PHP2Shell · CVE-2026-109618 · CVE-2026-109619
Welche PHP-Version meldet Ihre Website?
Am 21. Oktober 2026 hat das PHP-Projekt 2 kritische Sicherheitslücken geschlossen, die die CISA als PHP2Shell bezeichnet (CVE-2026-109618 und CVE-2026-109619, CVSS 9,2). Sie erlauben es, ohne Anmeldung Code auf einem Server auszuführen. Geben Sie eine Domain ein, und wir zeigen Ihnen, welche PHP-Version Ihre Website in den Headern meldet und ob sie der Korrektur entspricht.
So lesen Sie das Ergebnis
- Eine alte Nummer beweist keine Schwachstelle. Viele Hosting-Anbieter spielen die Korrektur ein und behalten die ursprüngliche Versionsnummer.
- Eine aktuelle Nummer ist ein gutes Zeichen, kein Beweis. Der Header kann durch die Serverkonfiguration oder ein vorgeschaltetes Gerät verändert werden.
- Meldet die Website keine Version, wissen wir nichts. Das gilt für die meisten Websites: Von 8.171 slowakischen Firmenwebsites, die uns am 31.10.2026 geantwortet haben, meldeten nur 332 eine PHP-Version im Header (4,1 %).
Welche Versionen die Korrektur enthalten
| Zweig | Korrigiert ab |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
PHP 8.1 und älter pflegt das PHP-Projekt nicht mehr. Einige Linux-Distributionen und Anbieter von erweitertem Support liefern die Korrektur selbst nach, fragen Sie dort nach.
Was zu tun ist
- Aktualisieren Sie PHP auf 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer oder auf das korrigierte Paket Ihres Anbieters.
- Fragen Sie den Betreiber des Dienstes, welche PHP-Version er einsetzt und ob sie die Korrekturen für CVE-2026-109618 und CVE-2026-109619 enthält.
- Verraten Sie die Version nicht mehr:
expose_php = Offin derphp.inientfernt den Header X-Powered-By.