<?php Unabhängige PHP-Sicherheitsprüfung
Ist Ihr PHP von PHP2Shell betroffen?
Zwei kritische Schwachstellen in PHP selbst ermöglichen Remote-Code-Ausführung. Sie wurden am 21. Oktober 2026 behoben. Prüfen Sie, was eine Website über ihre PHP-Version preisgibt, oder fügen Sie eine Versionsangabe ein — und sehen Sie dann genau, was zu tun ist.
- Passiv: eine gewöhnliche Anfrage, kein Exploit
- Kostenlos, ohne Anmeldung, ohne Werbung
- Grundlage: php.net und die offiziellen Advisories
2Version prüfen
Wird in Ihrem Browser ausgewertet — nichts wird an uns gesendet. Eine Version pro Zeile, höchstens 20.
01 · php.net · 2026-10-23
Behobene Versionen
| Zweig | Behoben in | Status des Zweigs |
|---|---|---|
| PHP 8.5 | 8.5.12 | Aktiv unterstützt |
| PHP 8.4 | 8.4.27 | Aktiv unterstützt |
| PHP 8.3 | 8.3.36 | Nur Sicherheitskorrekturen |
| PHP 8.2 | 8.2.35 | Nur Sicherheitskorrekturen — End of Life am 31. Dez. 2026 |
| PHP 8.1 · 8.0 · 7.x · 5.x | Kein offizielles Release | End of Life — kein Release des PHP-Projekts |
Quelle: Sicherheitshinweis auf php.net, 21. Oktober 2026. Zuletzt geprüft am 2026-10-23.
Was ist PHP2Shell?
PHP2Shell ist der Name, den Forscher zwei Schwachstellen in der PHP-Engine gegeben haben: CVE-2026-109618 (Speicherbeschädigung, wenn PHP beim Parsen einer Anfrage der Speicher ausgeht) und CVE-2026-109619 (interner Zustand, der auf demselben Worker von einer Anfrage zur nächsten erhalten bleibt). Beide sind mit CVSS v4.0 9.2 bewertet.
Ein nicht authentifizierter Angreifer kann auf dem Server Code ausführen oder den Speicher des PHP-Prozesses auslesen — einschließlich Passwörtern, Session-Tokens, API-Schlüsseln und Zertifikaten aus anderen Anfragen —, ohne überhaupt Code auszuführen. Laut php.net betreffen sie PHP, das Webanfragen bedient: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Die Forscher haben Angriffe auf WordPress, Drupal und Joomla demonstriert, eine bestimmte Anwendung ist jedoch nicht erforderlich: Schon eine einfache „Hello World“-Seite auf einem betroffenen PHP ist angreifbar.
Was jetzt zu tun ist
- Aktualisieren Sie auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 — oder auf das gepatchte Paket Ihrer Distribution.
- Starten Sie alle PHP-Prozesse neu: PHP-FPM, Apache, Queue-Worker, Container. Erst dann ist ein Update wirksam.
- Prüfen Sie jede PHP-Installation auf dem Server — Control Panels installieren oft mehrere Versionen nebeneinander.
02 · shell
Direkt auf dem Server prüfen
Eine Website-Prüfung sieht nur, was der Server preisgibt. Auf dem Server liefern diese Befehle die tatsächliche Antwort:
# Version des Standard-PHP
php -v
# weitere von Panels oder Paketen installierte PHP-Versionen
ls -d /usr/bin/php* /usr/sbin/php-fpm* /opt/alt/php*/usr/bin/php /opt/cpanel/ea-php*/root/usr/bin/php /opt/plesk/php/*/bin/php 2>/dev/null
# Einstellungen zu den teilweisen Gegenmaßnahmen
php -i | grep -E 'session.upload_progress.enabled|post_max_size|memory_limit|fatal_error_backtraces'
# was Ihre Website Besuchern preisgibt
curl -sI https://ihre-website.de/ | grep -i -E '^(x-powered-by|server):'03 · FAQ
Häufige Fragen
Welche PHP-Versionen sind betroffen?
Alle Versionen vor 8.5.12, 8.4.27, 8.3.36 und 8.2.35 in den unterstützten Zweigen. PHP 8.1 und älter sind End of Life und erhalten kein Release des PHP-Projekts; betrachten Sie sie als betroffen, sofern Ihr Hersteller keinen zurückportierten Fix bestätigt.
Meine Website zeigt keine PHP-Version an. Bin ich sicher?
Nicht unbedingt. Das Verbergen der Version (expose_php = Off) ist gute Praxis, patcht aber nichts. Prüfen Sie auf dem Server mit php -v oder fragen Sie Ihren Anbieter.
Die Prüfung zeigt eine alte Version, mein Hoster sagt aber, sie sei gepatcht. Wer hat recht?
Möglicherweise beide. Linux-Distributionen wie Debian, Ubuntu und RHEL portieren Sicherheitskorrekturen oft zurück, ohne die Versionsnummer zu ändern. Fragen Sie Ihren Hoster, welcher Paket-Build installiert ist und ob dessen Changelog CVE-2026-109618 und CVE-2026-109619 erwähnt.
Sind WordPress, Laravel oder mein CMS betroffen?
Die Fehler liegen in PHP selbst, daher ist jede Anwendung gefährdet, die auf einem betroffenen PHP läuft. Die Forscher haben Angriffe ohne Authentifizierung auf WordPress, Drupal und Joomla demonstriert, doch das waren nur Beispiele — schon eine einfache „Hello World“-Seite genügt. Ein Update von WordPress oder Plugins behebt das Problem nicht; PHP muss aktualisiert werden.
Können Daten abfließen, auch wenn kein Code ausgeführt wurde?
Ja. CVE-2026-109619 kann den Speicher des PHP-Prozesses offenlegen — Passwörter, Session-Tokens, API-Schlüssel und Zertifikate aus anderen Anfragen —, ohne dass der Angreifer Code ausführt. Solche Lecks hinterlassen keine Dateien und sind schwer zu erkennen; wechseln Sie daher die Geheimnisse jeder Website, auf der eine betroffene Version aus dem Internet erreichbar lief.