvoraussetzungen und die Modulkompatibilität Ihres PrestaShop-Shops. |
| PHP 8.2 | Prüfen Sie die relevanten Sicherheitskorrekturen und den Support-Lebenszyklus des Zweigs. | Prüfen Sie die Kompatibilität mit Ihrem aktuellen Shop und dem geplanten Upgrade-Pfad. |
| PHP 8.1 | Prüfen Sie den Support des Herstellers und ob Sicherheits-Backports verfügbar sind. | Prüfen Sie vor dem Upgrade, ob Ihre spezifische PrestaShop-Version PHP-Anforderungen erfüllt. |
| PHP 8.0, 7.4 und älter | Diese Zweige sind im Upstream-Bereich veraltet; prüfen Sie, ob Ihr Anbieter Sicherheits-Backports bereitstellt. | Planen Sie den Wechsel zu einer unterstützten PHP-Version und einer kompatiblen PrestaShop-Version, nachdem Sie Themes, Module und Zahlungsintegrationen getestet haben. |
Wichtig: Eine neuere PHP-Version ist nicht automatisch sicher, und eine ältere Version ist nicht unbedingt ungepatcht, wenn der Anbieter Sicherheitsupdates bereitstellt. Überprüfen Sie den aktuellen Patch-Status und die Kompatibilität mit Ihrem Shop, bevor Sie Änderungen vornehmen.
Ein umfassendes PrestaShop-Upgrade ist ein eigenständiges und zeitaufwändiges Projekt. Es stellt keine schnelle Lösung für diese CVEs dar. Falls PrestaShop warten muss, patchen Sie PHP jetzt und planen Sie das Upgrade separat ein.
Benötigen Sie Hilfe bei der Absicherung oder Modernisierung Ihres Online-Shops?
Die Sicherheit Ihres Onlineshops erfordert regelmäßige Sicherheitsupdates und eine gut gewartete Plattform. Benötigen Sie Unterstützung bei der Installation der passenden PHP-Sicherheitspatches oder bei der Planung Ihres PrestaShop 9-Upgrades ? Das KnowBand-Team hilft Ihnen gerne.
Unser Team unterstützt Sie bei der Bedarfsanalyse Ihres Shops, der Kompatibilitätsprüfung und der Planung der nächsten Schritte für einen sicheren und reibungslosen Betrieb. Neben Sicherheits- und Upgrade-Support können Sie außerdem Folgendes erkunden: KnowBands Angebot an E-Commerce-Modulen um die Funktionalität Ihres Shops zu verbessern, das Einkaufserlebnis zu optimieren und Ihr Unternehmenswachstum zu unterstützen.
Benötigen Sie fachkundige Unterstützung? Kontaktieren Sie KnowBand um über PHP-Sicherheitspatches, PrestaShop-Upgrades oder die richtigen Module für Ihren Shop zu sprechen.
Kurze Fragen und Antworten
Frage 1: Muss ich meine Module aktualisieren?
Antwort: Nein, nicht wegen dieser CVEs. Ein Modul kann PHP nicht patchen. Prüfen Sie die Modulkompatibilität, bevor Sie auf eine neuere PHP- oder PrestaShop-Version umsteigen.
Frage 2: Mein Shared-Hosting-Anbieter sagt, dass alles abgedeckt ist. Reicht das?
Antwort: Lassen Sie sich das schriftlich bestätigen: Beide CVEs wurden behoben, PHP wurde neu gestartet. Ein freundliches „Wir kümmern uns darum“ reicht nicht aus.
Frage 3: Kann eine WAF diese Aufgabe stattdessen übernehmen?
Antwort: Es bietet zwar Schutz, aber nur für über einen Proxy geleiteten Datenverkehr; veränderte Nutzdaten können durchschlüpfen. Patchen Sie es trotzdem.
Frage 4: Muss ich PrestaShop jetzt aktualisieren?
Antwort: Nein. Das ist der längere Weg. Heute zählt PHP.
Frage 5: Ich verwende noch PHP 7.4.
Antwort: Offizielle Updates werden nicht mehr bereitgestellt, es existiert jedoch ein minimales Backport, und viele Distributionen und LTS-Anbieter liefern gepatchte Pakete aus. Fragen Sie Ihren Hosting-Anbieter, ob Ihr System abgedeckt ist, und planen Sie dann den Wechsel zu einer unterstützten PHP-Version.
Quellen
- Offizielle PHP-Mitteilung: https://www.php.net/archive/2026.php
- PrestaShop-Hinweis: https://build.prestashop-project.org/news/2026/php-security-updates-october-2026/
- Gemeinsame Erklärung der EU (Europäische Kommission GD CNECT, ENISA, CERT-EU, Europol EC3, CSIRT-Netzwerk): https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities
Nutzen Sie Drittanbietersoftware, die ihr eigenes PHP mitbringt? Die EU-Erklärung verweist auf das NCSC-NL php2shell GitHub-Repository.