KritischCVE-2026-109618CVE-2026-109619CVSS 4.0: 9.2
Zwei Lücken in PHP erlauben Angriffe ohne Login, und erste Angriffe laufen bereits. Geben Sie die Adresse Ihrer Website ein: Der Check liest aus, was Ihr Server über PHP verrät, und sagt Ihnen, ob Sie handeln müssen und was zu tun ist.
Die vollständige Nummer mit drei Teilen. Wo finde ich die?
Ergebnis
Noch offen
Geben Sie die Adresse Ihrer Website ein. Das Ergebnis erscheint hier.
Ob ein Server wirklich angreifbar ist, ließe sich von außen nur mit echten Angriffsversuchen testen. Deshalb zählt die PHP-Version. Die eingegebene Adresse wird für die Prüfung an unseren Prüfserver übermittelt und nicht gespeichert. Eine eingetippte Version verlässt Ihren Browser nicht.
Zwei Angaben, damit der Fahrplan zu Ihnen passt. Was der Check erkennt, ist schon ausgewählt.
Erst Gewissheit, dann handeln.
Entscheidend ist die letzte Stelle: 8.3.14 ist betroffen, 8.3.36 nicht.
Werkzeuge → Website-Zustand → Bericht, dort den Bereich „Server“ aufklappen, Zeile „PHP-Version“. Direkt dorthin führt die Adresse ihre-domain.de/wp-admin/site-health.php?tab=debug. Die Seite sehen nur Administratoren.
Ein WordPress-Update ändert die PHP-Version nicht. Das erledigt der Server.
Melden Sie sich im Kundenmenü an und suchen Sie nach „PHP-Einstellungen“, „PHP-Version“ oder den Einstellungen Ihres Webspace. Dort steht oft nur die Linie, etwa „8.3“. Die vollständige Nummer zeigt dann Ihr CMS, oder der Hoster nennt sie auf Nachfrage.
Im Backend oben rechts das Info-Symbol „System-Information“ öffnen, Zeile „PHP-Version“ (nur für Administratoren). Alternativ System → Umgebung (TYPO3 14) bzw. Verwaltungswerkzeuge → Umgebung (TYPO3 12/13), dort nur für System-Maintainer.
System → Systeminformationen, Zeile „PHP-Version“ (als Super User).
Berichte → Statusbericht, Zeile „PHP“ (als Administrator).
php -v zeigt nur die Version der Kommandozeile. Die Website kann eine andere nutzen. Fragen Sie deshalb den Webserver-Prozess:
| Linie | Sicher ab | Hinweis |
|---|---|---|
| PHP 8.5 | 8.5.12 | |
| PHP 8.4 | 8.4.27 | |
| PHP 8.3 | 8.3.36 | |
| PHP 8.2 | 8.2.35 | Updates nur noch bis 31.12.2026 |
| 8.1 und älter | keine | Nur Quell-Patches (7.4 bis 8.1), Backport des Anbieters oder Umstieg |
Ubuntu, RHEL und AlmaLinux spielen Korrekturen teils ein, ohne die Nummer zu erhöhen (Backport). Dann gibt das Paket-Changelog Auskunft. Debian liefert dagegen die neue Nummer aus, etwa 8.2.35-1~deb12u1.
PHP2Shell ist der Spitzname für zwei Lücken im PHP-Interpreter selbst: CVE-2026-109618 und CVE-2026-109619, beide mit CVSS 9.2 (Version 4.0) als kritisch eingestuft. Wer sie ausnutzt, kann ohne Anmeldung eigenen Code auf dem Webserver ausführen. Laut den Entdeckern lässt sich außerdem Arbeitsspeicher des Servers auslesen, in dem Passwörter oder Schlüssel stehen können.
Laut den Entdeckern reicht der älteste betroffene Code bis PHP 5.4 aus dem Jahr 2012 zurück. Das PHP-Projekt stuft alle PHP-Installationen, die Webanfragen bedienen, als gefährdet ein, schon in der Standardkonfiguration, ob als Apache-Modul (höchstes Risiko) oder über PHP-FPM. Das betrifft einen Großteil aller Websites, von WordPress über TYPO3 bis zu Online-Shops, Webmail und Cloud-Diensten.