Der Selbsttest liest die öffentlichen Antwortkopfzeilen Ihrer Website und vergleicht die gemeldete PHP-Version mit den Fix-Versionen für CVE-2026-109618 und CVE-2026-109619. Die Lücke selbst wird nicht angetestet.
Ohne Anmeldung · nur Kopfzeilen · keine Speicherung der geprüften Adresse| Ergebnis | Bedeutung | Nächster Schritt |
|---|---|---|
| Version enthält den Fix | Gemeldet wird 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer. | Andere Websites auf demselben Server einzeln prüfen; jede kann eine eigene PHP-Version nutzen. |
| Wahrscheinlich betroffen | Version unter dem Fix, ohne Distributionskennung — typisch für selbst gebautes PHP, Docker-Images und Hosting-Panels. | Aktualisieren, danach PHP-FPM bzw. Apache neu starten. Ohne Neustart läuft der alte Code weiter. |
| Backport möglich | Version mit Kennung wie -0ubuntu, +deb oder sury. Distributionen übernehmen Fixes, ohne die Versionsnummer anzuheben. | Prüfskript auf dem Server ausführen; es liest den Paket-Changelog auf die CVE-Nummern. |
| Zweig ohne Upstream-Fix | PHP 8.1 oder älter. php.net liefert für diese Zweige keinen Fix. | Umstieg auf 8.2 oder neuer planen; bis dahin Übergangsmaßnahmen aus dem Artikel. |
| Nicht erkennbar | Der Server nennt keine PHP-Version. Das heißt nicht, dass er sicher ist. | Direkt auf dem Server prüfen: php -v reicht bei Distributionspaketen nicht, das Prüfskript schon. |
Der Test wertet nur zwei Kopfzeilen aus. Er testet die Lücke nicht an und sendet keine Angriffsanfrage. Eine fehlende Versionsangabe ist kein Entwarnungssignal, sondern nur ein Zeichen für eine gehärtete Konfiguration.
Hinter einem CDN oder Reverse Proxy sehen Sie meist nur dessen Kopfzeilen, nicht die des PHP-Servers.
Steht die PHP-Version in den Kopfzeilen, hilft sie automatisierten Scannern bei der Zielauswahl. Diese Zeile in der php.ini entfernt die Angabe; wirksam nach dem Neustart von PHP-FPM bzw. Apache:
expose_php = OffDas schließt die Lücke nicht. Es ersetzt kein Update.
Das Prüfskript php2shell.sh läuft auf dem Server, liest jede installierte PHP-Version, den Paket-Changelog und ob der laufende Prozess nach dem Update neu gestartet wurde.
Hintergrund, Übergangsmaßnahmen und Erkennungsregeln stehen im Artikel PHP2Shell: prüfen, patchen, erkennen.
Wenn das Ergebnis unklar ist oder mehrere Server betroffen sind: Wir prüfen remote mit dem Skript, spielen das Update ein, starten PHP neu und liefern ein Prüfprotokoll als Nachweis.
ISO/IEC 27001 zertifiziert · Zertifikat 202787