Akut · CVE-2026-109618 / 109619
Ist Ihre Website von PHP2Shell betroffen?
- Kein Angriffsversuch
- Keine Drittanbieter
- Domain wird nicht gespeichert
PHP-Sicherheitscheck
Drei Wege zur Antwort.
Sicher ab 8.5.12 8.4.27 8.3.36 8.2.35
Genauer prüfen Version eingeben oder Prüfdatei nutzen
- Prüfdatei erzeugen
- Datei hochladen
- Prüfen
Die Datei antwortet nur mit dem richtigen Schlüssel, verrät keine Pfade oder Zugangsdaten, löscht sich nach der Prüfung selbst und läuft nach zwei Stunden ab.
Patch-Stand bei Hostern und Panels
Nur mit Quelle oder eigener Beobachtung. „Unbekannt“ heißt: keine überprüfbare Angabe – bitte beim Hoster nachfragen.
| Hinweis / Quelle |
|---|
Häufige Fragen
Warum testen Sie nicht einfach die Lücke selbst?
Weil ein Angriffsversuch – auch ein „harmloser“ – ein Eingriff in fremde Systeme ist, der rechtlich heikel ist und Server zum Absturz bringen kann. Das Tool schaut deshalb nur auf öffentlich sichtbare Angaben, Ihre Versionsangabe oder die Antwort Ihrer eigenen Prüfdatei.
Wie zuverlässig ist der Schnellcheck?
Er ist so gut wie das, was der Server preisgibt. Viele Server verstecken die PHP-Version – dann gibt es kein Urteil, sondern den Hinweis auf die genaue Prüfung. Die sicherste Aussage liefert die Prüfdatei.
Warum ist eine Ubuntu-Version wie 8.3.6 „orange“?
Distributionen spielen den Fix als Backport ein, ohne die Versionsnummer zu ändern. Ob er drin ist, zeigt nur die volle Paketversion (z. B. 8.3.6-0ubuntu0.24.04.13). Die tragen Sie unter „Version eingeben“ ein – oder die Prüfdatei liest sie, wenn der Server es erlaubt.
Ist die Prüfdatei gefährlich?
Nein. Sie antwortet nur mit einem zufälligen Schlüssel, liefert nur PHP-Version, Laufart und einige Einstellungen, löscht sich nach der Prüfung selbst und nach zwei Stunden spätestens beim nächsten Aufruf. Sie können sie jederzeit auch selbst löschen.
Mein Ergebnis ist grün – bin ich sicher?
Ihre PHP-Version enthält den Fix. Ein Angriff vor dem Update lässt sich so aber nicht erkennen: Prüfen Sie die Website auf unbekannte Administratorkonten und geänderte Dateien und wechseln Sie vorsorglich Passwörter.
Mein Hoster hat noch kein Update – was tun?
Fragen Sie nach (die E-Mail-Vorlage hilft) und stellen Sie, wenn möglich, auf einen gepatchten Zweig um. Bis dahin soll der Hoster „session.upload_progress.enabled“ serverseitig abschalten. Kritische Seiten lassen sich vorübergehend komplett per Passwort schützen.
Was speichern Sie?
Die geprüfte Domain nicht. Das Ergebnis liegt bis zu zehn Minuten unter einem Hash-Schlüssel im Zwischenspeicher. Ihre IP-Adresse wird nur als Hash mit täglich wechselndem Schlüssel für höchstens 24 Stunden zur Missbrauchsbegrenzung genutzt. Es gehen keine Daten an Dritte.
Unterstützung