Online-Tool zur Prüfung von PHP-Sicherheitslücken
Am 21. Oktober 2026 zwangen zwei kritische Lücken in PHP selbst — CVE-2026-109618 und CVE-2026-109619, beide mit CVSS 9.2 bewertet — Regierungswebsites in ganz Europa und Japan vom Netz. Japans Premierministerin Sanae Takaichi veröffentlichte auf X eine dringende Warnung: Prüfen Sie, ob Ihre Websites PHP nutzen, spielen Sie den Patch noch heute Abend ein — oder nehmen Sie die Website vom Netz, bis Sie es können. Dieser kostenlose Checker liest die PHP-Version, die Ihre Website preisgibt, und sagt Ihnen, wo Sie stehen.
Prüfen Sie jetzt Ihre Website
Nur-Lese-Prüfung: Wir lesen die öffentlichen Antwort-Header Ihrer Website und suchen nach einer offengelegten phpinfo-Seite. Anschließend vergleichen wir jede gefundene PHP-Version mit den gefixten Releases. Wir senden niemals eine Exploit-Anfrage und speichern nichts. Prüfen Sie nur Websites, die Ihnen gehören oder für die Sie eine Testgenehmigung haben.
Deep Website Check · 4,99 $ · offen für alle
Das ganze Bild statt nur der PHP-Version?
Dieser kostenlose Check liest nur die PHP-Version Ihrer Website und ihre öffentlichen Fingerabdrücke. Deep Website Check ist die vollständige Tiefenprüfung: ein kompletter Bericht zu Ihrer Website — Online-Bericht und PDF — mit PHP- und Plattform-Fingerabdruck, vollständiger TLS-Zertifikatskette, dem, was ein echter Browser auf der Startseite sieht, und Security-Headern, vor der Auslieferung von einem Menschen geprüft. 4,99 $ pro Check, offen für alle (bis zu 10 pro Monat und E-Mail).
Deep Website Check holen — 4,99 $Was passiert ist
Das PHP-Sicherheitsteam kündigte am 20–21. Oktober 2026 zwei kritische Schwachstellen an, nachdem Details vor der geplanten Veröffentlichung durchgesickert waren. Beide Fehler sitzen in der Request-Verarbeitung des PHP-Interpreters, sodass ein Angreifer Code auf einem verwundbaren Server ausführen kann, bevor irgendein Anwendungscode läuft — ohne Login, ohne Passwort, und es funktioniert selbst gegen eine triviale Testseite. Das Paar erhielt schnell den Spitznamen PHP2Shell. Die gefixten Versionen erschienen am 21. Oktober; Cloudflare meldete noch am selben Tag erste Angriffsversuche, und die niederländische und die finnische Regierung, Japans Niconico, Pixiv und DMM sowie viele andere nahmen Dienste offline oder versetzten sie in Notfallwartung, statt zu warten. PHP betreibt grob drei Viertel aller Websites, deren serverseitige Sprache sich identifizieren lässt — einschließlich jeder WordPress-, Drupal-, Joomla- und Magento-Website.
Quellen: Analyse von Datadog Security Labs, Ubuntus php2shell-Hinweis, FAQ von Tenable und Reuters zur Warnung der Premierministerin.
Gefixte Versionen
Ein Patch ist die einzige echte Lösung — Konfigurationstricks, die online kursieren (wie das Deaktivieren des Session-Upload-Fortschritts), schützen Sie nicht, wie Datadogs Reproduktion zeigt.
