Wo die alten Zweige stehen
| Zweig | Support endete | Angebot des PHP-Projekts zu PHP2Shell |
|---|---|---|
| 8.1 | 31. Dezember 2025 | Quellcode-Zweig PHP-8.1-CVE-2026-109618-109619 |
| 8.0 | 26. November 2023 | Quellcode-Zweig PHP-8.0-CVE-2026-109618-109619 |
| 7.4 | 28. November 2022 | Quellcode-Zweig PHP-7.4-CVE-2026-109618-109619 |
| 7.3 und älter | Früher | Nichts |
Ein Quellcode-Zweig ist nur Code. Jemand muss ihn kompilieren und als Paket ausliefern: Sie, Ihre Distribution oder ein Anbieter. Seiten zu den einzelnen Zweigen: 8.1, 7.4.
„Upstream-Supportende“ heißt nicht immer „kein Patch“. Ihre Distribution pflegt die Version, die sie ausgeliefert hat, unter Umständen weiter.
Vier Wege
1. Auf einen unterstützten Zweig wechseln
Das ist der einzige Weg, der auch die nächste Lücke abdeckt. 8.3.36 und 8.4.27 schließen PHP2Shell und werden bis Ende 2027 bzw. Ende 2028 unterstützt. Aufwand: Zeit für Tests, manchmal Codeänderungen. Die Schritte: PHP 8.3.
2. Das Paket der Distribution nutzen
Ubuntu, Debian, Red Hat und CloudLinux patchen die mitgelieferten PHP-Versionen, solange das jeweilige Release unterstützt wird, manche nur in bezahlten Plänen wie Ubuntu Pro. Kosten: oft keine. Grenze: Das gilt nur, solange Ihr Betriebssystem-Release unterstützt wird, und die Versionsnummer ändert sich nicht. Prüfen Sie deshalb die Sicherheitsmeldung zu beiden CVE-Nummern.
3. Erweiterten Support bezahlen
Einige Anbieter patchen PHP weiter, nachdem das Projekt aufgehört hat:
- TuxCare ELS deckt PHP 5.2 bis 8.1 ab und wird auch von manchen Hostern als Zusatz und als Plesk-Erweiterung verkauft.
- HeroDevs NES deckt PHP 7.2 bis 8.2 ab und nennt 14 Tage als Zielwert für kritische CVEs.
- Zend verkauft unter anderem Langzeit-Support für 8.1.
Wer die beiden CVEs bestätigt hat
Stand 22. Oktober 2026: HeroDevs nennt beide CVEs für seine Builds von PHP 7.4, 8.0 und 8.1, in einem Beitrag und im eigenen Schwachstellenverzeichnis, beide vom 21. Oktober. Zu Zend gibt es nur Aussagen aus zweiter Hand, dass seine LTS-Builds behoben seien; auf Zends eigener Website fanden wir dazu nichts. Im CVE-Tracker von TuxCare gab es bei unserer Prüfung zu keiner der beiden CVEs einen Eintrag. Fragen Sie vor dem Kauf nach und lassen Sie sich die Antwort schriftlich geben.
Mit keinem dieser Anbieter haben wir derzeit eine bezahlte Geschäftsbeziehung. Ändert sich das, werden Links als „Bezahlter Link“ gekennzeichnet und auf der Seite Offenlegung aufgeführt.
4. Abschotten, was sich nicht umstellen lässt
Für ein internes Werkzeug, das sich diesen Monat nicht aktualisieren lässt: Nehmen Sie es aus dem öffentlichen Internet, stellen Sie es hinter ein VPN oder eine Anmeldung am Proxy und setzen Sie die Übergangseinstellungen. Das verkleinert die Angriffsfläche. Ein Fix ist es nicht.
Was wir tun würden
Auf einem Server, den Sie selbst verwalten, auf 8.3 wechseln und die gesparte Zeit in alles andere stecken. Wenn sich der Code wirklich nicht umstellen lässt, einen Anbieter wählen, der die Abdeckung beider CVEs schriftlich bestätigt. Wenn Sie Hilfe bei der Entscheidung möchten, schreiben Sie uns.
Zuletzt geprüft am 22. Oktober 2026.