Kostenloser Online-Vulnerabilitätsprüfer, Matrix der minimal sicheren PHP-Versionen (8.5.12, 8.4.27, 8.3.36, 8.2.35) und Plattform-Reparaturanleitungen.
Passive Prüfung: Sendet eine einzelne zerstörungsfreie GET-Anfrage zur Prüfung der HTTP-Header. Kein Exploit, kein POST-Body.
Quelle: Upstream php.net Sicherheitsmitteilungen und GitHub Advisories (veröffentlicht am 21. Oktober 2026).
| PHP-Zweig | Verwundbarer Bereich | Erste behobene Version | Offizieller Status & Erforderliche Maßnahme |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | 8.5.12 | Aktiver Support — Upgrade auf 8.5.12+ |
| PHP 8.4 | < 8.4.27 | 8.4.27 | Aktiver Support — Upgrade auf 8.4.27+ |
| PHP 8.3 | < 8.3.36 | 8.3.36 | Aktiver Support — Upgrade auf 8.3.36+ |
| PHP 8.2 | < 8.2.35 | 8.2.35 | Nur Sicherheit (EOL Dez 2026) — Upgrade auf 8.2.35+ |
| PHP 8.6 | < 8.6.0RC4 | 8.6.0RC4 | Entwicklungs-RC — Nur zum Testen, nicht für Produktion |
| PHP 8.1, 8.0, 7.4 | Alle Versionen | Kein offizielles Release | End of Life (EOL) — Verwundbar, sofern kein Vendor-Backport vorliegt |
| PHP 5.4 – 7.3 | Alle Versionen | Kein Fix verfügbar | Legacy Verwundbar — Kein Fix verfügbar — session.upload_progress deaktivieren |
Ubuntu, Debian und RHEL portieren Sicherheitskorrekturen zurück, ohne die Upstream-Versionsnummer zu ändern (z.B. Ubuntu 22.04 liefert 8.1.2-1ubuntu2.28). Prüfen Sie vor Panik Ihr Paket-Changelog mit unserem Leitfaden.
Befolgen Sie diese Schritte in strikter Reihenfolge. Nichts anderes bietet vollständigen Schutz vor PHP2Shell.
Prüfen Sie Webserver, Docker-Container, Basis-Images und Staging-Umgebungen. Beachten Sie, dass Ihre CLI-Version (php -v) von der tatsächlich von PHP-FPM oder Apache genutzten Version abweichen kann.
Inventarbefehle anzeigen →Aktualisieren Sie auf offizielle Releases: 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. Die Aktualisierung von CMS-Plugins (WordPress, Drupal, Laravel) behebt KEINE Core-Laufzeitschwachstellen.
Plattformanleitung wählen →KRITISCHER SCHRITT: Aktualisierte Binärdateien werden erst geladen, wenn die Worker-Pools neu gestartet werden. Starten Sie PHP-FPM, Apache, FrankenPHP und Queue-Worker sofort neu.
Bestätigen Sie, dass der aktive Webserver die behobene Version meldet. Prüfen Sie Zugriffsprotokolle seit Anfang Oktober 2026 auf abnormale Multipart-Upload-Abstürze.
Diagnose erneut durchführen →Schritt-für-Schritt-Aktualisierungsbefehle, Changelog-Verifizierung und Dienst-Neustarts maßgeschneidert für Ihre Infrastruktur.
Paketversionen mit dpkg prüfen, CVE-Changelog-Backports verifizieren, mit apt-get aktualisieren und php-fpm-Pools sicher neu starten.
Ubuntu / Debian Leitfaden lesenContainer aktualisieren sich nicht von selbst. Offizielle gepatchte Basis-Images ziehen (z.B. php:8.3.36-fpm), Compose-Stacks neu bauen und sauber bereitstellen.
Docker Leitfaden lesenEasyApache 4 Multi-Versions-Setups und CloudLinux alt-php Pakete prüfen. RPM-Changelog-Backports verifizieren und via dnf/yum aktualisieren.
cPanel Leitfaden lesenSo schützen Sie WordPress-Websites auf Shared Hosting ohne Root-Zugriff. Support-Ticket-Vorlagen und temporäre WAF-Mitigation.
WordPress Leitfaden lesenNotfall-Edge-Filter bereitstellen, bevor Backend-Patches geplant werden können. WAF-Ausdruckssyntax und Limits der Body-Inspektion.
Cloudflare WAF Leitfaden lesenKopierfertige Terminal-Befehle für RHEL, Plesk, aaPanel und FrankenPHP zur Überprüfung aktiver Laufzeit-Builds.
