Was fragt der PHP-Version-Checker ab?
Fünf Angaben, und „Weiß ich nicht“ ist immer möglich:
| Feld | Was Sie eingeben | Wo Sie es finden |
|---|---|---|
| PHP-Version | Die vollständige Version, etwa 8.3 plus Patch-Nummer | Website-Zustand in WordPress oder die Verwaltungsoberfläche Ihres Hosters |
| Wie PHP läuft | PHP-FPM, Apache mod_php, CGI/LiteSpeed/FrankenPHP oder nur Kommandozeile | „PHP-SAPI“ im Website-Zustand von WordPress oder bei Ihrem Hoster |
| Installiert über | Release von php.net oder offizielles Docker-Image, Paket des Betriebssystems (Ubuntu, Debian), Hosting-Verwaltungsoberfläche oder selbst aus dem Quellcode gebaut | Ihr Hoster oder Ihre Serveradministration |
| Distribution und Paketversion | Nur für Pakete von Ubuntu oder Debian: das Release und die vollständige Paketversion | Die Paketverwaltung auf dem Server |
| Übergangsmaßnahme | Ob eine Übergangsmaßnahme wie session.upload_progress.enabled=0 aktiv ist | Ihr Hoster oder Ihre Serveradministration |
Welche Ergebnisse kann der PHP-Version-Checker liefern?
Eine von vier Bewertungen, die nur auf Ihren Angaben beruht:
| Ergebnis | Was es bedeutet |
|---|---|
| Im betroffenen Bereich | Dieses PHP ist älter als die erste gepatchte Version seines Versionszweigs. Aktualisieren Sie es. |
| Entspricht einer gepatchten Version | Version oder Paket entsprechen dem Fix oder sind neuer. Starten Sie PHP neu und prüfen Sie jede Website. |
| Patch des Anbieters prüfen | Das PHP stammt aus einer Distribution oder einem eigenen Build, in den der Fix per Backport übernommen sein kann, und Ihre Angaben reichen nicht aus, um das zu bestätigen. |
| Noch nicht feststellbar | Versionsformat, Versionszweig oder Setup reichen für eine Entscheidung nicht aus. |
Eine Übergangsmaßnahme erscheint als eigener Hinweis und macht aus einem Ergebnis nie „gepatcht“. Kein Ergebnis sagt aus, ob eine Website in der Vergangenheit gehackt wurde.
Wo finden Sie die PHP-Version, die Sie eingeben sollen?
Öffnen Sie in WordPress Werkzeuge → Website-Zustand → Bericht → Server (englisch: Tools → Site Health → Info → Server) und lesen Sie „PHP-Version“ und „PHP-SAPI“ ab. In einer Hosting-Verwaltungsoberfläche öffnen Sie die PHP-Einstellungen Ihrer Domain. Auf einem Server oder in einem Container zeigt php -v das PHP der Kommandozeile genau dieses Hosts oder Containers, das sich vom PHP Ihrer Website unterscheiden kann. Die Anleitung PHP-Version prüfen beschreibt jede Methode.
Warum fragt der Checker, wie PHP läuft?
Weil es bei PHP2Shell um PHP geht, das Webanfragen verarbeitet. Die Sicherheitswarnung von PHP nennt PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed und stuft mod_php als höchstes Risiko ein. Eine mit php -v abgelesene Version ist nicht unbedingt das PHP Ihrer Website. Wenn Sie „Nur Kommandozeile“ wählen, weist der Checker deshalb darauf hin, dass das Ergebnis nichts über die Website aussagt.
Warum fragt er nach Distribution und Paketversion?
Ubuntu, Debian und andere Distributionen patchen PHP in ihren eigenen Paketen und behalten die alte Upstream-Nummer. Ein gepatchtes Paket von Ubuntu oder Debian kann älter aussehen als 8.3.36 oder 8.4.27 und trotzdem den Fix enthalten. Mit dem Release und der vollständigen Paketversion vergleicht der Checker Ihre Angaben mit den Einträgen der Anbieter unten. Nur Zeilen mit dem Status „Gepatcht“ haben eine bestätigte gepatchte Paketversion; bei allen anderen lautet das Ergebnis „Patch des Anbieters prüfen“.
