Kritisches PHP-Sicherheitsupdate (PHP2Shell): Was TYPO3-Betreiber jetzt tun müssen

Kurz gesagt: Am 21. Oktober 2026 hat das PHP-Projekt PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Diese Versionen schließen zwei kritische Lücken, CVE-2026-109618 und CVE-2026-109619 (CVSS 9,2), über die Angreifer ohne Anmeldung Code auf einem Server ausführen können. Jede TYPO3-Website läuft auf PHP und ist damit betroffen, bis ihr Server eine gepatchte PHP-Version nutzt. Ein TYPO3-Update allein hilft nicht: Aktualisieren Sie heute PHP oder lassen Sie es kostenlos von uns prüfen.

PHP2Shell ist der Name für zwei kritische Sicherheitslücken in PHP selbst, CVE-2026-109618 und CVE-2026-109619. Unter bestimmten Bedingungen kann ein Angreifer damit ohne Anmeldung eigenen Code auf einem Webserver ausführen. Behoben wurden sie am 21. Oktober 2026 in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.

Die Lücken liegen in Teilen von PHP, die fast jede Anfrage durchläuft: Speicherverwaltung und Fehlerbehandlung. Deshalb betreffen sie jede PHP-Anwendung und nicht nur ein CMS.

Beide Lücken betreffen jede Laufzeitumgebung für Webanfragen: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das PHP-Projekt stuft das Risiko für mod_php am höchsten ein. Laut der PHP Foundation fiel die Ursache erstmals bei einem externen Audit 2024 auf. Mehrere Sicherheitsfirmen zeigten später funktionierende Angriffe, wodurch der Fix oberste Priorität bekam.

• 2024: Ein externes Sicherheitsaudit von PHP findet erste Hinweise auf das Out-of-Memory-Problem.
• 11.08.2026: Forschende melden eine funktionierende Remote-Code-Ausführung mit derselben Ursache.
• 20.10.2026: Die CVE-IDs gelangen in soziale Medien; PHP zieht die Ankündigung vor.
• 21.10.2026, 14:00 UTC: Die korrigierten Versionen erscheinen, einen Tag früher als geplant.
• Seitdem: Die Sicherheitsfirma watchTowr meldet Angriffe in freier Wildbahn.

Weil Details vor dem Fix bekannt wurden, hatten Angreifer einen Vorsprung. Behandeln Sie das Thema dringend.

Betroffen ist jeder Server, auf dem PHP läuft, unabhängig von der Anwendung: TYPO3, WordPress, Laravel oder eigener Code. Die Fehler sind viele Jahre alt, daher ist jede PHP-Version betroffen, bis sie gepatcht ist.

Was das für Ihre TYPO3-Version bedeutet

Für PHP 7.4, 8.0 und 8.1 hat das PHP-Sicherheitsteam minimale Quellcode-Backports für alle veröffentlicht, die PHP selbst kompilieren; einige Linux-Distributionen und LTS-Anbieter liefern eigene Fixes. Fragen Sie Ihren Anbieter oder wechseln Sie auf eine unterstützte PHP-Version. Nationale Cyber-Sicherheitsbehörden wie das britische NCSC raten, Systeme offline zu nehmen, wenn sie sich nicht schnell absichern lassen. Reicht ein PHP-Patch nicht aus, plant und übernimmt unsere Muttergesellschaft NITSAN das TYPO3 Upgrade für Sie.

• Kompletter Server-Zugriff: Angreifer können Ihre Datenbank lesen, Kundendaten stehlen oder Schadcode einschleusen, ganz ohne TYPO3-Login.
• DSGVO-Pflicht: Eine Datenpanne mit personenbezogenen Daten muss unter Umständen binnen 72 Stunden der Aufsichtsbehörde gemeldet werden (Art. 33 DSGVO).
• Umsatz und Rankings: Ein gehackter Shop oder eine gehackte Firmenwebsite verliert Umsatz, Sichtbarkeit und Vertrauen; Google kann sie als unsicher markieren.
• Alte Setups stecken fest: Läuft Ihre TYPO3-Version nicht auf PHP 8.2 oder neuer, brauchen Sie ein TYPO3-Upgrade und nicht nur ein PHP-Update.

PHP2Shell ist ein weiterer Grund, auch TYPO3 selbst zu härten. Unsere TYPO3-Sicherheits-Checkliste mit 30 Punkten deckt den Rest ab.