Zu den Befehlen springenFühren Sie diese Befehle per SSH auf Ihren Servern aus, um die tatsächlich aktive PHP-Paketversion zu ermitteln:
dpkg -l 'php*' 'libapache2-mod-php*' | grep ^ii
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php*-common/changelog*rpm -qa | grep -Ei "^(php|ea-php|alt-php)" | sort
rpm -q --changelog php-common | grep -E "CVE-2026-10961[89]"docker exec -it <container_name> php -v
docker exec -it <container_name> php -m | grep sessionNicht unbedingt. Das Verbergen von X-Powered-By versteckt nur das Versions-Banner; es behebt die Schwachstelle nicht. Führen Sie die CLI-Befehle direkt auf Ihrem Server aus.
Nein. Er sendet eine einzelne normale GET-Anfrage zur Prüfung der HTTP-Header. Es werden keine Exploit-Payloads, keine POST-Bodys und keine Pfadscans durchgeführt.
Ja. Das Deaktivieren von session.upload_progress.enabled = Off in Ihrer globalen php.ini und das Neuladen von PHP-FPM unterbindet den primären UAF-Angriffspfad. php.net empfiehlt jedoch ein Core-Update als einzige vollständige Lösung.
Paketaktualisierungen aktualisieren nur Dateien auf der Festplatte. Laufende Worker-Prozesse behalten den verwundbaren Code im RAM, bis die Dienste neu gestartet werden.
Nein. Zwar können WAF-Regeln bekannte Exploit-Signaturen blockieren, Angreifer können jedoch Multipart-Boundaries auffüllen oder Chunk-Größen manipulieren, um die WAF-Inspektion zu umgehen.
Ja. Alle PHP-Versionen von 5.4 bis 8.5 sind strukturell anfällig für den RFC1867 Upload-Progress UAF. Da 7.4 und 8.0 EOL sind, müssen Sie Vendor-Backports anwenden oder Upload-Progress deaktivieren.
Reine CLI-Ausführungen ohne Multipart-POST-Verarbeitung sind in der Regel nicht exponiert. Web-zugängliche SAPIs (PHP-FPM, Apache mod_php, FrankenPHP, Swoole) sind jedoch voll verwundbar.
Nein. Sicherheits-Plugins werden im PHP-Userland ausgeführt, NACHDEM die Engine Multipart-Anfragen analysiert hat. Die Schwachstelle wird im nativen C-Code ausgelöst, bevor irgendein Plugin aktiv wird.
Technische Analyse, wie PHP2Shell ASLR-geschützte Systeme ohne interaktives Speicherleck angreift: PIE-Lücken, fork()-Vererbung, Distributionsmatrix und Crash-Throttling als Gegenmaßnahme.
Telemetrie aus Honeypots in Frankfurt und Silicon Valley: Wie Angreifer PHP2Shell ohne komplexe Info-Leaks zu automatisierter RCE waffenisierten – inklusive typischer Fehler bei der Incident-Analyse.
C-Code-Analyse von CVE-2026-109619: php_session_rfc1867_callback cached rohe zval-Zeiger in globalem Zustand und erzeugt beim Session-Reset einen Use-After-Free mit anschließendem Heap-Write.
Technische Warnmeldung zu PHP2Shell (CVE-2026-109618 und CVE-2026-109619). Nicht authentifizierte RCE im PHP-Kern, CVSS 9.2, betroffen sind PHP 5.4–8.5. Behoben in 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Schritt-für-Schritt-Mitigation für CVE-2026-109618 und CVE-2026-109619: unterbrechungsfreie php.ini-Härtung, Nginx-Grenzregeln und Notfall-Backport für EOL-PHP 8.1 (Commit 1d7dec1).
Architekturanalyse der PHP2Shell-RCE-Kette: ZMM-Bin-Wiederverwendung, 16-Byte-Fake-zval, ASLR-Umgehung und vtable-Hijacking bis zum system()-Aufruf im Worker-Kontext.
Analyse kompakter PHP2Shell-Payloads: Warum funktionale RCE unter 500 Byte passt, weshalb Längenregeln und Regex-Signaturen scheitern und wie Multipart-Grenzen ausgenutzt werden.
Defensives Engineering für PHP2Shell: einsatzfertige Suricata-Signaturen (SID 10261092), Falco-Regeln gegen Shell-Spawns sowie Linux-Auditd-Konfiguration für forensische Nachvollziehbarkeit.
End-to-End-Playbook für DevOps und Security-Architekten gegen PHP2Shell (CVE-2026-109618 / CVE-2026-109619): Nginx-Grenzregeln, Coraza/ModSecurity-Patches und systemd-Sandboxing.
Kernel-Härtung für PHP-FPM: Wie Seccomp-BPF execve, fork und clone blockiert, sodass PHP2Shell-RCE im Kernel scheitert – inklusive Docker-, Kubernetes- und Tetragon-Konfiguration.