| Anbieter | Release | Paket | Gepatchte Paketversion | Status |
|---|---|---|---|---|
| Ubuntu | 22.04 | php8.1 | 8.1.2-1ubuntu2.28 | Gepatcht |
| Ubuntu | 24.04 | php8.3 | 8.3.6-0ubuntu0.24.04.13 | Gepatcht |
| Ubuntu | 26.04 | php8.5 | 8.5.4-0ubuntu1.5 | Gepatcht |
| Ubuntu | 26.10 | php8.5 | 8.5.9-0ubuntu2.1 | Gepatcht |
| Debian | 13 | php8.4 | 8.4.27-1~deb13u1 | Gepatcht |
| Docker Official Images | — | php | — | Nicht verifiziert |
| 宝塔 / aaPanel | — | PHP 7.4 | 7.4.34 | Gepatcht |
| 宝塔 / aaPanel | — | PHP 8.0 | 8.0.27 | Gepatcht |
| 宝塔 / aaPanel | — | PHP 8.1 | 8.1.35 | Gepatcht |
| 宝塔 / aaPanel | — | PHP 8.2–8.5 | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 | Gepatcht |
| XServer | — | PHP | — | Nicht verifiziert |
| ConoHa WING | — | PHP | — | Nicht verifiziert |
| ロリポップ！ | — | PHP | — | Nicht verifiziert |
| 1Panel | — | 1panel/php | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (-fpm) | Gepatcht |
Geprüft zwischen dem 21. Oktober 2026 und dem 22. Oktober 2026.
Wenn Ihr Release oder Paket nicht aufgeführt ist, lautet das Ergebnis „Patch des Anbieters prüfen“, nicht „betroffen“.
Kann der Checker meine Website per URL prüfen?
Ja, mit Einschränkungen. Geben Sie die Adresse in das URL-Feld ein. Unser Server sendet der Website dann eine HEAD-Anfrage, wie sie auch ein Browser stellt, und liest die Header Server und X-Powered-By so aus, wie es OpenAIs php2shell-checker tut. Steht dort eine PHP-Version, übernimmt der Checker sie und gibt seine übliche Bewertung ab, die Sie verfeinern können, indem Sie angeben, woher PHP stammt. Viele Websites verbergen den Header, und ein Header kann falsch sein oder einen Backport des Anbieters nicht erkennen lassen. „Nicht angezeigt“ bedeutet daher nie „gepatcht“. Prüfen Sie nur Websites, die Sie selbst betreiben oder testen dürfen. Geprüft werden nur öffentliche Websites auf den Ports 80 und 443, höchstens 10 pro Minute. Sie können auch die Ausgabe von OpenAIs Tool, eine Zeile von php -v oder einen X-Powered-By-Header in das Versionsfeld einfügen.
Wird etwas von dem, was ich eingebe, gesendet oder gespeichert?
Die Versionsangaben nicht. Die Bewertung wird in Ihrem Browser berechnet, und nichts von dem, was Sie eingeben, landet in der Adresse der Seite, sodass ein geteilter Link Ihre Angaben nie enthält. Nur die optionale URL-Prüfung sendet die eingegebene Adresse an unseren Server, der sie höchstens 5 Minuten in einem Cache behält. Siehe die Datenschutzseite.
Gilt ein Ergebnis für meine ganze Website?
Es gilt für die eine PHP-Instanz, die Sie geprüft haben. Websites mit mehreren Domains, Worker-Pools, Containern oder Servern können unterschiedliche PHP-Versionen nutzen. Prüfen Sie jede einzelne, und prüfen Sie erneut, nachdem Sie PHP aktualisiert und neu gestartet haben.
Was machen Sie mit dem Ergebnis?
- Im betroffenen Bereich: Folgen Sie der Anleitung zum PHP2Shell-Patch.
- Patch des Anbieters prüfen: Vergleichen Sie Ihr Paket mit dem Sicherheitshinweis Ihrer Distribution, siehe PHP unter Ubuntu aktualisieren.
- PHP 7.4, 8.0 oder 8.1: Lesen Sie PHP-End-of-Life und PHP2Shell.
- Sorge vor einem früheren Einbruch: Nutzen Sie die Anleitung Prüfen, ob Ihre Website gehackt wurde.
Zurück zur Übersicht des PHP2Shell-Checkers.
Welche Quellen nutzt der Checker?
Die gepatchten Versionen stammen aus den Sicherheitswarnungen von PHP, die Paketversionen der Anbieter aus den Sicherheitshinweisen von Ubuntu und Debian. Die Fakten wurden am 22. Oktober 2026 geprüft.
- The PHP Group: Sicherheitswarnung
- GitHub-Advisory: RCE via OOM corruption
- GitHub-Advisory: RCE via stale global state
- PHP-Handbuch: php_sapi_name
- WordPress.org: Website-Zustand (Site Health)
- Canonical: Ubuntu-Sicherheitshinweis
- Debian: Sicherheitsankündigung
Quellen
Die Kernfakten dieser Seite (gepatchte Versionen, CVE-Details, Pakete der Anbieter und Warnungen von Behörden) stammen aus offiziellen Quellen. Forschung, Nachrichten und Community-Beiträge sind als solche gekennzeichnet.
- Security advisory: Critical remote code execution vulnerabilities, update nowOffiziell The PHP Group
- RCE via OOM corruptionOffiziell The PHP Group
- RCE via stale global stateOffiziell The PHP Group
- php_sapi_nameOffiziell The PHP Group
- Site Health screenOffiziell WordPress.org
- USN-8948-1: PHP vulnerabilitiesAnbieter Canonical
- DSA-6574-1 php8.4 security updateAnbieter Debian Security Team