Was ist OpenAIs php2shell-checker?
php2shell-checker ist ein Open-Source-Tool, das OpenAI am 21. Oktober 2026 unter der Apache-2.0-Lizenz veröffentlicht hat, zeitgleich mit der koordinierten Bekanntgabe von PHP2Shell (CVE-2026-109618 und CVE-2026-109619). Es besteht aus einem kurzen Node.js-Skript mit zwei Modi:
- URL-Modus: Er schickt eine HEAD-Anfrage an eine Website und sucht in den Headern
X-Powered-ByundServernach einer PHP-Version. Nur wenn HEAD abgelehnt wird, weicht er auf GET aus; Weiterleitungen folgt er nicht, und den Seiteninhalt liest er nicht. - Lokaler Modus: Er führt
php -vauf dem Rechner aus und liest die Version.
Anschließend vergleicht das Tool die Version mit einer eingebauten Tabelle der jeweils letzten verwundbaren Version pro Branch, von 5.4 bis 8.5. Angriffsverkehr erzeugt es nicht: OpenAIs eigene Anleitung untersagt ausdrücklich Exploit-Tests.
Wie führe ich OpenAIs Checker aus?
Sie brauchen Node.js und eine Kopie des Repositories von GitHub. Im Ordner des Repositories:
- Auf Ihrem Server, um das Kommandozeilen-PHP zu prüfen:
node phpcheck.js --local - Gegen Ihre eigene Website:
node phpcheck.js "https://your-site.example" - Für maschinenlesbare Ausgabe ergänzen Sie
--json.
Nutzen Sie den URL-Modus nur für Websites, die Ihnen gehören oder die Sie betreuen. Das Kommandozeilen-PHP, das --local prüft, kann sich vom PHP unterscheiden, das Ihre Website ausliefert. Prüfen Sie deshalb auch, was die Website selbst meldet, in WordPress etwa unter Werkzeuge → Website-Zustand → Bericht → Server.
Was bedeuten OK, VULNERABLE und UNKNOWN?
| Ergebnis | Exit-Code | Was das Tool meint | Was Sie tun sollten |
|---|---|---|---|
OK | 0 | Die Version liegt über der letzten verwundbaren Version ihres Branches | Prüfen, ob Ihre Website diese Version nutzt und PHP neu gestartet wurde |
VULNERABLE | 1 | Die Version entspricht der letzten verwundbaren Version oder liegt darunter | PHP aktualisieren, sofern Ihr Anbieter den Fix nicht per Backport eingespielt hat (siehe unten) |
UNKNOWN | 3 | Keine Version gefunden, Branch nicht gelistet oder Vorabversion | Version im Control Panel oder auf dem Server prüfen |
UNKNOWN heißt nicht, dass Ihre Website sicher ist. Die meisten gut konfigurierten Server verbergen die PHP-Version in ihren Headern, deshalb liefert der URL-Modus oft UNKNOWN.
Wo kann OpenAIs Checker falsch liegen?
Das Tool vergleicht nur Versionsnummern, und OpenAI sagt das auch: Ein OK bestätige einen Sicherheitsfix nicht unabhängig. In der Praxis zählen drei Fälle:
- Backports der Distributionen: Ubuntu, Debian, Red Hat und andere patchen PHP-Pakete mit älteren Nummern. Ein gepatchtes
8.3.6-0ubuntu0.24.04.13erscheint trotzdem als VULNERABLE. Siehe PHP unter Ubuntu und Debian aktualisieren. - Build-Nummern von Control Panels und Anbietern: Bei alten Branches gilt jede Nummer über der Grenze als OK, auch Nummern, die PHP nie veröffentlicht hat. 宝塔 und aaPanel liefern gepatchte Builds wie 7.4.34 und 8.1.35, doch 8.0.27 ist sowohl ein 宝塔-Build als auch ein altes, ungepatchtes PHP-Release.
- Header: Ein Proxy oder CDN kann
X-Powered-Byverbergen oder umschreiben, und ein Server kann viele Websites mit unterschiedlichen PHP-Versionen hosten.
Wie kombiniere ich ihn mit dem PHP2Shell-Checker?
Fügen Sie die Ausgabe des Tools direkt in das Versionsfeld des PHP2Shell-Checkers ein. Er akzeptiert die --json-Ausgabe, eine Zeile wie OK: PHP 8.3.36, die Ausgabe von php -v oder einen Header wie X-Powered-By: PHP/8.3.36 und liest die Version heraus. Wählen Sie dann, woher Ihr PHP stammt, etwa aus einem Betriebssystempaket, von 宝塔 / aaPanel oder einem anderen Control Panel. So kann der Checker Backports und Panel-Builds berücksichtigen, die ein reiner Versionsvergleich übersieht. Die Prüfung läuft in Ihrem Browser, und nichts, was Sie einfügen, wird irgendwohin gesendet.
Die gepatchten Versionen sind:
| Versionszweig | Erste gepatchte Version |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| 8.1 und älter | Keine neue Version; offizielle Quellcode-Patches für 7.4, 8.0 und 8.1 |
Lautet das Ergebnis, dass Sie betroffen sind, folgen Sie dem PHP2Shell-Patch-Leitfaden für Ihr Setup. Suchen Sie nach dem Update mit der Checkliste zur Kompromittierung nach Spuren eines früheren Einbruchs.
Kann php2shell.help diese Prüfung für meine URL übernehmen?
Ja. Das URL-Feld im PHP2Shell-Checker liest die Header Ihrer Website mit derselben Logik und bewertet die Version dann mit den Regeln dieser Website. Das Tool selbst auszuführen lohnt sich auf dem Server, wo --local die Ausgabe von php -v liest.
OpenAIs Checker meldet OK. Ist meine Website damit sicher vor PHP2Shell?
Nicht unbedingt. OK bedeutet nur, dass die angegebene Version über der letzten verwundbaren Version ihres Branches liegt; den Fix selbst prüft das Tool nicht, und Header lassen sich verändern. Prüfen Sie, welche Version Ihre Website tatsächlich nutzt und ob alle PHP-Worker neu gestartet wurden.
Prüfen Sie Ihr PHP auf PHP2Shell
Geben Sie die Version ein, die Ihre Website meldet. Wir vergleichen sie mit der ersten gepatchten Version ihres Versionszweigs und sagen Ihnen, was als Nächstes zu tun ist.
PHP2Shell-Checker →Quellen
Die Kernfakten dieser Seite (gepatchte Versionen, CVE-Details, Pakete der Anbieter und Warnungen von Behörden) stammen aus offiziellen Quellen. Forschung, Nachrichten und Community-Beiträge sind als solche gekennzeichnet.
- php2shell-checker: check a website or local PHP binary for php2shellForschung OpenAI (GitHub)
- Security advisory: Critical remote code execution vulnerabilities, update nowOffiziell The PHP Group
- RCE via OOM corruptionOffiziell The PHP Group
- RCE via stale global stateOffiziell The PHP Group
- Site Health screenOffiziell WordPress.org