KeyHelp PHP-Version prüfen und den PHP2Shell-Fix einspielen

Ist mein KeyHelp-Server von PHP2Shell betroffen?

Ihr KeyHelp-Server ist betroffen, solange auch nur eine PHP-Version darauf ungepatcht läuft. PHP2Shell sind zwei kritische Lücken in PHP selbst, CVE-2026-109618 und CVE-2026-109619. KeyHelp ist eine kostenlose Server-Verwaltung von Keyweb; auf einem KeyHelp-Server sind Sie als Administrator für die Updates zuständig. Die gepatchten Upstream-Versionen sind:

Wie Sie Ihr Ergebnis lesen, erklärt der PHP2Shell-Checker.

Was hat Keyweb zu PHP2Shell in KeyHelp gesagt?

Keyweb hat im offiziellen KeyHelp-Forum informiert (alle Zeiten MESZ). Am 21. Oktober 2026 um 11:25 Uhr veröffentlichte Alexander Mahr (Keyweb AG) die Ankündigung „Wichtig: Kritische PHP-Sicherheitslücken“. Die Kernpunkte:

• System-PHP-Version: Sie kommt vom Betriebssystem und wird von Debian bzw. Ubuntu gepatcht. Mit den KeyHelp-Standardeinstellungen werden solche Updates nur alle zwei Tage zwischen 3 und 4 Uhr eingespielt.
• Zusätzliche PHP-Interpreter: Keyweb baut sie selbst. Sie werden standardmäßig früh morgens zwischen 5 und 7 Uhr aktualisiert.
• EOL-Betriebssysteme: Debian 11 und älter sowie Ubuntu 20 und älter bekommen keine PHP-Updates mehr und müssen aktualisiert werden.

Im Thread „PHP Vulnerability-Fix heute 16 Uhr“ meldete Keyweb die gepatchten Interpreter als verfügbar: Debian 13 (8.2 bis 8.5) um 17:51 Uhr, Debian 12 um 18:07 Uhr, Ubuntu 24.04 um 18:20 Uhr und Ubuntu 22.04 um 18:36 Uhr. Pakete für ARM64-Systeme waren um 20:53 Uhr noch nicht für alle Betriebssystem-Versionen fertig; eine Fertigmeldung haben wir bis 22. Oktober 2026 nicht gesehen.

Wie sehe ich die PHP-Version in KeyHelp?

Das hängt davon ab, welches PHP Sie meinen:

• Zusätzliche PHP-Interpreter: Unter Konfiguration → PHP-Interpreter sehen Sie die installierten Interpreter. Hier zählt laut Keyweb die Versionsnummer, also zum Beispiel 8.4.27.
• System-PHP-Version: Hier bleibt die Nummer gleich. Keyweb rät, das Patchlevel zu prüfen, etwa mit apt-cache policy php8.3 unter Ubuntu 24.04. Gepatcht ist dort 8.3.6-0ubuntu0.24.04.13. Alternativ zeigt php -v das Build-Datum.
• Pro Domain: Welche Version eine Domain nutzt, legen Sie beim Bearbeiten der Domain fest. Das hat Keyweb mit KeyHelp 17.1 eingeführt; die Versionen gibt vorher der Administrator unter den PHP-Interpretern frei (KeyHelp 17.1).

Was eine Website tatsächlich nutzt, zeigt WordPress unter Werkzeuge → Website-Zustand → Bericht → Server.

Wie spiele ich den PHP2Shell-Fix in KeyHelp sofort ein?

Warten Sie nicht auf die nächtlichen Wartungsfenster. Laut Keyweb:

1. System-PHP aktualisieren: Wartungsintervalle → Server-Dienste aktualisieren oder keyhelp run package-update.
2. Zusätzliche Interpreter aktualisieren: Wartungsintervalle → PHP-Interpreter aktualisieren oder keyhelp run php-update. KeyHelp installiert dann nach und nach alle Versionen, die unter Konfiguration → PHP-Interpreter installiert sind. Laut Keyweb müssen Sie danach nichts weiter tun.
3. Domains umstellen: Stellen Sie Domains, die noch auf 7.4, 8.0 oder 8.1 laufen, auf einen gepatchten Interpreter um.

Läuft der Server auf Debian 11, Ubuntu 20.04 oder älter, kommt kein Patch mehr. Dann hilft nur ein Betriebssystem-Upgrade; Keyweb verweist dafür auf seine Anleitung zu Betriebssystem-Upgrades. Allgemeines zu Ubuntu und Debian: PHP unter Ubuntu aktualisieren.

Was gilt für WordPress auf KeyHelp, und was sage ich meinen Kunden?

WordPress auf einem KeyHelp-Server wird nur über PHP gepatcht; WordPress- und Plugin-Updates ändern daran nichts. Prüfen Sie nach dem Update jede Domain im Website-Zustand, denn jede Domain kann einen anderen Interpreter nutzen. Mehr: PHP2Shell und WordPress.

Mieten Sie den Server bei einem Anbieter mit KeyHelp als Managed-Dienst, fragen Sie dort nach, ob beide Update-Wege gelaufen sind. Hosten Sie selbst Kunden, nutzen Sie die Textvorlagen im PHP2Shell-Patch-Leitfaden. Kam das Update spät, gehen Sie Prüfen, ob Ihre Website gehackt wurde durch.

Was, wenn Domains auf KeyHelp alte PHP-Versionen brauchen?

Für die Interpreter 7.4, 8.0 und 8.1 hat Keyweb bis 22. Oktober 2026 keinen gepatchten Build angekündigt. Auf Nachfrage schrieb Keyweb am 21. Oktober, alte Versionen würden zeitnah aktualisiert, wenn das PHP-Team neue Aktualisierungen dafür herausbringt. PHP hat für diese Zweige nur minimale Quellcode-Patches veröffentlicht, keine neuen Versionen. Gehen Sie davon aus, dass ein KeyHelp-Interpreter 7.4, 8.0 oder 8.1 ungepatcht ist, bis Keyweb einen neuen Build meldet. Bis zum Umstieg helfen nur Übergangsmaßnahmen, die PHP2Shell nicht schließen. Planen Sie den Wechsel: PHP-End-of-Life und PHP2Shell.