| Ihr PHP-Zweig | Gefixte Release (21. Okt. 2026) | Status, wenn Sie darunter liegen |
|---|---|---|
| 8.5.x | 8.5.12 | Verwundbar |
| 8.4.x | 8.4.27 | Verwundbar |
| 8.3.x | 8.3.36 | Verwundbar |
| 8.2.x | 8.2.35 | Verwundbar |
| 8.1.x und älter (inkl. 7.x, 5.x) | — | Verwundbar und End-of-Life: Es wird keinen offiziellen Patch geben. Steigen Sie auf eine gefixte 8.2+-Release um (manche Linux-Distributionen backporten Fixes in ihre eigenen Pakete — prüfen Sie Ihre Paketversion). |
Was Sie jetzt tun sollten
- Finden Sie Ihre PHP-Version. Nutzen Sie den Checker oben, führen Sie
php -vauf dem Server aus, sehen Sie in Ihrem Hosting-Panel nach oder fragen Sie Ihren Provider. - Patchen Sie noch heute, wenn Sie unter der gefixten Release liegen. Auf Shared Hosting kann das nur der Provider — kontaktieren Sie ihn jetzt und fragen Sie, auf welche Version er Sie umstellt.
- Können Sie nicht schnell patchen? Gehen Sie vorübergehend offline. Das ist der ausdrückliche Rat, den Japans Premierministerin und mehrere nationale Cybersicherheitsbehörden am 21. Oktober gegeben haben: Ein kurzer geplanter Ausfall ist besser als ein offener Server.
- Entfernen Sie jede öffentliche phpinfo-Seite (phpinfo.php, info.php). Sie zeigt jedem, der fragt, Ihre komplette Serverkonfiguration.
- Überprüfen Sie. Bestätigen Sie nach dem Update mit
php -vund wiederholen Sie diese Prüfung.
Was diese Prüfung Ihnen sagen kann — und was nicht
Die Prüfung ist ein Fingerprint aus der Ferne, und sie ist ehrlich über ihre Grenzen. Wenn Ihr Server seine PHP-Version bekannt gibt (viele tun das, im X-Powered-By-Header) oder eine phpinfo-Seite offenlegt, ist das Urteil exakt. Wenn die Version versteckt ist, sagt die Prüfung das, statt zu raten — eine versteckte Version ist kein Beweis für Sicherheit, und der einzig sichere Test findet auf dem Server selbst statt. Wenn Ihre Version ein Paket-Suffix einer Linux-Distribution trägt, markiert die Prüfung die Backport-Frage, statt Sie für verwundbar zu erklären. Auch eine CDN vor Ihrer Website kann die Signale entfernen; prüfen Sie in diesem Fall den Ursprungsserver.
Fragen, ehrlich beantwortet
Was ist PHP2Shell?
PHP2Shell ist der Spitzname für zwei kritische Schwachstellen in PHP selbst — CVE-2026-109618 und CVE-2026-109619 —, die am 21. Oktober 2026 offengelegt wurden. Beide sind mit CVSS 9.2 bewertet und erlauben es einem Angreifer, ohne Login Code auf einem Webserver auszuführen. Da die Fehler im PHP-Interpreter sitzen, ist jede Website mit einer betroffenen PHP-Version gefährdet, egal womit sie gebaut ist — WordPress, Drupal, Joomla, Magento oder eine einzeilige Testseite. Anwendungs-Logins und Passwörter blockieren den Angriff nicht; nur ein PHP-Update behebt ihn.
Welche PHP-Versionen sind verwundbar, und welche sind gefixt?
Gefixte Upstream-Releases (21. Oktober 2026): PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Jede ältere Release dieser Zweige ist verwundbar. PHP 8.1 und alles Ältere (bis zurück zu 5.x) ist ebenfalls betroffen, aber End-of-Life — PHP wird diese Zweige nicht mehr patchen; die Lösung dort ist der Wechsel auf eine unterstützte, gefixte Release. Manche Linux-Distributionen backporten den Fix in ihre eigenen Pakete, ohne die Upstream-Versionsnummer zu ändern; wenn Sie PHP-Pakete Ihrer Distribution nutzen, vergleichen Sie Ihre vollständige Paketversion mit dem Hinweis Ihrer Distribution.
Meine Website läuft mit WordPress. Behebt das WordPress-Update das Problem?
