php2shell
Menü

PHP 8.3 und PHP2Shell: Update auf 8.3.36

PHP 8.3 unter 8.3.36 ist von CVE-2026-109618 und CVE-2026-109619 betroffen. Abhilfe schafft ein normales Paket-Update mit anschließendem Neustart aller PHP-Worker.

Sind Sie betroffen?

Ja, wenn bei Ihnen PHP 8.3 unter 8.3.36 hinter einem Webserver läuft. Beide Lücken stecken in PHP selbst. Betroffen ist damit jede Website auf dem Server, egal welches Framework oder CMS sie nutzt.

Wie PHP eingebunden ist, bestimmt das Risiko:

  • Apache mit mod_php ist am stärksten gefährdet. Eine Anfrage ohne Anmeldung erreicht den Fehler, bevor Ihr eigener Code überhaupt startet.
  • PHP-FPM, LiteSpeed (LSAPI), php-cgi und FrankenPHP sind ebenfalls als betroffen gelistet.
  • Die Kommandozeile (php -v im Terminal) ist nicht der Weg aus dem Netz, zeigt aber meist, welche Version auch der Webserver nutzt.

Distributionen behalten oft die alte Versionsnummer und spielen den Fix als Patch ein. Unter Ubuntu oder Debian kann 8.3.6-0ubuntu… abgesichert sein, obwohl die Nummer kleiner als 8.3.36 ist. Bei solchen Builds richten Sie sich nach der Sicherheitsmeldung der Distribution zu beiden CVE-Nummern statt nach der Versionsnummer.

Der offizielle Fix

Das PHP-Projekt hat am 21. Oktober 2026 PHP 8.3.36 veröffentlicht. Die Version behebt CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 nach CVSS v4.0 bewertet. Der Zweig 8.3 erhält Sicherheitsupdates bis zum 31. Dezember 2027.

Kostenlos aktualisieren

Nach dem Update neu starten

Ein installiertes Paket ändert nichts an PHP-Prozessen, die bereits laufen. Bis PHP-FPM, Apache oder LiteSpeed neu gestartet sind, beantworten sie Anfragen weiter mit dem alten Code.

1. Die Version ablesen, die der Webserver nutzt.

php -v
php-fpm8.3 -v   # Debian und Ubuntu benennen das FPM-Binary nach Version

2. Das Paket aktualisieren. Unter Debian oder Ubuntu:

sudo apt update
sudo apt install --only-upgrade 'php8.3*'

Unter RHEL, AlmaLinux oder Rocky mit dem Remi-Repository:

sudo dnf upgrade 'php*'

Bei Docker bauen Sie das Image auf php:8.3.36-fpm (oder dem passenden Tag) neu und deployen jeden Container neu.

3. Alle PHP-Worker neu starten.

sudo systemctl restart php8.3-fpm
sudo systemctl restart apache2   # bei mod_php

4. Die laufende Version prüfen, nicht die installierte. Wie das geht, steht unter Nach dem Patchen.

Bei Shared Hosting können Sie diese Befehle nicht ausführen. Fragen Sie Ihren Hoster, welcher Build läuft und wann er gepatcht wurde; die passenden Fragen stehen in der Einschätzung.

Wenn Sie heute nicht aktualisieren können

Das PHP-Projekt nennt Einstellungen, die die Angriffsfläche verkleinern. Sicher sind Sie damit nicht; das schafft nur das Update. Setzen Sie die Werte in der php.ini oder im FPM-Pool, nicht per .user.ini oder ini_set(), und starten Sie danach neu:

; FPM-Pool, z. B. /etc/php/8.3/fpm/pool.d/www.conf
php_admin_value[memory_limit] = -1
php_admin_value[post_max_size] = 8M         ; 32M bei Datei-Uploads
php_admin_value[upload_max_filesize] = 4M
php_admin_value[max_input_nesting_level] = 16   ; Standard 64; senken
php_admin_flag[session.upload_progress.enabled] = off
php_admin_flag[log_errors] = on
php_admin_value[error_reporting] = E_ALL

Begrenzen Sie außerdem am vorgeschalteten Proxy Anfragegröße, Anzahl der Felder, Multipart-Teile, Header und Verschachtelungstiefe, auch für Anfragen ohne Content-Length-Header. Setzen Sie kein RLIMIT_AS und kein RLIMIT_DATA: Eine fehlgeschlagene Speicherzuweisung ist genau der Weg, den die erste Lücke braucht. Die vollständige Liste mit Begründungen finden Sie auf der Startseite.

Wenn eine Anleitung nicht reicht

  • Mehrere Server oder viele Kundenseiten: Wir patchen sie gemeinsam mit Ihnen, mit schriftlich festgelegtem Umfang und gegen Rechnung.
  • Sie bleiben auf 8.3, weil eine Anwendung unter 8.4 nicht läuft: Das ist in Ordnung. 8.3.36 ist behoben und wird weiter unterstützt.
  • Auf unserer Seite Empfehlungen stehen weitere Optionen; bezahlte Links sind dort gekennzeichnet.

Zuletzt geprüft am 22. Oktober 2026.