PHP-Version erkennen
Wenn Ihr Server eine PHP-Version nennt, vergleichen wir sie mit den veröffentlichten PHP2Shell-Patches. Nicht sichtbare Versionen bleiben ausdrücklich ungeklärt.
Kostenloser PHP-Sicherheitscheck
PHP-Sicherheit.
Einfach prüfen.
Betrifft die PHP-Sicherheitslücke auch Ihre Website? Prüfen Sie öffentlich sichtbare Hinweise und erfahren Sie, was als Nächstes zu tun ist.
- Ohne Anmeldung
- Ohne E-Mail für das Ergebnis
- Ohne Eingriff in Ihre Website
Anlass: PHP2Shell
Am 21. Oktober 2026 hat PHP Updates für zwei kritische Sicherheitslücken veröffentlicht. Wir helfen Ihnen, den Stand Ihrer Website einzuordnen.
Offizielle PHP-Meldung 01 / Website prüfen
Wie steht Ihre Website da?
Schonende Erstprüfung anhand von HTTP-Headern. Kein vollständiger Sicherheitstest und kein Versuch, eine Sicherheitslücke auszunutzen.
Zusätzliche Beobachtungen
- HTTPS-Verbindung
- HSTS-Header
- Schutz vor MIME-Sniffing
- Content Security Policy
Diese Beobachtungen betreffen nur die abgerufene Antwort. Ein fehlender Header beweist keine PHP-Lücke. Ein vorhandener Header bestätigt keinen PHP-Patch.
Server können Versionsangaben verbergen oder verändern. Ein CDN kann den Ursprungsserver verdecken. Updates des Hosters können außerdem eine ältere Versionsnummer beibehalten. Das Ergebnis ist deshalb keine Sicherheitsfreigabe.
Wir helfen Ihnen, das zu klären.
Hinterlassen Sie Ihre E-Mail-Adresse. Wir sehen uns das Ergebnis an und melden uns persönlich zu den nächsten Schritten.
Vielen Dank! Ihre Anfrage wurde gespeichert. Wir melden uns bei Ihnen.
Alternativ erreichen Sie uns unter office@mxb-solutions.com.
Ein Ergebnis, das Sie einordnen können
Was der Check Ihnen zeigt.
Basis-Schutz erkennen
Wir sehen nach, ob die erreichte Seite HTTPS und ausgewählte Sicherheitsheader verwendet. Das liefert zusätzliche Hinweise zur Konfiguration.
Den nächsten Schritt kennen
Sie erhalten eine verständliche Einordnung. Wenn Sie Unterstützung möchten, helfen wir bei der Abstimmung mit dem Hoster und der weiteren Prüfung.
Hintergrund · Stand 22. Oktober 2026
PHP2Shell: Was Website-Betreiber wissen sollten.
Die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 betreffen die PHP-Laufzeit. Unter bestimmten Bedingungen kann fremder Code auf dem Server ausgeführt werden. Relevant ist die PHP-Installation des Hosters, nicht nur die Version Ihres CMS.
CVE-2026-109618CVE-2026-109619
Quelle und aktuelle Hinweise: PHP.net | PHP-Zweig | Korrigiert ab |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Diese Tabelle zeigt den Patchstand für die beiden genannten Lücken, keine allgemeine Empfehlung für die neueste PHP-Version. Distributionspakete können die Korrektur unter älteren Versionsnummern enthalten.
Häufige Fragen
Klartext zum Sicherheitscheck.
Kann der Check bestätigen, dass meine Website sicher ist?
Nein. Der Check wertet öffentlich sichtbare HTTP-Header aus. Er prüft keine Anwendung auf alle Schwachstellen und führt keinen Exploit aus. Für eine verlässliche PHP2Shell-Bewertung müssen der installierte PHP-Paketstand und alle laufenden Instanzen beim Hoster geprüft werden.
Warum wird meine PHP-Version nicht erkannt?
Viele Hoster blenden Versionsangaben bewusst aus. Auch Caches, Proxys und CDNs können sie verbergen. Eine Website kann außerdem ganz ohne PHP laufen. Ohne sichtbare Versionsnummer bleibt das Ergebnis offen; das ist kein Beleg für eine Schwachstelle.
Ist eine ältere Versionsnummer immer betroffen?
Nicht zwingend. Linux-Distributionen und Hosting-Anbieter können Sicherheitskorrekturen in ältere Pakete zurückportieren. Die Versionsnummer im HTTP-Header zeigt solche Patches oft nicht. Fragen Sie deshalb nach dem vollständigen Paketstand und der Bestätigung für beide CVEs.
Reicht ein WordPress-Update oder eine Firewall?
Ein CMS-Update ersetzt kein Update der PHP-Laufzeit. Eine Firewall kann bestimmte Angriffe abfangen, ist aber kein Nachweis eines installierten PHP-Patches. Stimmen Sie die Aktualisierung von PHP mit Ihrem Hosting-Anbieter ab.
Was wird an meiner Website getestet?
Wir rufen die HTTP-Header der Startseite und gegebenenfalls weniger Weiterleitungen ab. Wir senden keine Exploit-Payloads, probieren keine Passwörter aus und verändern keine Inhalte. Bitte prüfen Sie nur Websites, die Sie betreiben oder für die Sie eine Berechtigung haben.
Muss ich meine E-Mail-Adresse angeben?
Nein. Das Ergebnis wird direkt im Browser angezeigt. Ihre E-Mail-Adresse geben Sie nur dann an, wenn MXB Solutions Sie zu diesem Ergebnis kontaktieren soll. Die Anfrage ist keine Newsletter-Anmeldung.
MXB Solutions
Update offen? Wir unterstützen Sie.
Wir helfen bei der Prüfung Ihrer Hosting-Umgebung, der Vorbereitung des Updates und der anschließenden Kontrolle Ihrer Anwendung.