Hetzner PHP-Version in der konsoleH ändern: Stand zu PHP2Shell

Ist meine Website im Hetzner Webhosting von PHP2Shell betroffen?

Ihre Website ist betroffen, wenn sie mit einer PHP-Version läuft, die Hetzner noch nicht gepatcht hat. PHP2Shell steht für zwei kritische Lücken in PHP selbst, CVE-2026-109618 und CVE-2026-109619, und betrifft jede PHP-Website, auch WordPress. Im Webhosting und auf Managed Servern installiert Hetzner PHP und damit auch den Patch. Die gepatchten Upstream-Versionen sind:

Wie Sie Ihr Ergebnis lesen, erklärt der PHP2Shell-Checker.

Hat Hetzner PHP2Shell schon gepatcht?

Ja, für die meisten Versionen. Hetzner führt auf seiner Statusseite die Meldung „PHP Sicherheitslücken CVE-2026-109618 und CVE-2026-109619“, Beginn 21. Oktober 2026, 13:04 Uhr (alle Zeiten MESZ):

• 15:47 Uhr: Die eingesetzten PHP-Versionen sind betroffen; Hetzner wird patchen, sobald Patches da sind, und prüft Übergangsmaßnahmen.
• 16:34 Uhr: Hetzner hat begonnen, das Update auf konsoleH, Managed Server, Storage Share (Nextcloud), phpMyAdmin und Webmail auszurollen, und die von PHP vorgeschlagenen Übergangsmaßnahmen umgesetzt. Kunden von Dedicated und Cloud Servern werden gesondert per E-Mail informiert.
• 19:50 Uhr: PHP 7.4 sowie 8.0 bis 8.5 sind auf allen Webhosting- und Managed-Servern mit gepatchten Versionen aktualisiert. An Backports für ältere PHP-Versionen arbeitet Hetzner weiter.

Bei unserem Abruf stand die Meldung noch auf „Untersuchen“. Welche Builds genau laufen, nennt Hetzner nicht.

Wie sehe ich die PHP-Version in der konsoleH?

Sie sehen die PHP-Version in der konsoleH. Laut Hetzner Docs: PHP-Konfiguration:

1. Melden Sie sich in der konsoleH an und wählen Sie den Hosting-Namen.
2. Klicken Sie links auf Einstellungen; PHP-Konfiguration.
3. Dort steht die standardmäßig verwendete PHP-Version für alle .php-Dateien.

Bei Hetzner kann aber eine andere Version laufen als die dort eingestellte, und zwar auf zwei Wegen:

• Dateiendungen: Dateien mit .php56, .php73, .php74 bis .php85 werden mit genau dieser Version ausgeführt.
• .htaccess: Eine Zeile FcgidWrapper "/home/httpd/cgi-bin/php73-fcgi-starter.fcgi" .php stellt ein Verzeichnis auf eine bestimmte Version um.

Suchen Sie deshalb in Ihren Verzeichnissen nach FcgidWrapper-Zeilen und nach Dateien mit solchen Endungen, vor allem für 5.6 und 7.3. Was die Website wirklich nutzt, zeigt in WordPress Werkzeuge → Website-Zustand → Bericht → Server. Über SSH zeigt php -v die in der konsoleH eingestellte Version.

Wie wechsle ich bei Hetzner auf eine gepatchte PHP-Version?

Im Webhosting und auf Managed Servern spielt Hetzner die gepatchten Builds selbst ein; Sie müssen nur dafür sorgen, dass nichts mehr auf einer ungepatchten Version läuft:

1. Wählen Sie unter Einstellungen; PHP-Konfiguration eine Version zwischen 8.2 und 8.5 als Standard.
2. Ändern Sie FcgidWrapper-Zeilen in .htaccess-Dateien, die auf 5.6 oder 7.3 zeigen.
3. Benennen Sie Dateien mit .php56- oder .php73-Endung um oder entfernen Sie sie, wenn Sie sie nicht brauchen.

Hetzner weist darauf hin, dass nicht jede Einstellung für jede Version gilt. Prüfen Sie nach dem Wechsel die Website und die PHP-Einstellungen.

Cloud Server und Dedicated Server verwalten Sie selbst. Dort installieren Sie die gepatchten Pakete Ihrer Distribution und starten PHP-FPM neu: PHP unter Ubuntu aktualisieren.

Was gilt für WordPress bei Hetzner, und was frage ich den Support?

WordPress wird nur über PHP gepatcht; WordPress-, Theme- und Plugin-Updates schließen PHP2Shell nicht. Prüfen Sie jede Installation im Website-Zustand und vergleichen Sie den Versionszweig mit der Hetzner-Meldung. Mehr: PHP2Shell und WordPress.

Fragen Sie den Hetzner-Support, wenn eine Website noch 5.6 oder 7.3 braucht oder Sie unsicher sind:

1. Ist die PHP-Version meiner Website bereits gepatcht?
2. Wann kommen Backports für PHP 5.6 und 7.3?
3. Wurden die PHP-Prozesse nach dem Update neu gestartet?

Eine Vorlage finden Sie im PHP2Shell-Patch-Leitfaden. Hetzner rät außerdem, die eigenen Systeme auf verdächtige Aktivitäten zu überwachen; dazu passt Prüfen, ob Ihre Website gehackt wurde.

Was, wenn meine Website bei Hetzner alte PHP-Versionen nutzt?

PHP 7.4, 8.0 und 8.1 sind laut Hetzner bereits gepatcht, obwohl PHP für diese Zweige nur Quellcode-Patches und keine neuen Versionen veröffentlicht. Für 5.6 und 7.3 hat Hetzner bis 22. Oktober 2026 keinen Abschluss gemeldet. Alle diese Versionen bekommen von PHP keine regulären Updates mehr. Planen Sie den Umstieg auf 8.2 oder neuer: PHP-End-of-Life und PHP2Shell.