PHP 8.2 und PHP2Shell: Update auf 8.2.35, danach den nächsten Schritt planen

Sind Sie betroffen?

Ja, wenn bei Ihnen PHP 8.2 unter 8.2.35 hinter einem Webserver läuft. Beide Lücken stecken in PHP selbst. Betroffen ist damit jede Website auf dem Server, egal welches Framework oder CMS sie nutzt.

Wie PHP eingebunden ist, bestimmt das Risiko:

Apache mit mod_php ist am stärksten gefährdet. Eine Anfrage ohne Anmeldung erreicht den Fehler, bevor Ihr eigener Code überhaupt startet.
PHP-FPM, LiteSpeed (LSAPI), php-cgi und FrankenPHP sind ebenfalls als betroffen gelistet.
Die Kommandozeile (php -v im Terminal) ist nicht der Weg aus dem Netz, zeigt aber meist, welche Version auch der Webserver nutzt.

Distributionen behalten oft die alte Versionsnummer und spielen den Fix als Patch ein. Unter Ubuntu oder Debian kann ein Paket wie 8.2.x+deb12u… abgesichert sein, obwohl die Nummer kleiner als 8.2.35 ist. Bei solchen Builds richten Sie sich nach der Sicherheitsmeldung der Distribution zu beiden CVE-Nummern statt nach der Versionsnummer.

Der offizielle Fix

Das PHP-Projekt hat am 21. Oktober 2026 PHP 8.2.35 veröffentlicht. Die Version behebt CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 nach CVSS v4.0 bewertet. Der Zweig 8.2 selbst erreicht am 31. Dezember 2026 sein Supportende, zehn Wochen nach diesem Release. Neue Lücken in 8.2 behebt das PHP-Projekt danach nicht mehr.

Kostenlos aktualisieren

Nach dem Update neu starten

Ein installiertes Paket ändert nichts an PHP-Prozessen, die bereits laufen. Bis PHP-FPM, Apache oder LiteSpeed neu gestartet sind, beantworten sie Anfragen weiter mit dem alten Code.

1. Die Version ablesen, die der Webserver nutzt.

php -v
php-fpm8.2 -v   # Debian und Ubuntu benennen das FPM-Binary nach Version

2. Das Paket aktualisieren. Unter Debian oder Ubuntu:

sudo apt update
sudo apt install --only-upgrade 'php8.2*'

Unter RHEL, AlmaLinux oder Rocky mit dem Remi-Repository:

sudo dnf upgrade 'php*'

Bei Docker bauen Sie das Image auf php:8.2.35-fpm (oder dem passenden Tag) neu und deployen jeden Container neu.

3. Alle PHP-Worker neu starten.

sudo systemctl restart php8.2-fpm
sudo systemctl restart apache2   # bei mod_php

4. Die laufende Version prüfen, nicht die installierte. Wie das geht, steht unter Nach dem Patchen.

Bei Shared Hosting können Sie diese Befehle nicht ausführen. Fragen Sie Ihren Hoster, welcher Build läuft und wann er gepatcht wurde; die passenden Fragen stehen in der Einschätzung.

Wenn Sie heute nicht aktualisieren können

Das PHP-Projekt nennt Einstellungen, die die Angriffsfläche verkleinern. Sicher sind Sie damit nicht; das schafft nur das Update. Setzen Sie die Werte in der php.ini oder im FPM-Pool, nicht per .user.ini oder ini_set(), und starten Sie danach neu:

; FPM-Pool, z. B. /etc/php/8.2/fpm/pool.d/www.conf
php_admin_value[memory_limit] = -1
php_admin_value[post_max_size] = 8M         ; 32M bei Datei-Uploads
php_admin_value[upload_max_filesize] = 4M
php_admin_value[max_input_nesting_level] = 16   ; Standard 64; senken
php_admin_flag[session.upload_progress.enabled] = off
php_admin_flag[log_errors] = on
php_admin_value[error_reporting] = E_ALL

Begrenzen Sie außerdem am vorgeschalteten Proxy Anfragegröße, Anzahl der Felder, Multipart-Teile, Header und Verschachtelungstiefe, auch für Anfragen ohne Content-Length-Header. Setzen Sie kein RLIMIT_AS und kein RLIMIT_DATA: Eine fehlgeschlagene Speicherzuweisung ist genau der Weg, den die erste Lücke braucht. Die vollständige Liste mit Begründungen finden Sie auf der Startseite.

Vor dem 31. Dezember 2026

8.2.35 schließt PHP2Shell, doch zum Jahresende bekommt 8.2 keine Sicherheitsupdates mehr. Damit bleiben drei Möglichkeiten:

Auf 8.3 oder 8.4 wechseln. Unterstützt bis 31. Dezember 2027 bzw. 31. Dezember 2028. Code, der unter 8.2 läuft, läuft meist mit wenigen Anpassungen auch unter 8.3; testen Sie vorher Plugins und Erweiterungen.
Bei einer Distribution bleiben, die 8.2 pflegt. Debian 12 liefert 8.2 aus, und das Debian-Sicherheitsteam patcht es innerhalb dieses Releases weiter. Prüfen Sie die Supportdaten Ihrer eigenen Distribution.
Erweiterten Support bezahlen. Anbieter patchen PHP weiter, wenn das Projekt aufhört; siehe Alte PHP-Versionen.

Wenn eine Anleitung nicht reicht

Mehrere Server oder viele Kundenseiten: Wir patchen sie gemeinsam mit Ihnen, mit schriftlich festgelegtem Umfang und gegen Rechnung.
Den Umstieg von 8.2 vor dem 31. Dezember planen: Den Umfang klären wir mit Ihnen.
Auf unserer Seite Empfehlungen stehen weitere Optionen; bezahlte Links sind dort gekennzeichnet.

Zuletzt geprüft am 22. Oktober 2026.