PHP2Shell: Warum das Internet heute brennt und warum PixelUnion nicht betroffen ist
Wer in der Nähe eines Webservers arbeitet, erlebt heute keinen ruhigen Mittwoch. Zwei kritische Schwachstellen in PHP mit dem Spitznamen PHP2Shell sind online aufgetaucht, bevor das PHP-Team einen Fix liefern konnte. Admins auf der ganzen Welt warten jetzt auf einen Patch, der für heute 14:00 UTC angesetzt ist, und Angreifer warten genauso.
Kurzfassung für PixelUnion-Nutzer: Deine Fotos sind nicht in Gefahr. Die lange Fassung steht unten.
Was PHP2Shell ist
PHP2Shell ist der Name für zwei Lücken, CVE-2026-109618 und CVE-2026-109619. Beide sind auf der CVSS-v4.0-Skala mit 9,2 von 10 bewertet. Diese Einstufung bedeutet, dass ein Angreifer ohne Anmeldung eigenen Code auf einem verwundbaren Server ausführen kann. In der Praxis: Du schickst die passende Anfrage an eine Website und bekommst eine Shell auf der Maschine dahinter. Daher der Name.
Die genaue Ursache ist nicht veröffentlicht. Forscher vermuten einen Speicherfehler (ein sogenanntes Use-after-free) in dem Teil von PHP, der Datei-Uploads verarbeitet. Bestätigt ist das aber noch nicht, und mindestens ein Audit widerspricht. Bestätigt ist: Die Sicherheitsfirma watchTowr sagt, sie habe einen der beiden Bugs reproduziert, und “these vulnerabilities are indeed real.” Auch welche PHP-Versionen betroffen sind, ist noch unklar. Frühe Meldungen sprechen von allem bis zurück zu PHP 5.4, und PHP hat keinen offiziellen Bereich veröffentlicht.
Warum das Internet heute brennt
Drei Dinge machen diese Lücke schlimmer als eine durchschnittliche Sicherheitsmeldung.
Erstens die Reichweite. PHP läuft auf etwa drei Vierteln aller Websites, deren Serversprache bekannt ist. WordPress, die meisten Webshops, unzählige Hosting-Panels und Foren setzen darauf auf. Ein Remote-Code-Execution-Bug in PHP selbst, nicht in einem einzelnen Plugin oder einer App, trifft auf einen Schlag einen riesigen Teil des Webs.
Zweitens das Leak. Normalerweise kommt zuerst der Fix und die Details folgen später, damit Verteidiger einen Vorsprung haben. Diesmal gingen die Details vor dem Patch raus. Der Workaround, der zuerst die Runde machte, nämlich die Upload-Fortschrittsfunktion von PHP abzuschalten, war unvollständig. Es gab also eine Phase, in der jeder wusste, dass die Tür offen steht, und niemand ein Schloss hatte.
Drittens wird der Patch selbst zur Landkarte. Sobald die gefixten Versionen öffentlich sind, können Angreifer alten und neuen Code vergleichen und genau sehen, was sich geändert hat. Die Sicherheitsfirma Sansec rechnet mit Massenausnutzung innerhalb von etwa 15 Minuten nach dem Release. Dazu zeigen Scans, dass rund 884.000 aus dem Internet erreichbare Server weiterhin PHP 8.1 oder älter melden. Diese Zweige sind End of Life und bekommen wahrscheinlich nie einen Fix.
Heute starren also viele Leute auf eine Release-Seite, bereit zum Upgrade, sobald sie live geht. Manche werden es nicht rechtzeitig schaffen.
Warum PixelUnion nicht betroffen ist
PixelUnion läuft auf Immich, und Immich ist nicht in PHP geschrieben. Der Server ist TypeScript auf Node.js, dazu kommt ein separater Machine-Learning-Dienst in Python. Zwischen deinem Handy und deinen Fotos liegt nirgends ein PHP-Interpreter. Ein Bug in der Upload-Verarbeitung von PHP lässt sich auf einem Server, auf dem kein PHP läuft, nicht auslösen.
Der Vollständigkeit halber: Wir haben einen kleinen Randdienst auf PHP betrieben. Er lag außerhalb der Foto-Plattform, auf getrennter Infrastruktur, und hatte keinen Zugriff auf deine Bibliothek. Wir wollten nicht darauf wetten, dass ein unbekannter Patch rechtzeitig kommt, und haben den Dienst vor dem Release-Fenster abgeschaltet. Er bleibt aus, bis wir eine gefixte Version geprüft haben.
Das heißt nicht, dass wir uns für immun gegen Sicherheitsprobleme halten. Jeder Stack hat Bugs, unserer auch. Es kommt darauf an, genau zu wissen, was wo läuft, die Angriffsfläche klein zu halten und schnell zu handeln, wenn so etwas einschlägt. Das ist die Arbeit, und die machen wir weiter.
Wenn du selbst PHP-Seiten betreibst, schau in die PHP security announcements und patche, sobald das Release da ist. Und wenn du einen Ort für deine Fotos suchst, der mit dieser Sorgfalt gebaut ist, freuen wir uns auf dich.
Starte kostenlos mit PixelUnion →
Titelfoto von Ricardo Gomez Angel auf Unsplash.