PHP2Shell und Node2Shell: Was hinter den aktuellen Sicherheitslücken steckt
Nach der aufsehenerregenden „PHP2Shell“-Sicherheitslücke wurde am 21. Oktober 2026 auch eine weitere, schwerwiegende Sicherheitslücke in Node.js öffentlich bekannt. Beide Technologien bilden die technische Grundlage zahlreicher Websites, Anwendungen und Online-Dienste. Die Schwachstellen ermöglichen es Angreifern unter bestimmten Bedingungen, Schadcode auf betroffenen Servern auszuführen. Sicherheitsforscher meldeten bereits erste Angriffsversuche.
Hier erhalten Sie einen kurzen Überblick, was hinter den Schwachstellen steckt, welche Auswirkungen bisher bekannt sind und was sich daraus für die IT-Sicherheit ableiten lässt.
Was sind PHP2Shell und Node2Shell?
PHP2Shell (CVE-2026-109618 und CVE-2026-109619) bezeichnet zwei kritische Sicherheitslücken in der weitverbreiteten Programmiersprache PHP. Die Fehler betreffen die interne Speicherverwaltung und Fehlerbehandlung. Durch gezielt manipulierte Anfragen können Angreifer unter bestimmten Bedingungen Speicherfehler auslösen und darüber eigenen Programmcode auf einem Server ausführen – ohne sich zuvor anmelden zu müssen.
Dadurch können sie, immer abhängig von den Zugriffsrechten des betroffenen Systems, beispielsweise vertrauliche Daten auslesen, Dateien manipulieren oder Schadsoftware installieren.
Node2Shell/Broccoli2Shell (CVE-2026-111497) betrifft die JavaScript-Laufzeitumgebung Node.js, genauer gesagt deren integrierten Brotli-Decoder zur Dekomprimierung von Daten. Verarbeitet eine betroffene Anwendung speziell präparierte, komprimierte Daten, kann dies ebenfalls zu Speicherfehlern führen. Im schlimmsten Fall lassen sich darüber Programme oder Befehle auf dem Server ausführen.
Die möglichen Folgen reichen von Systemabstürzen und der Offenlegung sensibler Informationen bis zur vollständigen Kompromittierung einer betroffenen Anwendung.
Welche Auswirkungen sind bisher bekannt?
Schon vor der offiziellen Veröffentlichung von PHP2Shell registrierten Sicherheitsforscher automatisierte Scan- und Angriffsversuche. Nach Bekanntgabe der Schwachstellen nahm die Aktivität deutlich zu. Besonders sichtbar für einen breiten Benutzerkreis wurde die Lücke, weil viele Website-Betreiber – darunter zahlreiche Behörden und öffentliche Einrichtungen in Deutschland – ihre Websites vorsorglich abschalteten, während Sicherheitsupdates vorbereitet und installiert wurden.
Auch für Node2Shell gelang es Sicherheitsforschern, die Ausführung fremden Programmcodes auf verwundbaren Systemen unter Testbedingungen nachzuweisen.
Gut zu wissen: Wichtig ist die Unterscheidung zwischen nachgewiesenen Angriffsmöglichkeiten, beobachteten Angriffsversuchen und tatsächlich erfolgreichen Angriffen: Nicht jeder registrierte Versuch führt zu einer Kompromittierung. Bislang lassen sich aus den öffentlich verfügbaren Informationen keine gesicherten Aussagen über das Ausmaß erfolgreicher Angriffe ableiten.
Warum bleiben solche Sicherheitslücken oft lange unentdeckt?
Gerade Fehler in der Speicherverwaltung sind schwierig zu identifizieren. Sie treten häufig nur unter außergewöhnlichen Bedingungen auf, etwa wenn eine Anwendung unerwartet viel Arbeitsspeicher benötigt oder eine Verarbeitung an einer bestimmten Stelle abgebrochen wird.
PHP2Shell liefert dafür ein bemerkenswertes Beispiel: Nach Angaben der PHP Foundation wurden erste Anzeichen für die Ursache von CVE-2026-109618 bereits 2024 entdeckt. Die vollständige Tragweite wurde jedoch erst durch weitere Sicherheitsuntersuchungen im Jahr 2026 deutlich. Hinzu kam eine weitere Schwierigkeit: Eine Korrektur musste die Sicherheitslücke schließen, ohne die Funktionsfähigkeit zahlreicher bestehender Anwendungen zu gefährden. Die PHP Foundation räumte selbst ein, dass technische Abhängigkeiten, begrenzte Ressourcen und interne Entscheidungsprozesse die Behebung verzögert hatten.
Das Beispiel verdeutlicht, dass zwischen dem Erkennen eines potenziellen Fehlers, dem Nachweis seiner Ausnutzbarkeit und einer sicheren Fehlerbehebung viel Zeit liegen kann.
Was bedeutet das für Unternehmen?
PHP2Shell und Node2Shell zeigen, wie wichtig die Sicherheit grundlegender Softwarekomponenten ist. Selbst sorgfältig entwickelte Anwendungen können durch Schwachstellen in verwendeten Laufzeitumgebungen oder Bibliotheken gefährdet werden.
Für Unternehmen bedeutet das vor allem, ihre eingesetzten Technologien und Abhängigkeiten zu kennen, Sicherheitsmeldungen regelmäßig zu bewerten und verfügbare Updates zeitnah einzuspielen. Auch kontinuierliche Sicherheitsprüfungen und die Überwachung auffälliger Aktivitäten sind wichtige Bestandteile eines wirksamen Schwachstellenmanagements.
Ist netfiles von den Sicherheitslücken betroffen?
Der Service von netfiles war weder von PHP2Shell noch von Node2Shell betroffen. PHP2Shell war bei netfiles ausschließlich im Zusammenhang mit der öffentlichen Website relevant, nicht für die netfiles Anwendungen wie Datenräume oder die Login-Seite. Für die Website wurde bereits kurz nach Bekanntwerden der Lücke und Bereitstellung eines Patches das entsprechende Sicherheitsupdate eingespielt.
netfiles bewertet aktuelle Sicherheitsmeldungen zeitnah auf mögliche Auswirkungen und überprüft seine Systeme und Anwendungen regelmäßig auf Schwachstellen. Sollten Sicherheitslücken den netfiles Service betreffen, informieren wir unsere Kunden zeitnah und transparent über mögliche Auswirkungen und notwendige Maßnahmen.
Das tut netfiles für Ihre Sicherheit
Datensicherheit erfordert technische Schutzmaßnahmen, klare Prozesse und regelmäßige Überprüfungen. Erfahren Sie in unserer Sicherheitsübersicht, wie netfiles Ihre Daten schützt und welche Rolle dabei unabhängige Zertifizierungen und Testate wie ISO/IEC 27001, BSI C5 und SOC 2 spielen.