PHP2Shell-Patch: gepatchte PHP-Versionen und so aktualisieren Sie

Welche PHP-Versionen enthalten den PHP2Shell-Patch?

Das sind die ersten gepatchten Versionen; jede neuere Version desselben Versionszweigs enthält den Patch ebenfalls. Linux-Distributionen übernehmen den Patch per Backport in ihre eigenen Pakete und behalten dabei oft eine älter wirkende Versionsnummer. Die folgende Tabelle führt auch Images, Verwaltungsoberflächen und Hoster auf, deren Status wir noch nicht verifiziert haben:

Für PHP 8.1 und älter erscheinen keine neuen Versionen. PHP hat minimale Quellcode-Patches für 7.4, 8.0 und 8.1 veröffentlicht, und einige Distributionen liefern gepatchte Pakete für diese Versionszweige aus; siehe PHP-End-of-Life.

Welche Anleitung zum PHP2Shell-Patch passt zu Ihrem Setup?

Alle Anleitungen zum Schließen von PHP2Shell auf Deutsch, nach Setup:

• Verwaltungsoberflächen: cPanel, Plesk, KeyHelp, froxlor
• Hoster: Strato, IONOS, ALL-INKL, Hetzner, netcup
• Server und Laufzeitumgebungen: Ubuntu und Debian, Docker, PHP 7.4, 8.0, 8.1
• Anwendungen: WordPress
• WAF und CDN: Cloudflare, AWS WAF, Fastly, Imperva und andere

Anleitungen für weitere Verwaltungsoberflächen, Hoster und Anwendungen gibt es derzeit nur auf Englisch.

Wie kommen Sie im Shared Hosting an den PHP2Shell-Patch?

Beim Shared Hosting installiert der Hoster PHP. Manche Hoster aktualisieren automatisch; andere bieten mehrere PHP-Versionen pro Website an, und den Fix erhalten Sie erst, wenn Sie eine gepatchte Version auswählen.

1. Prüfen Sie Ihre Version. In WordPress: Werkzeuge → Website-Zustand → Bericht → Server. Ansonsten in den PHP-Einstellungen der Verwaltungsoberfläche Ihres Hosters.
2. Vergleichen Sie sie mit den gepatchten Versionen oben oder nutzen Sie den PHP-Version-Checker.
3. Wechseln Sie auf eine gepatchte Version desselben Versionszweigs, wenn Ihre Verwaltungsoberfläche eine anbietet.
4. Fragen Sie andernfalls Ihren Hoster, mit der Nachricht unten.
5. Prüfen Sie die neue Version, sobald er geantwortet hat.

Einige Hoster haben ihre Verwaltungsoberflächen oder Service-Seiten vorsorglich vorübergehend abgeschaltet, zum Beispiel XServer und Lolipop in Japan. Wenn Ihre Verwaltungsoberfläche nicht erreichbar ist, sehen Sie auf der Statusseite oder in den Ankündigungen des Hosters nach, bevor Sie etwas ändern.

Was sollten Sie Ihrem Hoster schreiben?

Kopieren Sie diesen Text in ein Support-Ticket und ersetzen Sie die Teile in eckigen Klammern:

Guten Tag, meine Website [example.com] wird bei Ihnen gehostet. PHP hat Sicherheitsupdates für die PHP2Shell-Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619) veröffentlicht.

Könnten Sie mir bitte mitteilen:

1. Welche PHP-Version meine Website nutzt?
2. Ob sie auf eine gepatchte Version (8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer) oder auf ein Paket des Anbieters mit dem Fix aktualisiert wurde?
3. Ob anschließend alle PHP-Worker neu gestartet wurden?
4. Falls noch nicht: Wann das Update eingespielt wird und ob ich selbst etwas tun muss?

Vielen Dank.

Wenn Ihr Hoster sagt, die Website sei gepatcht, die Versionsnummer sich aber nicht geändert hat, fragen Sie, welches Paket oder welcher Sicherheitshinweis den Fix enthält; Backports von Distributionen können die alte Nummer behalten.

Kann ein PHP-Update meine Website lahmlegen?

Der Wechsel auf eine neuere Version desselben Versionszweigs (zum Beispiel von einer älteren 8.3-Version auf 8.3.36) bringt Fehler- und Sicherheitskorrekturen, keine neuen Funktionen, und legt Websites daher selten lahm. Ein Wechsel des Versionszweigs, etwa von 7.4 auf 8.3, kann ältere Themes, Plugins oder eigenen Code beschädigen: Erstellen Sie vorher ein Backup und testen Sie zuerst auf einer Staging-Kopie. Prüfen Sie nach dem Update nicht nur die Startseite, sondern auch Login, Formulare, Uploads, Zahlungen und geplante Aufgaben.

Wie prüfen Sie, ob der PHP2Shell-Patch wirkt?

• Starten Sie jeden PHP-Prozess neu. PHP-FPM-Pools und Apache führen das alte PHP so lange aus, bis sie neu gestartet werden.
• Prüfen Sie, was die Website meldet, nicht nur die Kommandozeile: im Website-Zustand von WordPress oder in Ihrer Verwaltungsoberfläche. php -v auf dem Server zeigt das PHP der Kommandozeile, das abweichen kann. Geben Sie das Ergebnis in den PHP-Version-Checker ein.
• Wiederholen Sie das für jede Website, jeden Worker-Pool und jeden Container. Eine gepatchte Website heißt nicht, dass die anderen es auch sind.
• Wenn Sie spät gepatcht haben, gehen Sie die Anleitung Prüfen, ob Ihre Website gehackt wurde durch. Der Patch schließt die Lücke, entfernt aber keine Hintertür.

Was tun, wenn Sie den PHP2Shell-Patch heute nicht einspielen können?

Nutzen Sie die offiziellen Übergangsmaßnahmen nur, um Zeit zu gewinnen: Sie verringern das Risiko über bestimmte Angriffswege, sind aber kein Fix und machen die Website nicht sicher. Siehe die Seite zu den Übergangsmaßnahmen gegen PHP2Shell. Wenn Sie nicht patchen können, raten mehrere nationale Behörden, die Website vom Netz zu nehmen oder zu isolieren, bis das möglich ist.

Wie erklären Sie den Patch Ihrer Geschäftsleitung oder Ihren Kunden?

Berichten Sie Fakten: welche Websites welches PHP nutzen, was aktualisiert wurde, was noch aussteht, wer zuständig ist und wann das nächste Update fällig ist. Trennen Sie „gepatcht“ von „auf Einbruch geprüft“. Beispiel: „Unsere Websites laufen auf PHP. Zwei kritische PHP-Sicherheitslücken wurden heute behoben; wir haben [N] Websites aktualisiert, [M] stehen bei unserem Hoster noch aus, voraussichtlich bis [Datum].“ Zurück zum PHP2Shell-Checker.

Welche Quellen belegen diese Seite?

• The PHP Group: Sicherheitswarnung und gepatchte Versionen
• GitHub-Advisory GHSA-w8hw-w9fx-j79w
• GitHub-Advisory GHSA-6wmf-4rv5-p3rp
• WordPress.org: PHP aktualisieren
• WordPress.org: Website-Zustand (Site Health)
• Canonical: Ubuntu-Sicherheitshinweis
• Debian: Sicherheitsankündigung
• cPanel: MultiPHP Manager
• Plesk: PHP-Einstellungen
• XServer: vorsorgliche Abschaltung der Verwaltungsoberfläche (X)
• Lolipop: Hinweis auf vorsorgliche Abschaltung (X)