Drupal · PHP2Shell

Ist meine Drupal-Website von PHP2Shell betroffen?

Wahrscheinlich ja, sofern Ihr PHP nicht bereits gepatcht ist. Drupal war die erste Anwendung, die Forschende mit PHP2Shell übernommen haben, aber der Bug steckt in PHP — Ihre Drupal-Version und Module ändern nichts an der Antwort.

Zuletzt geprüft 2026-10-22

Ein Drupal-Update behebt das nicht

PHP2Shell steckt in PHP selbst, unterhalb von Drupal. Forschende demonstrierten Remote Code Execution ohne Authentifizierung am offiziellen Image drupal:latest — Drupal war am 20. August 2026 das erste bestätigte Ziel. Entscheidend ist die PHP-Version Ihres Servers, und nur wer den Server betreibt, kann sie aktualisieren.

1. PHP-Version in Drupal finden

So sehen Sie das PHP, das Ihre Website tatsächlich ausliefert — und genau darauf kommt es an.

  1. Melden Sie sich als Administrator an und öffnen Sie Berichte → Statusbericht (/admin/reports/status).
  2. Suchen Sie die Zeile PHP — sie zeigt die Version, die der Webserver nutzt.
  3. Websites auf Drupal 7 zeigen sie an derselben Stelle.
Kommandozeile (zeigt das CLI-PHP — kann vom Webserver abweichen)
drush status --field=php-version     # Drush (CLI PHP)
drush php:eval 'echo PHP_VERSION, PHP_EOL;'

2. Vergleichen

Fügen Sie eine Version, die Ausgabe von php -v oder eine Version pro Zeile für eine ganze Serverflotte ein. Läuft vollständig in Ihrem Browser.

Beispiele:

CLI und Webserver können unterschiedliche PHP-Builds verwenden. Prüfen Sie die Version, die Ihr Webserver tatsächlich nutzt: php-fpm -v (oder php-fpm8.3 -v) oder phpinfo() über die jeweilige Website.

BranchAnfälligBehoben in
8.5< 8.5.128.5.12
8.4< 8.4.278.4.27
8.3< 8.3.368.3.36
8.2< 8.2.358.2.35
8.1 · 8.0 · 7.4alleNur Quellcode-Backport
5.4 – 7.3alleKein Fix

3. Patchen lassen

Shared- oder Managed-Hosting

Ihr Hoster patcht PHP. Wählen Sie im Hosting-Panel die neueste PHP-Version und lassen Sie sich Patch und Neustart bestätigen. Hosting-Anleitung →

Eigener Server, VPS oder Container

Sie (oder Ihr Entwickler) patchen PHP und starten PHP-FPM / Apache neu. Patch-Anleitung →

E-Mail an Ihren Hoster
Betreff: PHP2Shell (CVE-2026-109618 / CVE-2026-109619) — Patch-Status

Guten Tag,

bitte bestätigen Sie, dass die PHP-Laufzeit, auf der meine Website(s) <Domain>
laufen, auf ein Release aktualisiert wurde, das CVE-2026-109618 und
CVE-2026-109619 behebt (PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 oder ein
Hersteller-Build mit dem Backport), und dass die PHP-FPM- / LSAPI-Worker
danach neu gestartet wurden.

Falls mein Konto auf PHP 8.1 oder älter läuft: Auf welche gepatchte Version
kann ich wechseln?

Vielen Dank und freundliche Grüße

Managed-Drupal-Hosting

Drupal-Plattformen wie Acquia und Pantheon betreiben PHP für Sie. Wir haben ihren Patch-Status nicht geprüft — sehen Sie auf deren Statusseiten oder beim Support nach oder schicken Sie die Nachricht oben.

Selbst gehostet mit Docker? Bauen Sie auf einem gepatchten php-Base-Image neu oder ziehen Sie das neu gebaute drupal-Image und prüfen Sie die PHP-Version im Container vor dem Deployment.

4. Nach dem Patch

  • Prüfen Sie die PHP-Version in Drupal erneut — sie sollte ein gepatchtes Release zeigen (oder lassen Sie sich einen zurückportierten Build vom Hoster bestätigen).
  • War die Website eine Weile exponiert, ändern Sie Admin-Passwörter und API-Schlüssel in der Website-Konfiguration und suchen Sie nach unbekannten Admin-Benutzern oder neuen PHP-Dateien. Erkennungs-Anleitung →

Fragen

Ist meine Drupal-Website von PHP2Shell betroffen?+

Wenn sie auf PHP älter als 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 läuft (und der Hoster kein gepatchtes Paket installiert hat): ja. Version, Theme und Erweiterungen von Drupal spielen keine Rolle — der Bug steckt in PHP.

Behebt ein Drupal-Update PHP2Shell?+

Nein. Updates von Drupal ändern die Anwendung, nicht die PHP-Laufzeit darunter. Halten Sie Drupal trotzdem aktuell, aber die Lösung ist ein PHP-Update durch den Betreiber Ihres Servers.

Braucht ein Angreifer ein Admin-Konto?+

Nein. Die demonstrierten Angriffe funktionieren vor der Authentifizierung: kein Login, kein spezielles Plugin oder Modul, nur HTTP-Requests an die Website.

Gibt es ein Drupal-Security-Advisory zu PHP2Shell?+

PHP2Shell ist keine Drupal-Schwachstelle, daher behebt ein Drupal-Core-Release es nicht. Folgen Sie den PHP-Advisories und Ihrem Hosting- oder OS-Anbieter für das Laufzeit-Update.

Macht Drupal 7 einen Unterschied?+

Nicht für diesen Bug, aber Drupal-7-Websites laufen oft auf altem PHP (7.4 oder älter), das kein neues PHP-Release erhält. Diese Websites brauchen eine PHP-Migration — und damit meist auch ein Drupal-Upgrade.

Verwandte Seiten