PHP2Shell-Sicherheitslücke: Warnung für alle Spieleserver (CVE-2026-109618)

Inhalt#

• PHP2Shell in zwei Minuten
• Warum Spieleserver an vorderster Front stehen
• Was auf deinem Server betroffen ist und wer handeln muss
• Die korrigierten PHP-Versionen
• Schritt für Schritt für Administratoren
• Wenn du nicht sofort aktualisieren kannst
• Und die Spieler
• FAQ
• Quellen

Einleitung#

Am 20. Oktober 2026 hat das PHP-Sicherheitsteam etwas eher Ungewöhnliches getan: Es kündigte öffentlich an, dass am nächsten Tag ein kritischer Patch erscheinen würde, weil Informationen über zwei Sicherheitslücken bereits im Netz kursierten. Am Mittwoch, dem 21. Oktober, um 16 Uhr deutscher Zeit waren die korrigierten Versionen verfügbar. Der Spitzname dieser Lücken, PHP2Shell, bringt es auf den Punkt: vollen Zugriff (eine „Shell“) auf den Server bekommen, ohne Konto und ohne Passwort.

Dein Minecraft- oder FiveM-Server läuft nicht mit PHP, das stimmt. Seine Website, sein Shop, seine Voting-Seite und oft auch sein Verwaltungspanel aber schon. Azuriom, CraftMyWebsite, NamelessMC, WordPress, Pterodactyl: Die verbreitetsten Werkzeuge unter Admins von Spieleservern sind alle in PHP geschrieben. Hier erfährst du, was du heute prüfen solltest und in welcher Reihenfolge.

PHP2Shell in zwei Minuten#

PHP2Shell umfasst zwei Sicherheitslücken im Kern von PHP selbst. Das Sicherheitsteam des Projekts bewertet jede von ihnen mit 9,2 von 10 Punkten (CVSS v4.0).

• CVE-2026-109618, Speicherkorruption bei Speichermangel. Wenn eine Anfrage den erlaubten Speicher aufbraucht, bricht PHP ab, während manche internen Daten erst halb initialisiert sind. Die Aufräumphase am Ende der Anfrage behandelt sie danach als gültig.
• CVE-2026-109619, veralteter globaler Zustand. Eine Information, die zu einer Anfrage gehört, überlebt, nachdem der Speicher, der sie enthielt, freigegeben wurde. Die nächste Anfrage, die derselbe Prozess bearbeitet, nutzt sie, bevor sie zurückgesetzt wird.

In beiden Fällen ist das von Forschern nachgewiesene Ergebnis dasselbe: Codeausführung aus der Ferne, ohne Authentifizierung, mit den Rechten des Webservers.

Das entscheidende Detail: Bei Apache mit mod_php kann laut PHP-Team eine einzige anonyme Anfrage den Angriff auslösen, noch bevor der Code der Website überhaupt läuft. Dein CMS kann komplett aktuell sein, deine Erweiterungen tadellos, das ändert nichts. Die Lücke liegt darunter.

Warum das nicht bis nächste Woche warten kann:

• die technischen Details beider Lücken und ein Exploit-Werkzeug sind bereits öffentlich;
• watchTowr und weitere Sicherheitsfirmen melden erste reale Angriffe;
• laut Sansec dürften alle Versionen seit PHP 5.4 betroffen sein, also so gut wie alles, was im Netz noch läuft;
• und eine auf dem Papier „hohe“ Angriffskomplexität zählt wenig, sobald ein fertiges Werkzeug im Umlauf ist.

Warum Spieleserver an vorderster Front stehen#

Ein großer Onlineshop hat ein Technikteam, das vermutlich die Nacht damit verbracht hat. Ein Minecraft-Server mit vierzig Spielern ist oft ein Gründer, zwei Moderatoren und eine Website, die vor zwei Jahren auf einem VPS für fünf Euro im Monat installiert und seitdem nicht mehr angefasst wurde. Genau dieses Profil finden automatisierte Scans zuerst.

