Am 21. Oktober 2026 hat das PHP-Projekt Korrekturen für zwei kritische Schwachstellen in PHP selbst veröffentlicht. Beide sind mit CVSS 9.2 bewertet, und die Entdecker nennen sie php2shell. Das Problem liegt weder in PrestaShop noch in einem Modul, aber da jeder PrestaShop-Shop auf PHP läuft, betrifft dies praktisch jeden Shop. Nachfolgend: Was los ist, welche PHP-Versionen behoben sind und was Sie heute tun sollten.
Was ist das Problem?
Die beiden Schwachstellen befinden sich in der PHP-Laufzeitumgebung, der Schicht, die vor dem eigentlichen Code von PrestaShop ausgeführt wird. Der Ankündigung zufolge können Angreifer sie nutzen, um PHP-Prozesse zum Absturz zu bringen, sensible Daten auszulesen oder im schlimmsten Fall Code auf Ihrem Server auszuführen, ohne sich anzumelden.
- CVE-2026-109618: Wenn PHP kein Speicher mehr zur Verfügung steht, können Anfragedaten halb initialisiert zurückbleiben, und die anschließende Bereinigung behandelt diese unvollständigen Daten als gültig.
- CVE-2026-109619: Der interne Anfragestatus kann überleben, nachdem sein Speicher freigegeben wurde, sodass eine spätere Anfrage auf demselben PHP-Worker diesen veralteten Status verwenden kann.
Jede PHP-Installation, die Webanfragen verarbeitet, ist gefährdet: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das Risiko ist bei mod_php am höchsten.
Warum ein PrestaShop-Update nicht hilft
Das Aktualisieren von PrestaShop oder Ihren Modulen behebt dies nicht. Ein Schutz innerhalb der Anwendung kann einen Angriff nicht stoppen, der stattfindet, bevor der Anwendungscode ausgeführt wird. Die einzige echte Lösung ist eine aktualisierte PHP-Version auf Ihrem Server.
Welche PHP-Versionen sind behoben?
| PHP-Zweig | Behobene Version |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Für PHP 7.4, 8.0 und 8.1 hat das PHP-Projekt minimale Backports veröffentlicht. Bitte beachten Sie, dass Linux-Distributionen den Fix manchmal anwenden, ohne die Versionsnummer zu ändern, sodass eine scheinbar ältere Version dennoch gepatcht sein kann. Aus diesem Grund sollten Sie Ihren Hoster um Bestätigung bitten, anstatt sich nur auf die Nummer zu verlassen.
Was Sie jetzt tun sollten
1. Überprüfen Sie Ihre PHP-Version
Gehen Sie im PrestaShop-Backoffice zu Erweiterte Parameter > Informationen. Dort sehen Sie, auf welcher PHP-Version Ihr Shop läuft.
2. Bitten Sie Ihren Hoster um eine schriftliche Bestätigung
Kontaktieren Sie Ihren Hosting-Anbieter und fragen Sie, ob der Fix für CVE-2026-109618 und CVE-2026-109619 auf Ihrem Server angewendet wurde. Bitten Sie um eine schriftliche Antwort.
3. Verwalten Sie Ihren eigenen Server?
- Installieren Sie die aktualisierten PHP-Pakete Ihrer Distribution oder die offiziellen PHP-Releases.
- Starten Sie jeden PHP-Prozess neu: PHP-FPM-Pools, Apache, LiteSpeed und FrankenPHP-Worker. Ein Update, das installiert, aber nicht geladen wurde, schützt Sie nicht.
- Am Tag der Veröffentlichung riet das PHP-Projekt davon ab, auf das von Freiwilligen betreute Repository
rpms.remirepo.netzu warten, und empfahl Distributionspakete oder das Kompilieren aus dem Quellcode. - Verwenden Sie Docker? Erstellen Sie Ihre Images auf Basis des aktualisierten Base-Images neu und stellen Sie sie erneut bereit.
4. Immer noch auf PHP 8.1 oder älter?
Fragen Sie Ihren Hoster, ob Ihre PHP-Version gepatcht wurde. Das Aktualisieren von PrestaShop auf eine Version, die neueres PHP unterstützt, ist eine separate, langfristige Aufgabe und kein Notfall-Fix. Zur Planung: PrestaShop 9 unterstützt PHP 8.1 bis 8.5, und PHP 8.2 erreicht das Ende seines Lebenszyklus am 31. Dezember 2026. PrestaShop 1.7- und 8.x-Shops laufen meist noch auf PHP 7.x oder 8.1.
Übergangsmaßnahmen, falls Sie noch nicht aktualisieren können
Diese Maßnahmen sind für technische Teams gedacht. Testen Sie sie zuerst in einer Staging-Umgebung; sie verringern das Risiko, ersetzen jedoch nicht das PHP-Update.
Für CVE-2026-109618:
- Reduzieren Sie
post_max_size: Der Ratgeber schlägt8Mvor, wenn Ihr Shop keine Uploads akzeptiert, und32M, wenn er es tut. Halten Sieupload_max_filesizeunter diesem Wert. - Erzwingen Sie außerdem Beschränkungen der Anfragegröße in Ihrem Webserver oder Reverse Proxy.
Für CVE-2026-109619:
- Setzen Sie
session.upload_progress.enabled=0in derphp.ini, dem PHP-FPM-Pool oder der Serverkonfiguration und starten Sie alle Worker neu.ini_set()oder.user.inireicht nicht aus. - Setzen Sie unter PHP 8.5 auch
fatal_error_backtraces=0und starten Sie die Worker neu.
Das Verbergen von Fehlern mit error_reporting, display_errors oder @ hilft nicht. Die vollständige Liste der Maßnahmen finden Sie im offiziellen PHP-Sicherheitshinweis.
Hilft eine Web Application Firewall?
Cloudflare hat dedizierte WAF-Regeln für php2shell eingeführt, die seit dem 21. Oktober standardmäßig aktiv sind. Überprüfen Sie bei einem kostenpflichtigen Tarif, ob der verwaltete Regelsatz auf block eingestellt ist. Denken Sie daran, dass eine WAF nur Datenverkehr schützt, der durch sie hindurchleitet: Stellen Sie sicher, dass Ihr Server Webdatenverkehr nur von Ihrem WAF-Anbieter akzeptiert. Eine WAF ist eine zusätzliche Ebene, kein Ersatz für das PHP-Update.
Brauchen Sie Hilfe?
Sind Sie sich nicht sicher, ob Ihr Server gepatcht wurde, oder nutzen Sie noch eine alte PHP-Version? Wir überprüfen Ihre PHP-Version und Konfiguration, stellen Ihrem Hoster die richtigen Fragen und helfen Ihnen bei der Planung des Schritts zu einer unterstützten PHP- und PrestaShop-Version. Lesen Sie mehr über unseren Sicherheitsdienst, planen Sie ein Upgrade oder stellen Sie uns eine Frage.
Quelle: „Critical PHP security updates: what PrestaShop users need to know“ auf build.prestashop-project.org (21. Oktober 2026) und die PHP-Sicherheitshinweise für CVE-2026-109618 und CVE-2026-109619.
