froxlor PHP-Version prüfen und PHP2Shell auf dem Server schließen

Ist mein froxlor-Server von PHP2Shell betroffen?

Ihr froxlor-Server ist betroffen, solange eine der darauf installierten PHP-Versionen ungepatcht ist. PHP2Shell sind zwei kritische Lücken in PHP selbst, CVE-2026-109618 und CVE-2026-109619. froxlor ist eine Server-Verwaltungsoberfläche, die PHP nicht selbst baut, sondern die PHP-Pakete Ihres Systems einbindet. Die gepatchten Upstream-Versionen sind:

Wie Sie Ihr Ergebnis lesen, erklärt der PHP2Shell-Checker.

Hat froxlor etwas zu PHP2Shell veröffentlicht?

Nein, bis 22. Oktober 2026 haben wir keine Meldung gefunden. Wir haben die Website froxlor.org, das offizielle froxlor-Forum und die Releases auf GitHub geprüft. Das jüngste Release, froxlor 2.3.16, erschien am 20. Oktober 2026 als Bugfix-Release und damit vor dem PHP-Patch vom 21. Oktober.

Das ist folgerichtig, denn bei froxlor kommt der Fix nicht vom Panel, sondern von den PHP-Paketen:

• Debian und Ubuntu haben gepatchte Pakete veröffentlicht, die oft die alte Versionsnummer behalten (Backport). Unter Ubuntu 24.04 ist php8.3 zum Beispiel ab 8.3.6-0ubuntu0.24.04.13 gepatcht (Ubuntu-Sicherheitshinweis, Debian-Sicherheitsankündigung).
• deb.sury.org, das die froxlor-Dokumentation für mehrere PHP-Versionen empfiehlt, führte bei unserem Abruf für Debian 12 die Pakete 8.2.35, 8.3.36, 8.4.27 und 8.5.12 sowie neu gebaute 5.6- bis 8.1-Pakete mit Datum 21. Oktober 2026 (Paketindex). Ob diese älteren Pakete den vollständigen Fix enthalten, haben wir nicht anhand von Changelogs geprüft.

Wie sehe ich die PHP-Version in froxlor?

In froxlor sehen Sie, welche PHP-Version eine Domain nutzen soll; welcher Build läuft, zeigt der Server. Laut der froxlor-Dokumentation PHP Versions & Configuration:

1. PHP-Konfigurationen: Jede PHP-Konfiguration wählt bei PHP-FPM die PHP-Version aus einer Auswahlbox. Bei FCGID steht stattdessen der Pfad zum Binary, etwa /usr/bin/php8.1-cgi.
2. PHP-FPM-Versionen: Für jede Version sind ein Neustart-Befehl (Beispiel aus der Doku: service php8.1-fpm restart) und das Pool-Verzeichnis hinterlegt, etwa /etc/php/8.1/fpm/pool.d/.

Mehrere PHP-Versionen und eigene Konfigurationen gehen laut froxlor nur mit PHP-FPM oder FCGID, nicht mit mod_php. Prüfen Sie auf dem Server für jede eingetragene Version den Build, etwa mit php8.3 -v, und den Paketstand mit apt-cache policy php8.3-fpm. Was eine Website tatsächlich nutzt, zeigt WordPress unter Werkzeuge → Website-Zustand → Bericht → Server.

Wie installiere ich den PHP2Shell-Fix auf einem froxlor-Server?

Sie aktualisieren die PHP-Pakete selbst und starten danach jede PHP-FPM-Version neu:

1. Installieren Sie die Updates über die Paketverwaltung, aus der Ihre PHP-Versionen stammen (Distribution oder deb.sury.org). Die Schritte stehen unter PHP unter Ubuntu aktualisieren.
2. Starten Sie jede PHP-FPM-Version neu, die in froxlor als PHP-FPM-Version eingetragen ist, mit dem dort hinterlegten Befehl. Ohne Neustart läuft das alte PHP weiter.
3. Vergessen Sie nicht das PHP, unter dem froxlor selbst und der Webserver laufen, und gegebenenfalls PHP-CLI für Cronjobs.
4. Prüfen Sie jede Domain erneut.

Läuft der Server auf einem Betriebssystem ohne Sicherheitsupdates, kommt kein gepatchtes Paket mehr; dann ist ein Upgrade nötig.

Was gilt für WordPress auf froxlor, und was sage ich meinen Kunden?

WordPress auf einem froxlor-Server wird nur über PHP gepatcht; WordPress- und Plugin-Updates genügen nicht. Weil jede Domain eine andere PHP-Konfiguration haben kann, prüfen Sie jede Installation im Website-Zustand. Mehr: PHP2Shell und WordPress.

Mieten Sie einen Server, auf dem ein Anbieter froxlor für Sie betreibt, fragen Sie ihn, ob alle PHP-FPM-Versionen aktualisiert und neu gestartet wurden. Betreuen Sie selbst Kunden, finden Sie Textvorlagen im PHP2Shell-Patch-Leitfaden. Haben Sie spät gepatcht, folgen Sie Prüfen, ob Ihre Website gehackt wurde.

Was, wenn Domains auf froxlor alte PHP-Versionen nutzen?

Für 7.4, 8.0 und 8.1 veröffentlicht PHP nur minimale Quellcode-Patches, keine neuen Versionen. Ob Ihre Paketquelle diese Zweige gepatcht hat, hängt von ihr ab und lässt sich nicht an der Versionsnummer ablesen. Bis zur Umstellung verringern Übergangsmaßnahmen das Risiko, schließen PHP2Shell aber nicht. Stellen Sie die PHP-Konfigurationen betroffener Domains auf 8.2 oder neuer um: PHP-End-of-Life und PHP2Shell.