Plesk PHP-Version prüfen, ändern und den PHP2Shell-Fix installieren

Ist Plesk von PHP2Shell betroffen?

Ja. Plesk schreibt, dass alle mit Plesk ausgelieferten PHP-Versionen von PHP2Shell (CVE-2026-109618 und CVE-2026-109619) betroffen sind, ebenso sw-engine, die PHP-Engine der Plesk-Oberfläche selbst. Eine Website auf Plesk bleibt betroffen, bis ihr PHP-Handler einen gepatchten Build nutzt. Die gepatchten Upstream-Versionen sind:

Die Meldung von Plesk ist der Knowledge-Base-Artikel Vulnerability CVE-2026-109618 and CVE-2026-109619: Remote code execution in PHP shipped with Plesk.

Wie sehe ich die PHP-Version in Plesk?

Plesk zeigt die PHP-Version an drei Stellen. Die Plesk-KB nennt die englischen Menünamen; in der deutschen Oberfläche können sie übersetzt sein.

1. Serverweit: Melden Sie sich an und öffnen Sie Tools & Settings > PHP Settings. Laut Plesk stehen die installierten Versionen in den Namen der Handler.
2. Pro Domain: Unter Websites & Domains steht die gewählte Version rechts auf der Domainkarte neben dem PHP-Symbol. Auf der PHP-Seite der Domain öffnen Sie Die phpinfo() Seite ansehen (Plesk: PHP-Einstellungen).
3. Per SSH (Linux): Plesk nennt als Beispiel für PHP 8.3 den Befehl /opt/plesk/php/8.3/bin/php -v. Die Ausgabe enthält das Build-Datum, das für die EOL-Versionen unten wichtig ist.

Welche Plesk-Version läuft, sehen Sie unter Home > System Overview oder mit plesk version (Plesk: How to install Plesk updates).

Hat Plesk gepatchtes PHP ausgeliefert?

Ja. Plesk hat seine Meldung am 20. Oktober 2026 veröffentlicht und zuletzt am 22. Oktober 2026 um 02:14 UTC aktualisiert. Plesk hat die Pakete für PHP 7.4, 8.0, 8.1, 8.2, 8.3, 8.4 und 8.5 neu gebaut:

Für Plesk für Windows nennt Plesk keine gepatchten Builds von 7.4, 8.0 oder 8.1. Für PHP 5.6, 7.2 und 7.3 empfiehlt Plesk den kostenpflichtigen TuxCare Extended Lifecycle Support.

Wie aktualisiere ich PHP in Plesk?

Plesk liefert die gepatchten PHP-Builds als Komponenten-Updates. Laut How to install Plesk updates gibt es zwei Wege:

1. In der Oberfläche: Gehen Sie zu Tools & Settings, klicken Sie auf Updates, dann auf der Seite Updates and Upgrades auf Update Components und Continue.
2. Per SSH oder RDP: Führen Sie plesk installer update aus (unter Windows in einer Eingabeaufforderung als Administrator).

Ist unter Tools & Settings > Update Settings die Option Automatically install Plesk updates aktiv, installiert Plesk Updates jede Nacht. Warten Sie für PHP2Shell nicht darauf. Für den sw-engine-Fix aktualisieren Sie auf 18.0.81 Update 4 oder 18.0.80 Update 11. Stellen Sie danach Domains, die noch auf 5.6, 7.2 oder 7.3 laufen, unter Websites & Domains > PHP auf einen gepatchten Versionszweig um. Mehr zur Umstellung pro Domain: PHP-Version in cPanel und Plesk ändern.

Bei Hostern mit Plesk-Unterbau, etwa netcup, spielt der Hoster diese Updates ein, nicht Sie.

Wie starte ich PHP neu und prüfe den Fix in Plesk?

Laut Plesk wird ein Dienst neu gestartet, wenn seine Komponente aktualisiert wird: Websites bleiben online, Plesk selbst kann ein paar Minuten offline sein. Für eine Domain mit dem dedizierten PHP-FPM-Handler können Sie den PHP-Hauptprozess auf der PHP-Seite der Domain auch selbst starten, anhalten oder neu starten (Plesk: PHP-Einstellungen).

Prüfen Sie danach:

• Jeden installierten Versionszweig mit php -v. Bei 8.2 bis 8.5 muss die gepatchte Version erscheinen, bei 7.4.33, 8.0.30 und 8.1.34 das Build-Datum 21. Oktober 2026, weil sich die Nummer nicht ändert.
• Was die Website meldet. In WordPress unter Werkzeuge → Website-Zustand → Bericht → Server (WordPress: Website-Zustand).

Was gilt für WordPress auf Plesk, und was frage ich meinen Hoster?

WordPress auf Plesk bekommt den PHP2Shell-Fix nur über den PHP-Build der Domain; das WordPress Toolkit oder Plugin-Updates ändern PHP nicht. Prüfen Sie jede Installation im Website-Zustand, denn Domains in einem Abonnement können verschiedene PHP-Versionen nutzen. Mehr: PHP2Shell und WordPress.

Haben Sie nur einen Plesk-Zugang ohne Administratorrechte, installiert Ihr Hoster die Komponenten-Updates. Fragen Sie ihn, ob die Plesk-PHP-Builds vom 21. Oktober 2026 installiert sind, ob sw-engine auf 18.0.81 Update 4 oder 18.0.80 Update 11 steht und ob die PHP-Dienste danach neu gestartet wurden. Eine fertige Nachricht steht im PHP2Shell-Patch-Leitfaden.

Was tun, wenn ich Plesk noch nicht aktualisieren kann?

Setzen Sie bis dahin die offiziellen Übergangsmaßnahmen von PHP auf Serverebene und starten Sie PHP neu: siehe Übergangsmaßnahmen gegen PHP2Shell. Sie verringern das Risiko, schließen PHP2Shell aber nicht. Die Plesk-KB nannte bei unserem letzten Abruf keine eigenen Übergangsmaßnahmen. Auch eine WAF vor Plesk ist kein Fix, denn sie filtert nur den Verkehr, der durch sie läuft, und PHP selbst bleibt verwundbar.

Was ist mit altem PHP 7.x auf Plesk?

Plesk für Linux hat gepatchte Builds von 7.4.33, aber PHP 7.4 ist End-of-Life und bekommt von PHP keine neuen Versionen mehr. Für 5.6, 7.2 und 7.3 hat Plesk keinen Fix und verweist auf den kostenpflichtigen TuxCare-Support. Stellen Sie diese Websites auf einen unterstützten Versionszweig um: PHP-End-of-Life und PHP2Shell.

Prüfen Sie Ihre Version anschließend mit dem PHP2Shell-Checker, folgen Sie dem PHP2Shell-Patch-Leitfaden und prüfen Sie, ob Ihre Website gehackt wurde, falls das Update spät kam.