Was ist PHP2Shell?

PHP2Shell bezeich­net zwei Schwachstellen in PHP selbst, regis­triert als CVE-2026–109618 und CVE-2026–109619. Beide erlau­ben es Angreifern, ohne Anmeldung eige­nen Code auf dem Server auszu­füh­ren. Das PHP-Projekt bewer­tet sie mit jeweils 9,2 von 10 Punkten (CVSS v4.0). Betroffen ist damit jede Anwendung, die auf einer verwund­ba­ren PHP-Version läuft, also auch WoodWing Studio Server. Behoben sind die Lücken in PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12.

Ungewöhnlich war der Zeitablauf: Technische Details sicker­ten durch, bevor das für den 21. Oktober ange­kün­digte Notfall-Release erschien. Bereits am Vormittag gab es laut Recorded Future Berichte über aktive Angriffe, auch Cloudflare beob­ach­tete erste Attacken. PHP-Core-Entwicklerin Gina Peter Banyard warnte laut BleepingComputer, dass Workarounds keinen voll­stän­di­gen Schutz bieten und nur das Update dauer­haft hilft.

Der Ablauf bei WoodWing am 21. und 22. Oktober

Nach Angaben von WoodWing (alle Zeiten Amsterdamer Zeit) verlief der Tag so:

• 9:30 Uhr: WoodWing erfährt vom ange­kün­dig­ten PHP-Notfall-Release.
• 10:30 Uhr: Das Krisenteam entschei­det, alle Studio-Cloud-Umgebungen offline zu nehmen. Die einzige bekannte Teilmaßnahme, das Sperren des betrof­fe­nen Upload-Wegs, hätte das Speichern von Dateien zwischen Studio und Assets sowie die InDesign-Anbindung unter­bro­chen.
• 10:52 bis 10:55 Uhr: Hinweis im WoodWing Help Center, danach Beginn der Abschaltung. Die persön­li­che Information der Kunden per Support-Ticket folgte im Anschluss.
• 12:00 bis 12:28 Uhr: WoodWing setzt auf eine IP-Freigabeliste (Allowlisting). Erste Kunden arbei­ten wieder, vorran­gig solche mit anste­hen­den Druckterminen.
• Nachmittag und Abend: PHP veröf­fent­licht die Korrektur zunächst als Quellcode. Die geprüf­ten, vorge­fer­tig­ten PHP-Pakete, auf denen Studio Cloud aufsetzt, stehen erst um 21:15 Uhr bereit. Einen Eigenbau aus dem Quellcode hat WoodWing nach eige­ner Aussage verwor­fen, weil er riskan­ter gewe­sen wäre als das Warten.
• 22. Oktober, 1:06 Uhr: Alle Umgebungen auf der aktu­el­len Studio-Version sind gepatcht und wieder voll erreich­bar. Ältere Versionen folgen bis zum Ende des Geschäftstags.

Anschließend hat WoodWing die Server auf uner­war­tete Dateien und Web-Shells geprüft, Logs nach bekann­ten Angriffsmustern durch­sucht, ausge­hende Verbindungen kontrol­liert und die Anwendung mit bekann­ten saube­ren Versionen vergli­chen. Laut WoodWing gibt es keine Hinweise darauf, dass eine Umgebung kompro­mit­tiert oder Daten abge­flos­sen sind. Verpasste Drucktermine seien nicht gemel­det worden.

Warum eine Verzichtserklärung nötig war

Für die vorzei­tige Freischaltung per IP-Allowlisting soll­ten Kunden eine Verzichtserklärung unter­schrei­ben. WoodWing begrün­det das damit, dass es nicht in die Kundennetze sehen kann: Hinter einer frei­ge­ge­be­nen Adresse können auch ein kompro­mit­tier­ter Laptop, ein geteil­tes VPN oder ein Gäste-WLAN stecken. Die Erklärung bestä­tigte die frei­ge­ge­be­nen IP-Adressen und machte das verblei­bende Risiko zu einer bewuss­ten Entscheidung des Kunden. Bei Zeitdruck hat WoodWing nach eige­ner Darstellung schon nach münd­li­cher Zusage frei­ge­schal­tet und die Unterschrift nach­ge­holt. Für das Patchen selbst war sie keine Voraussetzung.

Was bedeutet PHP2Shell für Betreiber von WoodWing Studio?

Die Entscheidung, Verfügbarkeit für einige Stunden zu opfern, um Inhalte zu schüt­zen, halten wir für nach­voll­zieh­bar. Die einzige bekannte Teilmaßnahme hätte zentrale Funktionen lahm­ge­legt, ohne das Risiko sicher zu besei­ti­gen. Der Fall zeigt aber auch, wie stark die Reaktionszeit vom eige­nen Systemstand abhängt.

Wenn jede Stunde zählt, entschei­det die Version, auf der Sie arbei­ten, darüber, wie schnell Sie geschützt sind. — Ross Patterson, CEO WoodWing – Kundenwebinar »Woodwing PHP2Shell Incident Response«, 05.11.2026 (Übersetzung aus dem Englischen)

Unsere Empfehlungen für Betreiber:

• PHP-Version prüfen: Wer Studio Server On-Premises oder bei einem Dienstleister betreibt, sollte sicher­stel­len, dass eine der korri­gier­ten PHP-Versionen instal­liert ist und alle PHP-Prozesse neu gestar­tet wurden. Bei Linux-Distributionen mit zurück­por­tier­ten Patches hilft ein Blick ins Changelog statt auf die Versionsnummer.
• Logs nach­träg­lich sich­ten: Da Angriffe schon vor dem Patch liefen – laut Amazon gab es erste Ausnutzungsversuche bereits am 17. Oktober –, lohnt eine Prüfung auf unge­wöhn­li­che Dateien und Prozesse ab diesem Datum.
• Aktuell blei­ben: Wer mehrere Versionen hinter dem aktu­el­len Stand liegt, wartet im Ernstfall länger auf ange­passte Pakete und Tests.
• Notfallkontakte und Termine hinter­le­gen: Erreichbare Ansprechpartner auch außer­halb der Geschäftszeiten und bekannte Drucktermine helfen dem Betreiber, rich­tig zu prio­ri­sie­ren.
• Informationskanäle abon­nie­ren: Die Meldungen im WoodWing Help Center kamen vor den persön­li­chen Nachrichten.

PHP2Shell wird nicht die letzte Lücke dieser Art sein. Ein klarer Patch-Prozess und ein aktu­el­ler Systemstand entschei­den darüber, ob aus einem Sicherheitsvorfall ein Produktionsausfall wird.

Quellen

Kundenwebinar »Woodwing PHP2Shell Incident Response« (Ross Patterson, Ruben van der Kolk), WoodWing, 05.11.2026

PHP ships emer­gency patches for criti­cal PHP2Shell flaws, BleepingComputer, 21.10.2026: https://bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws

PHP2Shell Exploitation: Two Critical PHP Flaws Explained, Recorded Future (Insikt Group), 21.10.2026: https://www.recordedfuture.com/blog/php2shell-vulnerability-exploitation

PHP2Shell: Two criti­cal PHP vulnerabi­li­ties require imme­diate patching, Invicti, 22.10.2026: https://www.invicti.com/blog/web-security/php2shell-critical-php-rce-vulnerabilities

PHP2Shell was exploi­ted four days before disclo­sure, says Amazon, Techzine, 22.10.2026: https://www.techzine.eu/news/security/145197/php2shell-was-exploited-four-days-before-disclosure-says-amazon/