PHP2SHELL · LOKALE ARBEITSAKTE · QUELLENSTAND 21.10.2026

PHP-Lücke.
Was ist jetzt
wirklich belegt?

Starte mit deiner PHP-Version. Halte danach getrennt fest, welche Laufzeiten korrigiert sind, was nicht funktioniert und welche Nachtests noch fehlen.

Für WordPress, Joomla, Drupal, PHP-Shops und andere PHP-Anwendungen, unabhängig vom Hoster. Deine Angaben bleiben im Arbeitsspeicher dieses Browsers. Ohne bewussten Dateiexport gehen sie beim Schließen verloren.

Version einordnen Arbeitsakte fortsetzen

01 · EINE LAUFZEIT

EINFACH
ANFANGEN.

Eine genaue Version ist ein Anfang. CLI, Web-PHP und Container können verschiedene Stände haben. Jede Umgebung bekommt bei Bedarf einen eigenen Eintrag.

Du bearbeitest: Website

In WordPress: Werkzeuge → Website-Zustand → Bericht → Server. Für andere Anwendungen den Web-PHP-Stand vom Hoster nennen lassen. Keine Kennwörter, Logs oder Konfigurationsdateien einfügen.

Umgebung, Hoster und Beleg ergänzen

Der Name ändert keinen PHP-Befund. Öffentliche Anbieterinformationen stehen darunter separat.

Nur die exakte Paketnummer im passenden Ubuntu-Profil wird mit USN-8948-1 abgeglichen. Ähnliche oder neuere Suffixe werden hier nicht geraten.

Nur eine Bezeichnung, keine Rohdaten oder Zugangsdaten.

Öffentliche Anbieterquellen ansehen

Ein Anbieterbericht ist kein automatischer Patchnachweis für deine Laufzeit. Der Datensatz ist statisch und wird beim Öffnen nicht nachgeladen.

02 · BEI BEDARF WEITERARBEITEN

DEINE LOKALE
ARBEITSAKTE.

Keine vollständige Inventur, kein automatischer Scan. Du hältst einzelne Nachweise und Beobachtungen fest und kannst sie später per JSON-Datei weiterbearbeiten.

Laufzeiten getrennt erfassen

Bis zu 12 manuell erfasste Umgebungen. Ein korrigierter CLI-Eintrag ändert den Web-PHP-Eintrag nicht.

Was beobachtest du gerade?

Mehrere Angaben sind möglich. Verdachtsmerkmale haben Vorrang vor der reinen Betriebsprüfung; sie sind keine automatische Diagnose.

Funktionen vor und nach der Maßnahme prüfen

Trage nur tatsächlich beobachtete Ergebnisse ein. Das Tool führt keine Tests oder Zahlungen aus. Beim Formular gehört der Empfang zur Prüfung; Checkout mit der zuständigen Person in einer geeigneten Testumgebung prüfen.

Eigene Beobachtungen vor und nach einer PHP- oder Schutzmaßnahme
FunktionVorherNachher
Akte exportieren oder wieder einlesen

JSON enthält deine Angaben und kann in diesem Tool wieder geladen werden. Ergebnisse werden dabei neu berechnet. Maximal 64 KiB; fremde Formate, unbekannte Felder und Objektschlüssel werden abgelehnt. Die Datei wird nicht hochgeladen.

Alternativ zur Dateiauswahl: Füge den Inhalt einer eigenen exportierten JSON-Akte ein. Keine Zugangsdaten, Kennwörter, Rohlogs oder Konfigurationsdateien einfügen. Der Text wird nur lokal geprüft; dieselbe Grenze von 64 KiB gilt.

03 · OFFIZIELLE FIXSTÄNDE

VIER ZWEIGE.
VIER FIXSTÄNDE.

Upstream-Mindeststände im jeweiligen Zweig. Herstellerbackports müssen anhand des vollständigen Pakets geprüft werden. Für PHP 8.1 und ältere Zweige sind Hersteller-/LTS-Nachweise erforderlich.

PHP 8.28.2.35
PHP 8.38.3.36
PHP 8.48.4.27
PHP 8.58.5.12

Quelle: PHP-Sicherheitsmeldung vom 21.10.2026. WAF-/CMS-Updates ersetzen die PHP-Korrektur nicht. Auch ein dokumentierter Fixstand beweist keinen unkompromittierten Zustand.