PHP2Shell-Changelog: jede Änderung an unseren Fakten und Anleitungen

Was hat sich am 22. Oktober 2026 geändert?

• Checker: URL-Prüfung hinzugefügt. Geben Sie die Adresse einer Website ein, und der Checker liest die PHP-Version aus ihren Headern Server und X-Powered-By, nach der Logik von OpenAIs php2shell-checker, und bewertet sie dann nach den Regeln dieser Website. Er sendet eine HEAD-Anfrage und speichert nichts außer einem 5-Minuten-Cache. Die Datenschutzseite und die Nutzungsbedingungen wurden aktualisiert.
• Checker: Sie können jetzt die Ausgabe von OpenAIs php2shell-checker, eine Zeile von php -v oder einen X-Powered-By-Header in das Versionsfeld einfügen; der Checker liest die Version heraus und wendet seine üblichen Regeln an.
• Fakten: Die Seite zur Sicherheitslücke beantwortet jetzt, ob Node.js, Java oder andere Sprachen betroffen sind: Sie sind es nicht, PHP2Shell betrifft nur Server, die PHP ausführen.
• Anleitungen: Anleitungen für einzelne Setups hinzugefügt, jeweils auf Basis der Hinweise und Dokumentation des Anbieters: Verwaltungsoberflächen (Plesk, aaPanel, CyberPanel, CloudPanel, DirectAdmin, HestiaCP, 1Panel), Hoster (SiteGround, Hostinger, Kinsta, WP Engine, Cloudways, GoDaddy, Bluehost, AWS), Server (AlmaLinux/RHEL/Rocky, Amazon Linux 2023, Windows/IIS, LiteSpeed, XAMPP), Anwendungen (Magento, Drupal, Joomla, Laravel, Nextcloud, phpMyAdmin) und WAFs (Cloudflare, AWS WAF und andere). Die meisten davon gibt es bisher nur auf Englisch; die deutschen Anleitungen stehen auf der Patch-Seite.
• Fakten: Ergänzt, warum so viele Websites offline gingen (vorsorgliche Abschaltungen, über die Reuters berichtete), sowie die Schätzung von Unit 42 zur Zahl exponierter Systeme mit ihren Grenzen.
• Anbieter: 宝塔 (die chinesische Ausgabe von aaPanel) hat Fixes veröffentlicht: PHP 8.2–8.5 entsprechen den offiziellen gepatchten Versionen, und 宝塔 hat eigene gepatchte Builds 7.4.34, 8.0.27 und 8.1.35 paketiert. Der Checker behandelt 7.4.34 und 8.1.35 als gepatcht, wenn Sie „宝塔 / aaPanel“ als Quelle wählen. Er erkennt nur genau diesen Build: Eine höhere Nummer wie 8.0.30 ist ein altes Release von php.net ohne den Fix, und 8.0.27 ist ebenfalls eine alte Versionsnummer von php.net. Bei beiden werden Sie daher gebeten, den Stand in der Verwaltungsoberfläche zu prüfen, statt „gepatcht“ angezeigt zu bekommen.
• Fakten: Vier weitere nationale Warnungen ergänzt: CISA (USA), CERT-In (Indien), ACN / CSIRT Italia (Italien) und die Cybersicherheitsbehörde der Türkei. Die Liste umfasst jetzt 21 Warnungen aus 16 Ländern und Regionen; Italien und die Türkei sind als an der Quelle noch nicht verifiziert gekennzeichnet. Der Eintrag für Kanada verweist jetzt auf dessen Warnung AL26-026, die wir verifiziert haben.
• Fakten: CISA und das Canadian Centre for Cyber Security gaben an, zum Zeitpunkt ihrer Veröffentlichung keine Ausnutzung beobachtet zu haben. Der Status der Ausnutzung bleibt „Angriffsversuche beobachtet“, eine erfolgreiche Kompromittierung ist nicht bestätigt.
• Fakten: Den CVSS-4.0-Wert 9.2 für CVE-2026-109618 und CVE-2026-109619 aus den GitHub-Security-Advisories ergänzt.
• Fakten: Zwei offizielle Übergangsmaßnahmen für CVE-2026-109618 aus der Ankündigung von PHP ergänzt: das PHP-Speicherlimit aufheben und post_max_size verringern. Wie die anderen Übergangsmaßnahmen gelten sie nie als Fix.
• Fakten: Status der Ausnutzung auf „Angriffsversuche beobachtet“ aktualisiert. Cloudflare meldete schon vor dem Patch Angriffsverkehr und veränderte Payloads. Eine erfolgreiche Kompromittierung ist nicht bestätigt.
• Fakten: Die ersten Warnungen nationaler Cybersicherheitsbehörden ergänzt, jeweils mit dem Hinweis, ob wir sie an der Quelle verifiziert haben.
• Fakten: Die minimalen Quellcode-Patches von PHP für PHP 7.4, 8.0 und 8.1 bestätigt (keine neuen Versionen für diese Versionszweige).
• Anleitungen: Japanischsprachige Anleitungen für vier japanische Hoster hinzugefügt.
• Checker: Bewertungen beruhen nur auf den Angaben, die Sie in Ihrem Browser machen; die Website kontaktiert Ihren Server nie.
• CVE-Seiten: CVE-2026-109618 und CVE-2026-109619 beginnen jetzt mit einem Steckbrief der Sicherheitslücke, der aus unseren Daten erzeugt wird: CVSS, betroffene und gepatchte Versionen, betroffene Setups, Übergangsmaßnahmen, Stand der Ausnutzung, gepatchte Pakete der Distributionen und offizielle Quellen.
• Anleitungen: PHP2Shell und WordPress hinzugefügt, ein Selbsttest für Betreiber von WordPress-Websites.

Was stand in der ersten Version vom 21. Oktober 2026?

• Fakten: Gepatchte Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 aus der Sicherheitswarnung von PHP.
• Fakten: Details zu den Sicherheitslücken aus den Advisories GHSA-w8hw-w9fx-j79w und GHSA-6wmf-4rv5-p3rp.
• Fakten: Paketversionen der Anbieter aus den Sicherheitshinweisen von Ubuntu und Debian.
• Regeln: Versionsprüfung mit vier Bewertungen: Im betroffenen Bereich, Entspricht einer gepatchten Version, Patch des Anbieters prüfen, Noch nicht feststellbar.
• Anleitungen: Anleitung zum Patch mit einer Nachricht an Hoster sowie Anleitungen zu WordPress, cPanel und Plesk, Ubuntu und Debian, Docker, PHP-Versionen am Ende ihrer Unterstützung, Übergangsmaßnahmen und Prüfungen auf Einbrüche.

Was verfolgen wir für dieses Changelog?

Sicherheitswarnungen und Advisories von PHP, Hinweise der Betriebssystem-Anbieter, Ankündigungen von Hostern, nationale Cybersicherheitsbehörden und die ursprüngliche Forschung. Reine Formulierungsänderungen führen wir nicht auf; jede neue oder korrigierte Tatsache, Bewertungsregel oder jeder Anleitungsschritt wird aufgeführt.

Fehler gefunden?

Nennen Sie uns die Seite und einen Link zu Ihrer Quelle; wir korrigieren Fakten schnell und halten die Korrektur hier fest. Siehe Über PHP2Shell.help, oder gehen Sie zurück zum PHP2Shell-Checker.