Start / Wissen / PHP-Check

Sicherheitsupdate · 21. Oktober 2026

Läuft Ihre Website noch auf dem alten PHP?

Das PHP-Projekt hat zwei kritische Lücken geschlossen, inzwischen «php2shell» genannt, beide mit 9,2 von 10 Punkten bewertet. Ohne Update kann ein Angreifer ohne Passwort eigenen Code auf Ihrem Webserver ausführen. Betroffen ist fast jede WordPress-Website. Prüfen Sie in zehn Sekunden, was Ihre Website verrät.

Kostenlos · ohne Anmeldung · ein einziger Aufruf Ihrer Startseite

Stand: 22. Oktober 2026

Sicher ab

Diese Versionen sind korrigiert.

Sicher sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer. PHP 8.1 und älter erhalten vom PHP-Projekt keine Korrektur mehr, PHP 8.2 bekommt nach dem 31. Dezember 2026 keine Sicherheitsupdates mehr.

Kein Passwort nötig

Eine präparierte Anfrage an den Webserver kann reichen. Am höchsten schätzt das PHP-Projekt das Risiko bei Apache mit mod_php ein.

Nur das Update schützt

«Updating is the only safe choice», schreibt php.net. Geänderte Einstellungen senken das Risiko, machen eine Installation aber nicht sicher.

Nicht nur die Website

Das Bundesamt für Cybersicherheit rät, auch Anwendungen und Geräte mit PHP zu prüfen, etwa Netzwerkspeicher, Intranet oder Buchungssysteme.

Fragen

Häufige Fragen.

Wie funktioniert der Check?

Wir rufen die Startseite Ihrer Website ein einziges Mal auf, so wie es jeder Browser tut, und lesen die Angabe zur PHP-Version, die viele Server in ihrer Antwort mitschicken. Wir greifen nichts an, scannen nichts und speichern die geprüfte Adresse nur 15 Minuten im Zwischenspeicher.

Ihr Server verrät die PHP-Version nicht. Das ist gute Praxis, sagt aber nichts darüber, ob das Update eingespielt ist. In WordPress finden Sie die Version unter Werkzeuge › Website-Zustand › Bericht › Server. Oder Sie fragen Ihren Hoster.

Ja, in zwei Fällen. Manche Linux-Distributionen spielen Korrekturen ein, ohne die Versionsnummer zu ändern. Und vor einer Website kann ein anderer Server stehen als der, der die Seite erzeugt. Der Check ist ein schneller erster Hinweis, keine Garantie. Verbindlich ist die Bestätigung Ihres Hosters.

Nichts. Wir prüfen Ihre Website von Hand, sagen Ihnen, was zu tun ist, und ob Ihr Hoster das Update eingespielt hat. Ein Auftrag entsteht daraus nur, wenn Sie das wollen.

So heissen die zwei kritischen Lücken in PHP, die das PHP-Projekt am 21. Oktober 2026 geschlossen hat (CVE-2026-109618 und CVE-2026-109619). Beide sind mit 9,2 von 10 Punkten bewertet. Über sie können Angreifer ohne Passwort eigenen Code auf einem Webserver ausführen.

Quellen: php.net, Versionsmeldungen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 vom 21. Oktober 2026 · NSA Advisory: PHP Updates · Hintergrund bei Leitgrad. Der Check ist ein Hinweis ohne Gewähr.

Lieber direkt sprechen?

30 Minuten mit Merag Shahzad: Wir schauen gemeinsam, wo Ihre Website steht und was Ihr Hoster tun muss.