PHP2Shell Checker

Mit diesem kostenlosen PHP2Shell-Checker sehen Sie, ob Ihre Website eine PHP-Version nutzt, die von PHP2Shell (CVE-2026-109618 und CVE-2026-109619) betroffen ist. Geben Sie die Adresse Ihrer Website ein oder tippen Sie die PHP-Version ein, die Ihr Server anzeigt.

Daten des PHP2Shell-Checkers zuletzt mit der offiziellen Sicherheitswarnung abgeglichen: 21. Oktober 2026.

Was der PHP2Shell-Checker Ihnen sagt

PHP2Shell ist eine Gruppe kritischer Speichersicherheitslücken im PHP-Kern, veröffentlicht am 21. Oktober 2026 mit einem CVSS-Wert von 9,2. Ein Angreifer ohne Benutzerkonto kann Code auf dem Server ausführen oder sensiblen Prozessspeicher auslesen, etwa Passwörter, Session-Tokens, API-Schlüssel und Zertifikate. Weil der Fehler in der PHP-Engine steckt, kann eine Website auch dann betroffen sein, wenn ihr eigener Code einwandfrei ist. Die Forscher haben das mit einer einfachen „Hello World“-App gezeigt.

Der PHP2Shell-Checker beantwortet eine Frage: Ist das PHP, auf dem Ihre Website läuft, älter als das erste gepatchte Release? Er liest, was Ihr Server in seinen Headern preisgibt. Ist die PHP-Version sichtbar, erhalten Sie ein direktes Urteil. Ist sie versteckt, was häufig vorkommt, sagt Ihnen der Checker, ob die Website nach PHP aussieht (WordPress, Drupal, Joomla, Laravel oder ein PHP-Session-Cookie), und verweist auf die einminütige Prüfung auf dem Server.

Gepatchte PHP2Shell-Versionen

Verwundbare und erste gepatchte Releases je Zweig, laut offizieller Veröffentlichung und Ankündigung der PHP Foundation:

Distributionspakete (Ubuntu, Debian, Red Hat, CloudLinux, cPanel EasyApache) portieren den Fix oft zurück, ohne die Upstream-Versionsnummer zu ändern. Wenn Ihre Version alt aussieht, aber aus einem solchen Paket stammt, suchen Sie im Changelog des Pakets nach CVE-2026-109618. Die Befehle stehen auf der Seite PHP2Shell-Patch (Englisch).

So nutzen Sie den Checker oder prüfen von Hand

1. Ermitteln Sie die PHP-Version, die Webanfragen bedient. In WordPress unter Werkzeuge → Website-Zustand → Bericht → Server. Auf einem Server mit php -v; beachten Sie aber, dass die Kommandozeilen-Version von der abweichen kann, die Apache oder PHP-FPM nutzt.
2. Geben Sie sie in den Checker ein oder vergleichen Sie sie mit der Tabelle oben. Auf dem Zweig 8.3 ist zum Beispiel 8.3.35 verwundbar und 8.3.36 gepatcht.
3. Prüfen Sie jede Laufzeit. Server mit cPanel, Plesk oder aaPanel haben oft mehrere PHP-Versionen nebeneinander. Jede, die eine Website nutzen kann, muss aktualisiert werden.
4. Starten Sie nach dem Update neu. Apache, PHP-FPM und dauerhaft laufende PHP-Worker behalten den alten Code im Speicher, bis sie neu starten.

Wer von PHP2Shell betroffen ist

PHP betreibt rund 70 % aller Websites, darunter WordPress, Drupal, Joomla, MediaWiki, Moodle, Nextcloud sowie Laravel- und Symfony-Anwendungen. Die Forscher haben eine Remote-Code-Ausführung ohne Anmeldung auf den aktuellen Container-Images von WordPress, Drupal und Joomla gezeigt, doch für den Angriff ist keine dieser Anwendungen nötig. Laut PHP Foundation ist Apache mit mod_php am stärksten gefährdet: Eine Anfrage ohne Anmeldung kann CVE-2026-109618 auslösen, bevor überhaupt Anwendungscode läuft, und das mit Standardeinstellungen. Auch auf PHP-FPM wurde Remote-Code-Ausführung über Codepfade der Anwendung bestätigt.

Prüfen Sie jede Website, die Sie betreuen, nicht nur die Hauptseite. Websites auf verwalteten Plattformen sind nur so sicher wie der PHP-Build des Hosters. Bei Shared Hosting ist die Lösung meist ein Versionswechsel im Control Panel oder ein Ticket beim Support.

Was tun, wenn der Checker „verwundbar“ meldet

1. Aktualisieren Sie PHP auf 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer, oder auf ein Anbieterpaket mit dem Fix. Nur das behebt die Lücke vollständig. Befehle Schritt für Schritt: PHP2Shell-Patch-Anleitung (Englisch). Danach den Checker erneut ausführen.
2. Wenn Sie heute nicht aktualisieren können, setzen Sie die vorübergehenden Maßnahmen aus der Warnung um und lassen Sie Ihre WAF-Regeln aktiv. Sie verringern einige Angriffswege, aber nicht alle: PHP2Shell-Mitigation (Englisch).
3. Suchen Sie nach Anzeichen einer Kompromittierung auf Servern, die erreichbar waren, besonders wenn sie Zugangsdaten oder Kundendaten enthalten, und tauschen Sie Geheimnisse aus, die im Speicher lagen.

Weiterführende Anleitungen (Englisch)

FAQ zum PHP2Shell-Checker

Kurze Antworten auf die häufigsten Fragen nach einem PHP2Shell-Check.