Sicherheitsinformation · Stand
Prüfen Sie kostenlos sichtbare PHP-Hinweise, HTTPS und Sicherheitsheader Ihrer Website. Der HTTP-Onlinecheck liefert eine erste Einschätzung zu öffentlich erkennbaren Merkmalen.
Kostenloser Website-Check
Geben Sie die Startadresse Ihrer Website ein. Wir rufen genau diese Adresse einmal mit einer normalen GET-Anfrage ab und prüfen sichtbare PHP-Hinweise, HTTPS, Sicherheitsheader sowie Formulare und Datei-Felder im gelieferten HTML.
Dieser öffentliche HTTP-Check ersetzt keine interne IT-Sicherheitsprüfung, kein vollständiges Sicherheitsaudit und keine Prüfung des installierten PHP-Patchstands durch Ihren Hosting-Anbieter.
Prüfbericht
Ein Formular ist kein Nachweis für PHP2Shell. Die Lücke betrifft die PHP-Laufzeit; dieser Check sendet keine Formulardaten und prüft keine serverseitige Verarbeitung.
Die Zieladresse wird nur für diese Anfrage verwendet und nicht durch phpchecker.de gespeichert.
Wichtig: Ein unauffälliges Ergebnis beweist nicht, dass PHP gepatcht ist. Nur Ihr Hoster kann die tatsächlich aktive PHP-Version beziehungsweise einen Backport verbindlich bestätigen.
So prüfen Sie es richtigWas ist PHP2Shell?
PHP2Shell bezeichnet zwei kritische Sicherheitslücken im PHP-Kern: CVE-2026-109618 und CVE-2026-109619. PHP verarbeitet Webanfragen, bevor Ihr Website-Code sie kontrollieren kann. Betroffen ist daher die PHP-Laufzeit selbst – auch bei ansonsten sauberer Anwendung.
Die folgenden Fehlerbeschreibungen fassen die offizielle PHP-Sicherheitsmeldung zusammen. PHP nennt nicht authentifizierte Remote-Codeausführung als mögliche Auswirkung; die tatsächliche Betroffenheit hängt von Laufzeit, Build und Konfiguration ab.
Beim Abbruch einer Anfrage wegen Speichermangels kann PHP unvollständig vorbereitete interne Daten bei der Bereinigung falsch behandeln. Das kann zu Speicherbeschädigung und Codeausführung führen.
Interne Anfragedaten können nach der Freigabe ihres Speichers in einem wiederverwendeten Worker zurückbleiben. Ein späterer Request kann diesen veralteten Zustand erneut verwenden.
Was heißt das praktisch? Ein Angreifer kann unter bestimmten Bedingungen ohne Anmeldung speziell geformte HTTP-Anfragen senden. Die möglichen Folgen reichen von Zugriff auf sensible Daten bis zur Ausführung von Code mit den Rechten des PHP-Webprozesses. Eine bestimmte CMS-Software muss dafür nicht zwingend die Ursache sein.
Jetzt handeln
Aktualisieren Sie jede PHP-Laufzeit, die Webanfragen verarbeitet. Ein Update von WordPress, Drupal oder einer anderen Anwendung aktualisiert PHP nicht automatisch.
PHP-Downloads ansehenFür jede Domain und Subdomain die PHP-Version im Hosting-Panel oder beim Provider abfragen.
Ab PHP 8.2 gelten die oben gezeigten Versionsstände. Bei älteren Zweigen die konkrete Paketversion und den Backport schriftlich bestätigen lassen.
Nach dem Update Apache, PHP-FPM und langlebige PHP-Prozesse neu starten, damit der neue Build aktiv wird.
Vor Bereinigung oder Update Zugriffs- und Serverlogs sichern. Hosting-Anbieter einbinden und Konten, Dateien, geplante Aufgaben sowie ausgehende Verbindungen prüfen lassen.
session.upload_progress mit anschließendem Neustart der Worker sowie die offiziellen Hinweise zu memory_limit, post_max_size und PHP 8.5. Folgen Sie dafür ausschließlich der aktuellen PHP-Sicherheitsmeldung und testen Sie Änderungen mit Ihrem Provider.PHP2Shell: Fragen und Antworten
Nein. Der Check kann nur öffentlich sichtbare Antwort-Header und TLS-Merkmale auswerten. Viele Webspaces verbergen die PHP-Version; Banner können außerdem falsch oder veraltet sein. Lassen Sie den aktiven Build vom Hosting-Anbieter bestätigen.
Die PHP-Sicherheitsmeldung vom 21. Oktober 2026 nennt PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für ältere PHP-Zweige müssen Sie bei Distribution oder Hostinganbieter prüfen, ob ein Backport eingespielt wurde. Maßgeblich sind die aktuell veröffentlichten Herstellerhinweise.
Aktualisieren Sie jede PHP-Laufzeit auf einen korrigierten Stand oder installieren Sie den bestätigten Backport Ihres Anbieters. Lassen Sie danach die Worker neu starten und prüfen Sie den aktiven Build. Übergangsmaßnahmen erschweren einzelne Angriffspfade, ersetzen das Sicherheitsupdate aber nicht.
Nein. Er versendet keine Exploit-Payloads, lädt keine Dateien hoch, versucht keine Anmeldung und führt keine Befehle aus. Er ruft die angegebene Website einmal mit einer normalen GET-Anfrage ab.
Nur, dass die sichtbaren Hinweise bei dieser Einzelabfrage keine bekannte verwundbare PHP-Version gezeigt haben. Das ist keine Garantie und ersetzt keine Prüfung beim Provider.
Werbebanner bleiben zunächst deaktiviert. Erst nach Ihrer Einwilligung lädt der Browser Inhalte von Serverprofis und AADS; dabei werden insbesondere Ihre IP-Adresse und technische Verbindungsdaten an diese Anbieter übermittelt. Die Auswahl können Sie jederzeit in den Cookie-Einstellungen ändern.