EA Digital Solutions
SEOSchemaMeta TagsBriefGEOOG PreviewImageFarbenBGUTMRedirectsPHPMockup

PHP2Shell · CVE-2026-109618 · CVE-2026-109619

PHP-Check: Ist Ihre Website betroffen?

Am 21.10.2026 wurde in PHP eine kritische Sicherheitslücke geschlossen (PHP2Shell). Dieser kostenlose Check zeigt, welche PHP-Version Ihre Website meldet – und was der nächste Schritt ist.

Bitte prüfen Sie nur Websites, die Ihnen gehören oder für die Sie verantwortlich sind. Der Check ruft Ihre Startseite einmal ab – wie ein Browser – und liest Antwort-Header und HTML. Es werden keine Angriffe oder Testdaten gesendet.

Wissen

PHP2Shell: Was passiert ist

Am 21.10.2026 hat das PHP-Projekt zwei Sicherheitslücken geschlossen (CVE-2026-109618 und CVE-2026-109619), über die Angreifer Code auf dem Server ausführen können. Das PHP-Sicherheitsteam bewertet sie mit CVSS v4.0 9,2. Betroffen ist jede PHP-Installation, die Webanfragen beantwortet – PHP-FPM, mod_php und FrankenPHP –, mit dem höchsten Risiko bei mod_php.

Korrigierte Versionen

PHP 8.5

ab 8.5.12

PHP 8.4

ab 8.4.27

PHP 8.3

ab 8.3.36

PHP 8.2

ab 8.2.35

PHP 8.1 und älter: keine Korrektur

Diese Versionen sind End-of-Life. Der einzige Ausweg ist ein Upgrade auf eine gepflegte PHP-Version – oder, wenn Theme und Plugins das nicht zulassen, ein Neuaufbau.

Was jetzt zu tun ist

  1. 1.PHP-Version herausfinden (Hosting-Panel oder Hoster).
  2. 2.Auf eine korrigierte Version aktualisieren – meist erledigt das Ihr Hoster.
  3. 3.Bis dahin: session.upload_progress.enabled = 0 setzen.
  4. 4.Auf verdächtige Dateien und unbekannte Admin-Konten prüfen.
  5. 5.Bei WordPress: Plugins aktualisieren und UpdraftCentral-Schlüssel erneuern, falls genutzt – laut Berichten wurden solche Schlüssel genutzt, um Hintertüren einzuschleusen.

Ausführliche Anleitung und PHP-Soforthilfe →

Häufige Fragen zum PHP-Check

Was macht der PHP-Check genau?

Er ruft die Startseite der eingegebenen Adresse einmal ab, wie ein Browser, und liest die Antwort-Header und den Anfang des HTML. Gesucht wird nach der PHP-Version (X-Powered-By, Server), einem PHP-Sitzungscookie und Hinweisen auf ein CMS wie WordPress. Es werden keine weiteren Seiten abgefragt und keine Angriffs- oder Testdaten gesendet.

Der Check zeigt keine Version. Ist meine Website sicher?

Nicht unbedingt. Viele Server verbergen die PHP-Version absichtlich. Das ist gute Praxis, sagt aber nichts darüber aus, ob das Update eingespielt ist. Sehen Sie die Version im Hosting-Panel nach oder fragen Sie Ihren Hoster.

Welche PHP-Versionen enthalten die Korrektur?

PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (veröffentlicht am 21.10.2026) sowie neuere Versionen. PHP 8.1 und älter wird nicht mehr gepflegt und erhält keine Korrektur.

Gibt es eine Übergangsmaßnahme bis zum Update?

Das vorab bekannt gewordene Material deutete auf die standardmäßig aktive Funktion „Session Upload Progress“. Als Übergangsmaßnahme wird empfohlen, session.upload_progress.enabled = 0 zu setzen. Das ersetzt das Update nicht.

Quellen