PHP2Shell-Check: PHP-Stand und offene Aufgaben klären

Welche PHP-Laufzeit ist korrigiert, welcher Nachweis fehlt und funktioniert nach dem Update noch alles? Der kostenlose PHP2Shell-Check hilft dir, diese Fragen getrennt zu beantworten. Beginne mit einer bekannten PHP-Version oder lasse sie zunächst offen. Danach kannst du bis zu zwölf Umgebungen mit ihren Belegen erfassen, Auffälligkeiten einordnen und Funktionen vor und nach einer Maßnahme dokumentieren.

Die Arbeitsakte eignet sich für Websitebetreiber, Agenturen und die Zusammenarbeit mit der zuständigen Administration. Sie läuft lokal im Browser, benötigt keine Anmeldung und fragt weder Kennwörter noch einen Serverzugang ab. Du erhältst eine Aufgabenliste, eine Supportvorlage und auf Wunsch eine Datei zum späteren Weiterarbeiten.

Was der Check aus deinen Angaben macht

1. Eine Laufzeit einordnen: Vollständige Version, Herkunft, Betriebsart und gegebenenfalls Herstellerbackport angeben. Eine CLI-Ausgabe bestätigt keinen Web-PHP-Stand. Die bekannten Upstream-Mindeststände sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12.
2. Getrennte Umgebungen festhalten: Für Web-PHP, CLI, Container oder weitere Installationen eigene Einträge mit Belegbezeichnung und Datum anlegen. Ein korrigierter Host aktualisiert nicht automatisch jedes Containerimage.
3. Öffentliche Anbieterquellen lesen: Der statische Datensatz unterscheidet Produkte, laufende Rollouts, Teilabschlüsse, Wiederherstellung und Schutzmaßnahmen. Ein Anbieterbericht ändert den Befund deiner eigenen Laufzeit nicht automatisch.
4. Beobachtungen dokumentieren: Ausgefallene Verwaltung, Formularfehler und 500/502 werden anders behandelt als unbekannte Administratoren, Weiterleitungen oder verdächtige Dateien. Die Auswahl eines Symptoms ist keine automatische Angriffsdiagnose.
5. Den Betrieb abnehmen: Seiten, Login, Upload, Formulare einschließlich Empfang, Checkout, Hintergrundaufgaben, API und Webmail-Anhänge vor und nach einer Änderung festhalten. Das Tool führt diese Tests nicht selbst aus.
6. Ein Arbeitsergebnis mitnehmen: Supporttext kopieren oder als TXT speichern, lesbaren Markdown-Bericht exportieren oder die JSON-Akte später wieder laden. Beim Import berechnet das Tool die Ergebnisse erneut.

Warum eine Versionsnummer allein nicht genügt

PHP2Shell bezeichnet CVE-2026-109618 und CVE-2026-109619. Maßgeblich sind die vollständige Paketversion und die tatsächlich laufenden PHP-Prozesse der betroffenen Website. Anbieter können beide Korrekturen in ein Paket mit älterer Grundversion übernehmen. Deshalb vergleicht das Tool die bekannten Upstream-Schwellen und bietet zusätzlich den exakten Abgleich dokumentierter Ubuntu-Pakete aus USN-8948-1 an. Ähnliche oder unbekannte Paketanhänge werden nicht als Fix geraten.

Ein installiertes Paket, ein wieder erreichbares Kundenmenü und eine Firewall sind unterschiedliche Nachweise. Bewahre die Herstellerbestätigung für beide CVEs und die Bestätigung des aktiven Prozessstands auf. Ein korrigierter Stand belegt nicht, dass vorher keine Kompromittierung stattgefunden hat. Auffälligkeiten gehören in eine gesonderte Untersuchung.

Wo du deine PHP-Version findest

In WordPress: Werkzeuge → Website-Zustand → Bericht → Server. In WooCommerce steht sie auch unter WooCommerce → Status → Serverumgebung. Lies die vollständige Nummer einschließlich Paketanhang ab. Wenn Kundenmenü oder Backend nicht erreichbar sind, kannst du mit „unbekannt“ beginnen und eine konkrete Anfrage an deinen Hoster vorbereiten. Eine zusätzliche öffentliche phpinfo()-Datei ist dafür nicht nötig.

Was mit deinen Eingaben geschieht

Die Akte wird im Arbeitsspeicher deines Browsers gehalten. Das Tool speichert sie nicht automatisch und lädt sie nicht auf einen Server hoch. Beim Schließen oder Neuladen gehen nicht exportierte Angaben verloren. Eine von dir gespeicherte JSON-Datei enthält deine Einträge; teile sie nur über einen passenden eigenen Kanal. Verwende kurze Belegbezeichnungen und keine Kennwörter, Kundendaten, Rohlogs oder Konfigurationsdateien.

Der Import akzeptiert ausschließlich das eigene Aktenformat bis 64 KiB und höchstens zwölf Laufzeiten. Unbekannte Felder und problematische Objektschlüssel werden abgelehnt. Das ersetzt weder eine Serverinventur noch eine Untersuchung durch die Administration.

Quellen und nächste Hilfe

Technischer Quellenstand: 21. Oktober 2026. Grundlage sind die Sicherheitsmeldung des PHP-Projekts und die verlinkten Herstellerinformationen. Der Abrufstand der Anbieterquellen steht im Werkzeug. Die Dateien aktualisieren sich nicht automatisch.

PHP2Shell-Ratgeber: aktuelle Hostermaßnahmen, Probleme und Soforthilfe · Hilfe bei einer auffälligen WordPress-Website · Laufende WordPress-Betreuung