Kostenloses Werkzeug · Stand 21.10.2026
Ist meine Website von PHP2Shell betroffen?
Geben Sie Ihre Adresse ein. Wir sehen nach, was Ihre Website jedem Besucher ohnehin zeigt – und sagen Ihnen ehrlich, was sich von außen nicht klären lässt.
14Jahre
unternehmerisch im IT-Betrieb, GmbH seit 2020
1.000+Arbeitsplätze
in laufender Betreuung
99,9 %Verfügbarkeit
der Cloud-Services, je Kalendermonat
7,4 Min.Ø Reaktionszeit
laut Ticketsystem (12 Monate, alle Tickets); vertraglich höchstens 15 Min., rund um die Uhr
ISO 27001Partner-Rechenzentren
in Deutschland – zertifiziert ist der Betreiber
Was das Werkzeug tut
Es zeigt Ihnen, was ein Angreifer sieht – nicht mehr und nicht weniger
Am 21. Oktober 2026 wurden zwei kritische Lücken in PHP veröffentlicht, zusammen „PHP2Shell“ genannt (CVE-2026-109618 und CVE-2026-109619, CVSS 9.2). Betroffen ist praktisch jeder Webserver, der PHP ausliefert – und damit jede Website auf WordPress, TYPO3, Joomla oder Drupal. Angriffe liefen schon, bevor der Patch verfügbar war.
Dieses Werkzeug ruft Ihre Startseite auf, wie es jeder Browser tut, und liest aus, was der Server dabei von sich aus preisgibt: Kopfzeilen, Cookies, Generator-Angaben, erkennbare Systeme. Daraus ergibt sich, ob dort PHP läuft und wie viel Ihre Website über ihre eigene Software verrät.
Was es ausdrücklich nicht tut: keinen Portscan, kein Abklopfen von Verzeichnissen, keinen Aufruf von Anmeldeseiten, kein Ausprobieren bekannter Lücken. Ein Schwachstellenscan auf ein fremdes System ohne Auftrag des Betreibers ist in Deutschland strafbewehrt. Ein Werkzeug, das jeder anonym auf jede Adresse loslassen kann, darf so etwas nicht anbieten.
Und der wichtigste Punkt: Die laufende PHP-Fassung ist von außen meistens nicht feststellbar, weil die meisten Hoster diese Angabe unterdrücken. Wo das so ist, steht hier „nicht feststellbar“ – und nicht „in Ordnung“. Eine Entwarnung, die auf fehlender Information beruht, wäre gefährlicher als gar keine Prüfung.
Ihr nächster Schritt
Unsicher, was das Ergebnis bedeutet?
Schicken Sie uns die kopierte Zusammenfassung. Wir sagen Ihnen, ob etwas zu tun ist – und wenn nein, auch das.
Die Prüfpunkte
Diese sechs Punkte werden geprüft
- Läuft dort PHP?
- Aus Kopfzeilen, Sitzungscookies und erkennbaren Systemen. Ist die Antwort ja, ist die Website von PHP2Shell grundsätzlich betroffen.
- PHP-Version
- Falls der Server sie nennt, wird sie gegen die am 21.10.2026 gepatchten Fassungen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 gehalten. Meist nennt er sie nicht.
- Redaktionssystem
- WordPress, TYPO3, Joomla oder Drupal – alle laufen auf PHP und brauchen zusätzlich eigene Updates.
- Softwarekennung nach außen
- Nennt der Server ungefragt Namen und Versionen seiner Software? Danach suchen Angreifer automatisiert.
- Verschlüsselung
- Werden unverschlüsselte Aufrufe zuverlässig auf https umgeleitet?
- Schutzkopfzeilen
- HSTS, Content-Security-Policy, X-Content-Type-Options und Referrer-Policy. Sie verhindern keinen Einbruch, erschweren aber die Folgen.
Geprüft am 21. Oktober 2026.
Häufige Fragen
Bin ich von PHP2Shell betroffen?
Wenn Ihre Website auf PHP läuft – und das tut sie bei WordPress, TYPO3, Joomla, Drupal und den meisten Shops –, dann ja. Betroffen sind PHP-Fassungen von 2012 bis heute. Entscheidend ist, ob auf eine der am 21.10.2026 veröffentlichten Fassungen aktualisiert wurde: 8.5.12, 8.4.27, 8.3.36 oder 8.2.35.
Wie finde ich heraus, welche PHP-Version meine Website nutzt?
Von außen meistens gar nicht, weil die Angabe unterdrückt wird. Zuverlässig steht sie im Kundenbereich Ihres Hosters unter „PHP-Version“ oder „PHP-Einstellungen“. Achten Sie auf die vollständige Nummer: „PHP 8.3“ genügt nicht, erst ab 8.3.36 ist die Lücke geschlossen.
Meine Website ist klein. Sucht da überhaupt jemand?
Ja. Gesucht wird automatisiert über das gesamte Netz, nicht nach Firmen, sondern nach verwundbarer Software. Eine kleine Website ist kein unauffälliges Ziel, sondern meist ein leichteres – weil sich seltener jemand kümmert.
Das Werkzeug sagt „nicht feststellbar“. Ist das gut oder schlecht?
Weder noch – es heißt genau das, was dasteht. Dass Ihr Server seine Version verschweigt, ist richtig und erschwert automatisierte Angriffe. Es bedeutet aber nicht, dass die gepatchte Fassung läuft. Diese Frage beantwortet nur ein Blick in den Server.
Scannt dieses Werkzeug meine Website auf Sicherheitslücken?
Nein, und das ist Absicht. Es ruft Ihre Startseite auf und liest, was sie ohnehin jedem zeigt. Kein Portscan, keine Verzeichnissuche, kein Aufruf von Anmeldeseiten. Ein echter Schwachstellenscan setzt einen Auftrag des Betreibers voraus.
Speichert ihr meine Eingabe?
Nein. Weder die geprüfte Adresse noch das Ergebnis noch Ihre IP-Adresse werden gespeichert. Eine Zählung je Adresse liegt für eine Stunde im Arbeitsspeicher, damit niemand das Werkzeug für Massenabfragen benutzt – ohne Verlauf, ohne Datei.
Was kostet eine richtige Prüfung?
Den einmaligen Quick-Check durch unser Team gibt es für 49 Euro. Dabei sehen wir uns an, was von außen nicht sichtbar ist: die tatsächliche PHP-Fassung, den Zustand der Erweiterungen und ob zwischen dem 20. Oktober und Ihrem Update etwas passiert ist. Sie bekommen das Ergebnis schriftlich.
Wir haben schon aktualisiert. Reicht das?
Der Patch schließt die Lücke, entfernt aber nicht, was vorher hereingekommen sein könnte. Angriffe liefen nachweislich schon vor Veröffentlichung des Patches. Wer in diesem Zeitfenster ein verwundbares System im Netz hatte, sollte die Protokolle ansehen.
Fundstellen
- PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit (Cybersicherheitswarnung 2026-297981-1032) – BSI
- Releases PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 – PHP Group
- PHP2Shell: Critical PHP RCE (CVE-2026-109618, CVE-2026-109619) – Sansec
Weiter: Was jetzt zu tun ist · Angriff erkennen · Website prüfen ohne Serverwissen · Soforthilfe