PHP-Sicherheitswarnung

Ist Ihre Website vom PHP2Shell-Risiko betroffen?

Das BSI warnt vor den kritischen PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619. Mit diesem Check prüfen Sie, ob Ihre Website öffentlich einen PHP-Patchstand erkennen lässt.

Ohne diese Angabe prüft der Check nur öffentliche HTTP-Header. Die tatsächliche PHP-Version finden Sie in Plesk unter PHP-Einstellungen oder per php -v auf dem Server. Der Check verwendet keine Exploits und speichert die eingegebenen Daten nicht.

Einordnung

Warum ein URL-Scan keine vollständige Entwarnung geben kann

Eine sichere Konfiguration veröffentlicht die PHP-Version nicht. Deshalb kann ein externer Check nur sichtbare Hinweise bewerten. Der verbindliche Abgleich erfolgt auf dem Server oder im Hosting-Panel mit php -v und dem Sicherheitsadvisory Ihres Betriebssystems oder Hosters.

Sofortmaßnahmen

Was Betreiber jetzt tun sollten

  1. PHP-Laufzeit des produktiven Webservers feststellen.
  2. Auf mindestens PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren beziehungsweise einen bestätigten Distributions-Backport prüfen.
  3. Nach dem Update die PHP-FPM- oder Webserver-Worker neu starten und die tatsächlich verwendete Version kontrollieren.
  4. Bis zum Patch die vom PHP Security Team veröffentlichten Übergangsmaßnahmen umsetzen; sie ersetzen das Update nicht.

Persönliche Unterstützung

Sie brauchen Hilfe bei der Absicherung?

Wenn Sie den Patchstand nicht eindeutig prüfen können oder Unterstützung beim PHP-Update brauchen, kontaktieren Sie mich gern. Ich unterstütze Sie bei der technischen Einordnung, der sicheren Aktualisierung und der anschließenden Kontrolle Ihrer Website.

Unterstützung anfragen →

FAQ

Häufige Fragen zu PHP2Shell

Welche Systeme können betroffen sein?

Betroffen ist die PHP-Laufzeit. Dazu zählen unter anderem Websites und Anwendungen mit PHP-FPM, Apache mod_php, php-cgi, FrankenPHP oder LiteSpeed – unabhängig davon, ob sie auf WordPress, TYPO3, Laravel oder einer individuellen Anwendung basieren.

Reicht ein Update von WordPress oder Laravel?

Nein. Ein Anwendungsupdate allein behebt diese Schwachstellen nicht. Entscheidend ist das Update der PHP-Laufzeit auf dem Webserver.

Ist eine WAF ausreichend?

Eine Web Application Firewall kann Angriffsversuche erschweren oder einzelne Wege blockieren. Sie ersetzt laut BSI jedoch nicht das zeitnahe Einspielen der Sicherheitsupdates.

Quelle: BSI-IT-Sicherheitshinweis BITS-H Nr. 2026-297981-1132, Version 1.1 vom 21.10.2026.