PHP2Shell.help
Deutsch
Menü
Gepatchte Versionen für PHP 8.2–8.5 verfügbar Unabhängiges Community-Angebot · Fakten geprüft am 22. Oktober 2026

PHP2Shell-Checker / php end of life

PHP End of Life: Was PHP2Shell für PHP 7.4, 8.0 und 8.1 bedeutet

PHP 8.1 und älter haben ihr Support-Ende erreicht, deshalb veröffentlicht PHP keine gepatchten Versionen von 7.4, 8.0 oder 8.1 gegen PHP2Shell. Wegen des Schweregrads hat PHP aber minimale Quellcode-Patches für 7.4, 8.0 und 8.1 bereitgestellt, und einige Linux-Distributionen und Support-Anbieter liefern Pakete mit Backport. Dauerhaft hilft nur der Wechsel auf einen unterstützten Branch.

Redaktion von PHP2Shell.helpGeprüft Offizielle Quellen ↓

Gibt es einen PHP2Shell-Fix für PHP-Versionen am End of Life?

Nicht als Release. Der Sicherheitshinweis von PHP sagt sinngemäß: PHP 8.1 und älter erhalten keine Updates mehr vom PHP-Projekt. Einige Distributionen und LTS-Anbieter liefern Fixes per Backport; wenden Sie sich für Details an Ihren Anbieter oder wechseln Sie auf eine unterstützte Version.

Weiter heißt es dort: Wegen der Schwere dieser Sicherheitslücken habe das PHP-Sicherheitsteam minimale Quellcode-Backports für PHP 7.4, PHP 8.0 und PHP 8.1 bereitgestellt, für alle, die PHP aus dem Quellcode bauen oder keinen LTS-Anbieter haben.

Es gibt also drei verschiedene Dinge, die man nicht verwechseln sollte:

OptionGibt es das für 7.4 / 8.0 / 8.1?Für wen
Neues offizielles PHP-Release mit dem FixNein—
Offizieller minimaler Quellcode-PatchJaWer PHP aus dem Quellcode baut
Paket einer Distribution oder eines LTS-AnbietersBei manchen Anbietern (zum Beispiel ist das php8.1-Paket von Ubuntu 22.04 gepatcht)Server, die Pakete dieses Anbieters nutzen

Welche PHP-Versionen sind End of Life?

Den PHP2Shell-Fix erhalten die unterstützten Branches 8.2, 8.3, 8.4 und 8.5:

VersionszweigErste gepatchte Version
PHP 8.28.2.35
PHP 8.38.3.36
PHP 8.48.4.27
PHP 8.58.5.12
8.1 und älterKeine neue Version; offizielle Quellcode-Patches für 7.4, 8.0 und 8.1

PHP 8.1, 8.0, 7.4 und alles Ältere sind End of Life. Laut der Ankündigung von PHP endet auch der Support für PHP 8.2 am 31. Dezember 2026; ein Wechsel auf 8.2 trägt also nicht lange. Die ursprüngliche Forschung berichtet, dass mindestens eine PHP2Shell-Lücke bis PHP 5.4 zurückreicht.

Ich nutze PHP 7.4. Was soll ich tun?

  1. Klären Sie, woher Ihr PHP stammt. Liefert es Ihr Hoster oder Ihre Linux-Distribution, fragen Sie dort nach oder suchen Sie in deren Sicherheitsmeldung nach einem Paket mit Backport.
  2. Wenn Sie PHP selbst bauen, spielen Sie den offiziellen Quellcode-Patch für Ihren Branch ein, bauen Sie neu, rollen Sie aus und starten Sie alle PHP-Worker neu. Dokumentieren Sie Patch und Build.
  3. Planen Sie den Wechsel auf einen unterstützten Branch (8.3 oder neuer). Nur so erhalten Sie weiterhin Sicherheitsupdates.

Was, wenn ich PHP 7.3 oder älter nutze?

Für PHP 7.3 und älter gibt es keinen offiziellen PHP2Shell-Patch: Die Quellcode-Patches von PHP decken nur 7.4, 8.0 und 8.1 ab. Sofern Ihr Anbieter kein gepatchtes Paket für Ihr Release liefert, hilft nur der Wechsel auf einen unterstützten Branch. Wenn das nicht bald möglich ist, sollten Sie die Website vom Netz nehmen oder den Zugriff einschränken, wie es mehrere nationale Behörden für nicht aktualisierbare Systeme empfehlen.

Beweist eine Versionsnummer wie 7.4.33, dass ich verwundbar bin?

Allein nicht. Ein Paket mit Backport von Ihrem Anbieter oder Ihr eigener gepatchter Build behält die Nummer 7.4, enthält aber den Fix. Wenn Sie angeben, dass PHP aus einem Betriebssystempaket stammt oder aus dem Quellcode gebaut wurde, stuft der PHP-Versions-Checker die Version deshalb nicht als betroffen ein, sondern rät, den Patch beim Anbieter zu prüfen. Ein ungepatchter Upstream-Build von 7.4 ist betroffen.

Geht meine Website kaputt, wenn ich von PHP 7.4 auf 8.3 wechsle?

Das kann passieren. Sprünge über Hauptversionen entfernen alte Funktionen und ändern Verhalten; das trifft alte Plugins, Themes und eigenen Code. Legen Sie ein vollständiges Backup an, testen Sie auf einer Staging-Kopie, aktualisieren Sie zuerst Anwendung und Plugins und prüfen Sie nach dem Wechsel Login, Formulare, Zahlungen und geplante Aufgaben. Für WordPress siehe den Leitfaden WordPress-PHP-Version.

Kann ich hier einen PHP2Shell-Patch-Installer herunterladen?

Nein. Nutzen Sie die offiziellen Quellcode-Downloads und Backport-Branches, die in der Ankündigung von PHP verlinkt sind. Wie Sie sie einspielen, hängt von Ihrem Build, Ihren Erweiterungen und Ihrem Deployment ab; einen universellen Installer gibt es daher nicht. Wenn Sie PHP nicht selbst bauen möchten, nutzen Sie ein Anbieterpaket oder wechseln Sie auf ein unterstütztes Release.

Wie weise ich nach, dass ein eigener PHP-Build gepatcht ist?

Halten Sie die Quellcode-Revision, den eingespielten Backport-Branch, das Build-Datum und den Ort des Deployments fest. Prüfen Sie dann nach dem Neustart der Worker, ob die Website wirklich den neuen Build ausführt; php -v auf der Kommandozeile kann noch auf ein anderes Binary zeigen. Siehe die Anleitung PHP-Version prüfen und den Überblick beim PHP2Shell-Checker.

Welche Quellen belegen diese Seite?

Prüfen Sie Ihr PHP auf PHP2Shell

Geben Sie die Version ein, die Ihre Website meldet. Wir vergleichen sie mit der ersten gepatchten Version ihres Versionszweigs und sagen Ihnen, was als Nächstes zu tun ist.

PHP2Shell-Checker →

Quellen

Die Kernfakten dieser Seite (gepatchte Versionen, CVE-Details, Pakete der Anbieter und Warnungen von Behörden) stammen aus offiziellen Quellen. Forschung, Nachrichten und Community-Beiträge sind als solche gekennzeichnet.