1. PHP-Version ermitteln. Öffnen Sie im TYPO3-Backend Admin Tools › Environment › Environment Status, sehen Sie in Ihrem Hosting-Panel nach oder führen Sie php -v aus. Kommandozeilen-PHP und Webserver-PHP können sich unterscheiden.
2. Mit den korrigierten Versionen vergleichen. 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder neuer im selben Zweig sind vor diesen beiden Lücken geschützt. Nutzen Sie den PHP2Shell-Checker oben.
3. PHP aktualisieren und alle Worker neu starten. Bei Managed Hosting prüfen Sie die Statusseite Ihres Hosters und fordern das Update an. Auf dem eigenen Server installieren Sie die aktualisierten Pakete Ihrer Distribution oder das offizielle Release und starten PHP-FPM oder Apache neu, damit kein alter Worker weiterläuft.
4. Heute kein Update möglich? Risiko senken. Setzen Sie die Werte unten in der php.ini, im FPM-Pool oder in der Apache-Konfiguration und starten Sie alle Worker neu. Verlassen Sie sich nicht auf ini_set() oder .user.ini. Diese Einstellungen senken das Risiko, machen PHP aber nicht sicher.
5. Auf Angriffsspuren prüfen. Suchen Sie nach unbekannten PHP-Dateien in fileadmin/ und typo3temp/, neuen oder geänderten Backend-Benutzern, Speicherfehlern mit „Unknown on line 0“ und PHP-Workern, die eine Shell starten.

Temporäre Einstellungen laut PHP-Sicherheitshinweis:

; CVE-2026-109619, alle Zweige
session.upload_progress.enabled = 0
; CVE-2026-109619, nur PHP 8.5
fatal_error_backtraces = 0
; CVE-2026-109618 (FPM: php_admin_value)
memory_limit = -1
post_max_size = 8M   ; 32M, wenn Uploads nötig sind

Beispiel-Update auf Ihrem eigenen Debian- oder Ubuntu-Server (Paketnamen hängen von Ihrer PHP-Quelle ab):

sudo apt update && sudo apt install --only-upgrade 'php8.3*'
sudo systemctl restart php8.3-fpm     # oder: apache2 bei mod_php
php -r 'echo PHP_VERSION, PHP_EOL;'
find fileadmin typo3temp -name '*.php' -newermt '2026-10-17'

Datadog Security Labs meldet erste Angriffsversuche ab dem 17. Oktober 2026. Prüfen Sie Ihre Logs ab diesem Datum.

T3Planet entwickelt und betreut jeden Tag TYPO3-Templates und -Extensions. Wir wissen daher genau, welche PHP-Versionen jedes TYPO3-Setup braucht. T3Planet ist die TYPO3-Produktmarke der NITSAN GmbH, unserer Muttergesellschaft und Gold Member der TYPO3 Association. Jede Anfrage bearbeitet das NITSAN-Team mit mehr als 20 TYPO3-Entwicklern.

Remote Code Execution (RCE)

Ein Angreifer bringt Ihren Server dazu, eigenen Code auszuführen. Das bedeutet meist die volle Kontrolle über die Website.

CVE

Common Vulnerabilities and Exposures, die öffentliche Kennung einer bekannten Sicherheitslücke.

CVSS

Common Vulnerability Scoring System, eine Bewertung von 0 bis 10. Ab 9,0 gilt eine Lücke als kritisch.

mod_php und PHP-FPM

Zwei Arten, wie ein Webserver PHP ausführt. mod_php läuft in Apache; PHP-FPM läuft als eigener Prozess-Pool.

End of Life (EOL)

Eine Version, die keine Sicherheitsupdates mehr erhält, etwa PHP 8.1 und älter.

• php.net: Sicherheitsreleases PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 mit Sicherheitshinweis (21.10.2026)
• PHP Foundation: Today's PHP security release, and how we're strengthening PHP security (21.10.2026, englisch)
• GitHub-Advisory GHSA-w8hw-w9fx-j79w (CVE-2026-109618)
• GitHub-Advisory GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)
• Datadog Security Labs: PHP2Shell critical vulnerabilities in PHP (englisch)
• watchTowr: PHP2Shell FAQ (englisch)
• UK NCSC: Critical security issue affecting PHP (englisch)
• WordPress News: Critical PHP security release (englisch)
• Laravel Forge: PHP security advisory (englisch)

Weiterlesen auf T3Planet

• TYPO3-Sicherheit: Checkliste mit 30 Punkten für v13 und v14
• TYPO3 Update vs. TYPO3 Upgrade: Welchen Weg wählen
• So prüfen Sie die TYPO3-Kompatibilität für Ihr nächstes Upgrade
• TYPO3-Upgrades mit TYPO3 Rector automatisieren

Wir aktualisieren diesen Beitrag, sobald es Neues gibt. Letzte Aktualisierung: 21. Oktober 2026.