Nein. WordPress-Updates beheben WordPress; dieser Fehler steckt in PHP, der Sprache, auf der WordPress läuft. Ihre PHP-Version wird von Ihrem Server oder Hosting-Tarif festgelegt und ändert sich nur, wenn der Hoster PHP aktualisiert (oder Sie die PHP-Version in Ihrem Hosting-Panel umstellen, wo es diese Option gibt). Fragen Sie Ihren Hosting-Provider, welche PHP-Version Ihre Website nutzt und ob sie auf oder über der gefixten Release liegt.
Der Checker sagt, meine PHP-Version sei versteckt. Bin ich sicher?
Nicht unbedingt. Die Version zu verbergen ist gute Hygiene, bedeutet aber nur, dass eine Prüfung aus der Ferne die Version nicht sehen kann — sichere und verwundbare Server sehen von außen identisch aus. Das ehrliche Urteil in diesem Fall lautet: „aus der Ferne nicht bestätigbar“. Prüfen Sie auf dem Server selbst: Führen Sie php -v aus, sehen Sie in Ihrem Hosting-Panel nach oder fragen Sie Ihren Provider, und vergleichen Sie dann mit den gefixten Versionen oben.
Versucht dieser Checker, meine Website zu hacken?
Nein. Er sendet gewöhnliche Nur-Lese-Anfragen: Er liest die Antwort-Header, die Ihr Server ohnehin jedem Besucher zeigt, und er prüft, ob eine phpinfo-Seite — eine Diagnoseseite, die niemals öffentlich sein sollte — erreichbar ist, weil diese Seite die exakte Version ausgibt (und noch viel mehr, das Sie nicht öffentlich haben wollen). Er sendet niemals die Exploit-Anfrage, übermittelt keine Angriffs-Payloads und speichert nichts über Ihre Website.
Der Checker sagt verwundbar, aber mein Hoster sagt, wir seien gepatcht. Wer hat recht?
Möglicherweise Ihr Hoster. Debian und Ubuntu backporten Sicherheitsfixes in ihre PHP-Pakete und behalten dabei die ursprüngliche Upstream-Versionsnummer, sodass ein Server, der 'PHP 8.3.6' meldet, den Fix bereits enthalten kann, wenn seine Paket-Release neu genug ist (Ubuntu veröffentlichte gefixte Pakete am 21. Oktober 2026). Dieser Checker markiert diesen Fall ausdrücklich, statt falschen Alarm zu schlagen. Der entscheidende Test ist die vollständige Paketversion — fragen Sie Ihren Hoster danach oder prüfen Sie den Paketmanager auf dem Server.
Was sollte ich jetzt sofort tun?
1) Finden Sie Ihre PHP-Version (dieser Checker, php -v oder Ihr Hoster). 2) Liegt sie unter der gefixten Release Ihres Zweigs, aktualisieren Sie PHP — oder lassen Sie es Ihren Hoster tun — noch heute. 3) Können Sie nicht schnell patchen, folgen Sie dem Rat, den Japans Premierministerin und mehrere nationale Cybersicherheitsbehörden am 21. Oktober gegeben haben: Nehmen Sie die Website vorübergehend offline oder beschränken Sie den Zugriff, bis sie gepatcht ist. 4) Entfernen Sie jede öffentliche phpinfo-Seite. 5) Bestätigen Sie nach dem Patch mit php -v und wiederholen Sie diese Prüfung.
Soll Ihr KI-Assistent die ganze Aufgabe übernehmen?
Der Skill PHP2Shell Vulnerability Check führt dieselbe Prüfung über Ihren KI-Assistenten aus, arbeitet die Fälle mit versteckter Version und Distributions-Backports mit Ihnen durch, schreibt den einseitigen Bericht für den Inhaber und begleitet dann den Patch und die erneute Prüfung, bis Ihre Website als gefixt bestätigt ist.
Skill holen — $4.99