Unsere Szene hat außerdem ein ganz eigenes Problem: aufgegebene CMS. MineWeb, lange Zeit bei französischsprachigen Servern sehr beliebt, wird nicht mehr gepflegt und verlangt höchstens PHP 7.4. Das PHP-Projekt veröffentlicht keine offizielle korrigierte Version für 7.4, 8.0 und 8.1. Es hat lediglich minimale Patches im Quellcode bereitgestellt, die man selbst kompilieren muss. Auf einem Shared Hosting heißt das schlicht: Es gibt keine einfache Lösung. In unserem Vergleich der Minecraft-CMS haben wir bereits erklärt, warum man davon wegkommen sollte, und diese Woche liefert ein sehr konkretes Beispiel.

Die Folgen einer kompromittierten Website sind alles andere als theoretisch. Ein gehackter Shop kann dazu dienen, Zahlungen umzuleiten, Zugangsdaten von Spielern zu stehlen oder eine gefälschte Login-Seite im Design des Servers anzuzeigen. Ganz zu schweigen vom Vertrauensverlust, der sich viel schwerer reparieren lässt als eine Website.

Was auf deinem Server betroffen ist und wer handeln muss#

Das Panel verdient besondere Aufmerksamkeit. Wer es übernimmt, kontrolliert alle Spieleserver, die darüber verwaltet werden, die API-Schlüssel und oft auch die Backups. Eine gute Nachricht gibt es dagegen für die Nodes: Wings, der Dienst, der die Server auf jeder Maschine ausführt, ist in Go geschrieben und von der Lücke nicht betroffen.

Zu Tebex eine Einschränkung: Der Shop selbst wird von Tebex gehostet, auf dieser Seite musst du also kein PHP aktualisieren. Wenn deine eigene Website den Shop über ein Modul einbindet, ist diese Website zu prüfen.

Die korrigierten PHP-Versionen#

Linux-Distributionen und Anbieter von Langzeitsupport haben die Patches vorab erhalten: Unter Debian, Ubuntu oder AlmaLinux sollten aktualisierte Pakete schnell über den gewohnten Paketmanager kommen. Vorsicht, wenn du das remi-Repository nutzt, das auf Distributionen der Red-Hat-Familie sehr verbreitet ist: Das PHP-Team warnt, dass es am Veröffentlichungstag kein Update haben wird, und rät, auf die Pakete der Distribution umzusteigen oder aus dem Quellcode zu kompilieren.

Läuft deine Website noch mit 8.2, nutze die Gelegenheit, um den Wechsel auf 8.3 oder 8.4 zu planen: In zehn Wochen bekommt dieser Zweig gar nichts mehr.

Schritt für Schritt für Administratoren#

1. Erfasse alles, was PHP ausführt. Website, Shop, Voting, Forum, Wiki, Panel und auch die vergessenen Subdomains. Das „test.meinserver.de“, das du 2023 zum Testen eines Themes aufgesetzt hast, zählt genauso wie die Hauptseite.
2. Prüfe die Version, die das Web nutzt, nicht nur die im Terminal. Der Befehl php -v zeigt die Kommandozeilenversion, die sich von der von PHP-FPM oder Apache unterscheiden kann. Der Kundenbereich deines Hosters oder eine temporäre phpinfo()-Seite (direkt danach gelöscht) liefern die echte Antwort.
3. Bei Shared oder Managed Hosting frag deinen Hoster nach der genauen eingespielten Version. Eine Antwort wie „wir kümmern uns darum“ reicht nicht.
4. Auf einem VPS oder dedizierten Server aktualisierst du die Pakete (apt update && apt upgrade unter Debian und Ubuntu, dnf upgrade unter AlmaLinux oder Rocky) und startest danach alle PHP-Prozesse neu: den php-fpm-Dienst, Apache, falls es mod_php nutzt, die lsphp-Prozesse unter LiteSpeed. Ein Neustart von Nginx allein lädt PHP nicht neu.
5. Bei einem Pterodactyl- oder Pelican-Panel behandelst du das PHP des Panels genauso und kontrollierst anschließend die Liste der Benutzer und API-Schlüssel.
6. Nach dem Update suchst du nach Spuren. Kürzlich erstellte PHP-Dateien im Website-Ordner, unbekannte Admin-Konten im CMS, seltsame Weiterleitungen, Lastspitzen. Im Zweifel änderst du die Passwörter, die API-Schlüssel von Shop und Panel sowie den Verbindungsschlüssel zwischen Website und Spieleserver (AzLink bei Azuriom).

