Ist meine Website von PHP2Shell betroffen? So prüfen Sie es in 15 Minuten

Ob Ihre Website von PHP2Shell betroffen ist, entscheidet die PHP-Version auf dem Server, nicht das CMS. Sicher sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie Pakete Ihrer Linux-Distribution, in die der Fix zurückportiert wurde. Die Version finden Sie in wenigen Minuten im Hosting-Kundenbereich, im WordPress-Menü „Website-Zustand“ oder mit dem Befehl php -v.

Hintergründe zur Lücke stehen im Beitrag PHP2Shell: Was Unternehmen jetzt wissen müssen. Hier geht es nur um die Frage: Bin ich betroffen, und was muss ich tun?

Schritt 1: Läuft Ihre Website überhaupt mit PHP?

WordPress, TYPO3, Joomla, Drupal, Contao, Shopware, Magento und viele Baukästen bei klassischen Hostern nutzen PHP. Websites mit reinen Baukastensystemen großer Plattformen oder modernen JavaScript-Frameworks oft nicht. Im Zweifel fragen Sie Ihren Webdesigner oder Hoster.

Schritt 2: PHP-Version herausfinden

Im Hosting-Kundenbereich

Bei den meisten Hostern finden Sie die PHP-Version unter „PHP-Einstellungen“, „PHP-Version“ oder in den Einstellungen des Webspace. Notieren Sie die vollständige Versionsnummer, also zum Beispiel 8.3.36 und nicht nur 8.3.

In WordPress

Unter „Werkzeuge → Website-Zustand → Bericht → Server“ zeigt WordPress die PHP-Version an. Auch hier zählt die vollständige Nummer.

Auf eigenen Servern

Mit dem Befehl php -v auf der Kommandozeile. Achtung: Die Version des Webservers kann von der Kommandozeilen-Version abweichen. Prüfen Sie im Zweifel die vom Webserver genutzte Version. Bei Linux-Distributionen wie Debian oder Ubuntu sagt die Versionsnummer allein wenig, denn Fixes werden oft in ältere Pakete zurückportiert. Maßgeblich ist der Sicherheitshinweis Ihrer Distribution.

Schritt 3: Version bewerten

Schritt 4: Hoster oder Dienstleister fragen

Schicken Sie eine kurze E-Mail: „Ist PHP auf unserem Webspace bzw. Server gegen CVE-2026-109618 und CVE-2026-109619 (PHP2Shell) gepatcht? Bitte mit Versionsnummer.“ Eine schriftliche Antwort hilft auch bei der Dokumentation, etwa gegenüber Datenschutzbeauftragten.

Schritt 5: Geräte nicht vergessen

Firewalls, Router, VPN-Gateways und Netzwerkspeicher (NAS) haben oft eine Weboberfläche mit PHP. Das BSI nennt unter anderem Produkte von OPNsense, pfSense, QNAP und Synology als mindestens teilweise betroffen. Prüfen Sie, ob der Hersteller ein Firmware-Update bereitstellt, und spielen Sie es ein. Weboberflächen solcher Geräte sollten grundsätzlich nicht aus dem Internet erreichbar sein.

Schritt 6: Nach Spuren schauen

Gab es zwischen dem 17. und dem Tag Ihres Updates Auffälligkeiten? Neue PHP-Dateien, unbekannte Benutzer, plötzliche Fehler? Was dann zu tun ist, steht in Website gehackt? Anzeichen erkennen und richtig reagieren.

Unsicher, ob Ihre Website, Ihr Online-Shop oder Ihre Geräte betroffen sind? Melden Sie sich bei uns. Wir prüfen Ihre Systeme, spielen Updates ein und sagen Ihnen ehrlich, was zu tun ist – auch wenn sich herausstellt, dass alles in Ordnung ist. Für den Anfang genügt ein kurzes Gespräch.

Häufig gestellte Fragen

Wie finde ich meine PHP-Version?

Im Hosting-Kundenbereich unter den PHP-Einstellungen, in WordPress unter Werkzeuge → Website-Zustand → Bericht → Server, oder auf eigenen Servern mit dem Befehl php -v.

Meine Website ist mit einem Baukasten erstellt. Muss ich etwas tun?

Bei großen Baukasten-Plattformen kümmert sich der Anbieter um die Server. Fragen Sie im Zweifel nach. Betreiben Sie zusätzlich eigene Geräte mit Weboberfläche, prüfen Sie diese separat.

Mein Server nutzt PHP 8.1. Was nun?

PHP 8.1 erhält keine regulären Updates mehr. Für PHP2Shell gibt es zwar Backport-Patches, langfristig sollten Sie aber auf eine unterstützte Version umsteigen. Mehr dazu im Beitrag über veraltete PHP-Versionen.

Stand: 24. Oktober 2026. Quelle: BSI-Sicherheitshinweis zu PHP2Shell.