PHP-Sicherheitslücke prüfen: PHP2Shell-Check für Websites
Prüft in Sekunden, ob eine Website auf PHP läuft, welche PHP-Version sie meldet und ob diese gegen die kritischen Lücken CVE-2026-109618 und CVE-2026-109619 (PHP2Shell) abgesichert ist. Mit Sofortmaßnahmen je Ergebnis.
- Ohne Anmeldung
- Keine Speicherung der Eingaben
- Ergebnis in Sekunden
Der Check ruft nur die Startseite ab, wie ein normaler Besucher, und wertet Antwort-Header und Quelltext aus. Er sendet keine Angriffe und testet die Lücke nicht aus. Ein unauffälliges Ergebnis ersetzt deshalb nicht den Abgleich der installierten Pakete am Server.
So funktioniert der PHP2Shell-Check
PHP2Shell ist der Name für zwei kritische Sicherheitslücken in PHP, CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 von 10 Punkten bewertet. Angreifer können damit ohne Anmeldung eigenen Code auf dem Webserver ausführen und Speicherinhalte wie Passwörter auslesen. Betroffen ist jede PHP-Installation, die Webseiten ausliefert. Behoben ist die Lücke in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, veröffentlicht am 21. Oktober 2026.
Der Check ruft die Startseite der eingegebenen Adresse einmal ab, wie ein normaler Browser. Er liest die Antwort-Header X-Powered-By und Server, Sitzungscookies und typische Spuren von WordPress, Joomla, Drupal, TYPO3, Shopware und anderen PHP-Systemen im Quelltext. Meldet der Server eine PHP-Version, vergleicht der Check sie mit der ersten abgesicherten Version des jeweiligen Zweigs.
Was der Check nicht kann: Er testet die Lücke nicht aus und sieht nicht in den Server hinein. Ubuntu, Debian und Red Hat spielen Korrekturen oft ein, ohne die PHP-Versionsnummer zu ändern. Ein sicheres Urteil liefert deshalb nur der Paketstand am Server, der Hoster oder ein Administrator mit Zugang.
Woran erkenne ich, ob meine Website von PHP2Shell betroffen ist?
Betroffen ist jede Website, die auf PHP läuft und noch nicht auf PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder ein gepatchtes Paket der Linux-Distribution aktualisiert wurde. Dazu gehören fast alle Seiten mit WordPress, Joomla, Drupal, TYPO3, Shopware oder WooCommerce. Der Check zeigt, ob Ihre Seite PHP nutzt und welche Version sie meldet.
Der Check zeigt „Version nicht sichtbar“. Bin ich sicher?
Nicht unbedingt. Viele Server verbergen die PHP-Version, was gut ist. Ob das Sicherheitsupdate installiert ist, lässt sich dann von außen nicht feststellen. Fragen Sie Ihren Hoster schriftlich nach dem Patchstand oder lassen Sie den Server prüfen.
Meine Website läuft über Cloudflare. Reicht das?
Nein. Cloudflare hat am 21. Oktober 2026 Firewall-Regeln gegen bekannte Angriffsmuster aktiviert, auch im kostenlosen Tarif, nennt sie aber selbst eine zusätzliche Schutzschicht. Das PHP-Update auf dem Server bleibt nötig, weil Angreifer ihre Anfragen laufend abwandeln.
Was mache ich mit PHP 8.1, 8.0 oder 7.4?
Für diese Versionen veröffentlicht das PHP-Projekt kein Update mehr. Geschützt sind Sie nur, wenn Ihr Hoster oder Ihre Distribution die Korrektur nachreicht. Planen Sie den Umstieg auf PHP 8.4 oder 8.5. Ist bis dahin keine Korrektur installiert, raten CERT-EU und das britische NCSC, die Seite vom Netz zu nehmen.
Ist der Check selbst ein Angriff auf die geprüfte Seite?
Nein. Er ruft die Startseite genau einmal ab, wie jeder Besucher, und sendet keine manipulierten Anfragen. Prüfen Sie trotzdem nur Websites, die Ihnen gehören oder die Sie betreuen.
Quellen, Stand 21. Oktober 2026
- PHP: Ankündigung des kritischen Sicherheitsupdates (php.announce, 20. Oktober 2026)
- PHP: News-Archiv 2026 mit den Releases 8.5.12, 8.4.27, 8.3.36 und 8.2.35
- PHP: Advisory GHSA-w8hw-w9fx-j79w zu CVE-2026-109618
- PHP: Advisory GHSA-6wmf-4rv5-p3rp zu CVE-2026-109619
- PHP: Unterstützte Versionen und Support-Enden
- CERT-EU: Security Advisory 2026-018, Critical Vulnerabilities in PHP
- CERT.at: Aktuelle Meldungen, Warnung vom 20. Oktober 2026
- BSI: Cybersicherheitswarnung „PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit“
- Cloudflare: Schutzregeln gegen php2shell (21. Oktober 2026)
- Mattias Geniar: Patches für CVE-2026-109618 und CVE-2026-109619 einspielen
Passende Ratgeber
PHP-Sicherheitslücke PHP2Shell: Was Website-Betreiber jetzt tun
Zwei kritische PHP-Lücken (CVE-2026-109618, CVE-2026-109619) gefährden Millionen Websites. Wer betroffen ist, welche Version schützt und was heute zu tun ist.
PHP2Shell patchen: Anleitung für Ubuntu, Debian, Red Hat & Docker
Schritt für Schritt: PHP gegen CVE-2026-109618 und CVE-2026-109619 aktualisieren, die richtigen Dienste neu starten und prüfen, ob die Korrektur wirklich läuft.
WordPress und PHP2Shell: Ist meine WordPress-Seite betroffen?
PHP2Shell betrifft fast jede WordPress-, Joomla- und Drupal-Seite. Warum Plugin-Updates nicht helfen, was der Hoster tun muss, mit Vorlage für die Anfrage.
Weitere Tools
Schriftliche Ersteinschätzung, ohne Verkaufsanruf
Kritische PHP-Lücke: Lassen Sie Ihren Server jetzt absichern.
Wir prüfen Server oder Webspace, spielen das PHP-Update ein, starten alle PHP-Dienste neu und bestätigen den Patchstand schriftlich. Bei Hostern ohne Root-Zugang übernehmen wir die Abstimmung. 95 € netto pro Stunde im 15-Minuten-Takt, auch im Notfall.
Antwort innerhalb von 24 Stunden an Werktagen · +43 699 1919 5789