Keine Auffälligkeiten in den Logs zu finden, beweist nicht viel, das sagt das PHP-Team selbst. Hast du einen ernsthaften Verdacht, bleibt die sicherste Lösung, ein Backup von vor dem 20. Oktober einzuspielen und das Update anzuwenden, bevor die Website wieder online geht.

Wenn du nicht sofort aktualisieren kannst#

Um es klar zu sagen: Keine dieser Maßnahmen macht eine Installation sicher, darauf besteht das PHP-Team. Sie verringern das Risiko, bis der Patch eingespielt ist.

• Den Upload-Fortschritt deaktivieren mit session.upload_progress.enabled = 0, in der php.ini oder der Konfiguration des FPM-Pools, und danach jeden Worker neu starten. Nicht über ini_set() oder eine .user.ini-Datei, die zu spät greifen. Eine Spieleserver-Website nutzt diese Funktion so gut wie nie: Du kannst sie auch nach dem Patch ausgeschaltet lassen.
• Die akzeptierte Anfragegröße verkleinern: post_max_size = 8M, wenn die Website keine Datei-Uploads annimmt, sonst 32M, mit einem kleineren upload_max_filesize.
• Die steuerbare Speichergrenze entfernen, indem du memory_limit = -1 auf Admin-Ebene erzwingst (php_admin_value im FPM-Pool oder in der Apache-Konfiguration). Unbedingt mit einer Grenze auf Container- oder cgroup-Ebene kombinieren, sonst kann eine einzige speicherhungrige Anfrage die Maschine auslasten.
• Unter PHP 8.5 fatal_error_backtraces = 0 setzen.
• Vorgelagert filtern: Sansec empfiehlt, multipart/form-data-Anfragen auf Webserver-Ebene zu blockieren, wenn die Website sie nicht braucht, oder die Website während der Korrektur hinter Cloudflare zu stellen.

Letzter Ausweg, den CERT-EU Organisationen empfiehlt, die nicht patchen können: die Website vom Internet trennen. Für einen Spieleserver kostet eine Wartungsseite für 48 Stunden weit weniger als eine Datenbank mit Spielerkonten, die frei herumgeistert.

Und die Spieler#

An deinem Spiel musst du nichts ändern. Ein paar Gewohnheiten lohnen sich diese Woche trotzdem:

• nutze für jeden Server-Shop und jedes Forum ein eigenes Passwort, denn eine einzige gestohlene Datenbank reicht, um deine Zugangsdaten anderswo auszuprobieren;
• aktiviere die Zwei-Faktor-Authentifizierung, wo sie angeboten wird;
• sei misstrauisch, wenn dich die Website eines Servers plötzlich woandershin weiterleitet oder einen „Pflicht-Launcher“ zum Download anbietet;
• kündigt ein Server einen Vorfall an, ändere dort dein Passwort und überall, wo du es wiederverwendet hast.

Sansec weist außerdem darauf hin, dass eine der beiden Lücken Teile des Serverspeichers preisgeben kann. Auf einer schlecht gepatchten Website können also Bruchstücke von Daten anderer Besucher nach außen gelangen. Ein Grund mehr, Passwörter nicht mehrfach zu verwenden.

FAQ#

Betrifft PHP2Shell meinen Minecraft-Server selbst?#

Nein. Der Minecraft-Java-Server läuft mit Java, der Bedrock-Server mit C++, und FiveM sowie Garry's Mod setzen auf eigene Engines. Das Risiko kommt von den Webdiensten drumherum und vom Panel, falls es auf derselben Maschine wie der Spieleserver installiert ist.

Meine Website liegt bei einem Shared Hoster, muss ich etwas tun?#

Ja: prüfen. Der Hoster spielt das Update ein, aber oft wählst du selbst den PHP-Zweig im Kundenbereich. Ist deine Website auf eine aufgegebene Version wie 7.4 oder 8.1 eingestellt, um mit einem alten CMS kompatibel zu bleiben, garantiert nichts, dass dich das Update des Hosters schützt.

Ich nutze einen Tebex-Shop, bin ich betroffen?#

Nicht beim Shop selbst, der von Tebex gehostet und gewartet wird. Die Website, in die du ihn einbindest, also dein CMS oder dein Forum, musst du dagegen wie jede andere PHP-Website prüfen.

Ist Azuriom angreifbar?#

Die Lücke stammt nicht von Azuriom, sondern von PHP, der Sprache, auf der es aufbaut. Eine Azuriom-Installation auf einem ungepatchten PHP ist deshalb angreifbar, wie jedes PHP-CMS. Ein PHP-Update reicht: Am CMS musst du nichts neu installieren.

Woran erkenne ich, ob meine Website schon gehackt wurde?#

Die häufigsten Anzeichen: unbekannte, kürzlich erstellte PHP-Dateien, ein Admin-Konto, das niemand kennt, Weiterleitungen auf andere Seiten, eine Warnung deines Hosters oder eine ungewöhnliche CPU-Last. Keines dieser Zeichen ist ein endgültiger Beweis, ihr Fehlen auch nicht. Hast du einen echten Verdacht, spiel ein sauberes Backup ein, aktualisiere PHP und ändere danach alle Zugänge.

Fazit#

PHP2Shell zielt auf kein bestimmtes Spiel, und genau das macht es für unser Ökosystem gefährlich: Es kommt über den Teil, den viele Admins vergessen, sobald die Website läuft. Das Update dauert auf einem VPS etwa zehn Minuten und bei einem Shared Hoster ein Ticket. Die eigentliche Arbeit betrifft Websites, die auf aufgegebenen Versionen festhängen, allen voran MineWeb, bei denen sich die Migration nicht länger aufschieben lässt.

Ist deine Infrastruktur erst einmal gepatcht, bleibt der nächste Schritt derselbe: deine Community lebendig halten. Unser Leitfaden, um Spieler für deinen Minecraft-Server zu gewinnen, zeigt die Hebel, die wirklich funktionieren, und du kannst deinen Server kostenlos auf ServeurListe eintragen, um in unseren Ranglisten zu erscheinen.

Quellen#

• www.php.net/archive/2026.php#2026-10-21-5 (Sicherheitsmeldung von PHP)
• www.php.net/archive/2026.php#2026-10-20-1 (Vorankündigung des Sicherheitsupdates)
• www.php.net/archive/2026.php#2026-10-21-4 (PHP 8.5.12)
• www.php.net/archive/2026.php#2026-10-21-3 (PHP 8.4.27)
• www.php.net/archive/2026.php#2026-10-21-2 (PHP 8.3.36)
• www.php.net/archive/2026.php#2026-10-21-1 (PHP 8.2.35)
• github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w (CVE-2026-109618)
• github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)
• cert.europa.eu/publications/security-advisories/2026-018 (CERT-EU)
• sansec.io/research/php2shell (Sansec)
• watchtowr.com/intelligence/php-cve-2026-109618-faq (watchTowr)