Website auf PHP2Shell testen, ohne Risiko und ohne Rechtsfragen

WindowsMacAktualisiert 2026-10-24

Der PHP-Sicherheitshinweis vom 21. Oktober 2026 nennt die Versionen, die PHP2Shell beheben: 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Diese Liste ist der Test. Liegt die PHP-Version deiner Website auf oder über der Korrektur für ihren Versionszweig, ist das Update eingespielt, das der Hinweis verlangt. Stand dieses Ratgebers: 23. Oktober 2026.

Kurze Antwort

Vergleich die PHP-Version deiner Website mit den korrigierten Versionen, lies die Hinweise deines Hosters und der Hersteller deiner Software, und such Geräte und Produkte in der Liste von NCSC-NL auf GitHub. Ein Scanner ersetzt das nicht. Die Korrektur ist das Update, und teste nur Websites, die dir gehören oder für die du eine Erlaubnis hast.

Was sollen Betreiber laut den offiziellen Stellen prüfen?

Keine der offiziellen Warnungen, die dieser Ratgeber zitiert, rät Privatleuten, einen Scanner laufen zu lassen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät Betreibern in seinem IT-Sicherheitshinweis (Version 1.2 vom 22.10.2026), die Patches einzuspielen und den Patchstand anhand des PHP-Hinweises zu verifizieren, mit dem Befehl php -v. Der PHP-Hinweis sagt, betroffen seien alle PHP-Installationen, die Webanfragen verarbeiten, und nur ein Update sei eine vollständige Lösung. Die US-Behörde CISA rät, jedes System mit PHP zu erfassen und auf die korrigierten Versionen zu bringen.

Für einen Blog, einen kleinen Shop oder eine Vereinsseite heißt das: zwei Prüfungen. Die Version deiner Website und die Hinweise der Firmen, deren Software oder Hosting du nutzt.

Wie prüfe ich meine PHP-Version?

Du brauchst die genaue Zahl, etwa 8.3.36, nicht nur „PHP 8“. Unser Ratgeber PHP-Version prüfen zeigt, wo du sie in WordPress und im Kundenmenü findest und was du deinen Hoster fragst, wenn du sie nicht siehst.

Auch eine neu aussehende Version gehört auf die Liste. Das BSI nennt als betroffene Versionen „alle PHP-Versionen“, und das britische National Cyber Security Centre (NCSC) rät, die Suche nicht auf veraltete PHP-Versionen zu beschränken.

Was ist mit Hinweisen von Hoster und Herstellern?

Dein Hoster betreibt den Server, also ist sein Hinweis oft die klarste Antwort. Such nach einer E-Mail, einer Statusseite oder einem Hilfeartikel zum PHP-Hinweis vom 21. Oktober, und prüf, ob darin die korrigierte Version für deinen Versionszweig steht. Steht da nichts, frag nach.

PHP steckt auch in anderen Produkten. Das BSI schreibt, Betreiber sollten prüfen, ob Firewalls, Router und andere Netzwerkkomponenten betroffen sind, besonders wenn sie eine Weboberfläche haben, die womöglich auf PHP basiert, und dass für Hersteller neue Firmware-Versionen mit gepatchtem PHP nötig werden können. Betreibst du zu Hause ein NAS oder einen Router mit Weboberfläche, ist der Sicherheitshinweis des Herstellers die richtige Stelle. Was Synology und QNAP sagen, steht in Synology und QNAP: die PHP-Sicherheitslücke auf dem NAS.

Was ist die Liste von NCSC-NL auf GitHub?

Das niederländische Nationale Zentrum für Cybersicherheit (NCSC-NL) führt ein öffentliches Verzeichnis unter github.com/NCSC-NL/php2shell. Das BSI verweist in seiner Warnung darauf und schreibt, die Liste betroffener Produkte befinde sich im Aufbau und werde laufend aktualisiert.

Das Verzeichnis beschreibt sich als operative Information zu CVE-2026-109618 und CVE-2026-109619. Es hat drei Teile: Listen von Softwareprodukten mit einer PHP-Abhängigkeit, die womöglich betroffen sind, Material zu Erkennung und Abhilfe, und Werkzeuge, mit denen die Dateien des Verzeichnisses erzeugt werden. Die Tabelle der letzten Änderungen zeigt Datum, Hersteller, Produkt, Version, einen Status für die beiden Lücken und Links. Als Status erscheinen unter anderem Fix, Vulnerable und Investigation.

So nutzt du die Liste: Such deine Produkte nach Hersteller und Produktname und folge dem Link zum Hinweis des Herstellers. Das Verzeichnis gibt ausdrücklich keine Garantie, dass die Liste vollständig oder richtig ist. Fehlt ein Produkt, heißt das also nicht, dass es nicht betroffen ist.

Kann ein Online-Scanner sagen, ob meine Website sicher ist?

Einiges, mit Grenzen. Das britische NCSC schreibt in seinem allgemeinen Leitfaden zu Schwachstellenscans, solche Scanner arbeiteten mit „fingerprinting“ oder „banner grabbing“: Sie sammeln Merkmale eines Systems und vergleichen sie mit bekannten verwundbaren Produkten. Automatisierte Scans könnten manuelle Verfahren wie Penetrationstests nicht ersetzen, Netzwerkscanner gingen in die Breite statt in die Tiefe, und es gebe Fehlalarme, bei denen eine nicht vorhandene Lücke gemeldet wird, sowie übersehene echte Lücken.

Für PHP2Shell gehört ein Scanner nicht zum Rat des PHP-Projekts, und die Korrektur ist das Update. Was ein Scan auch sagt: Entscheidend bleibt die genaue PHP-Version auf deinem Server. Widersprechen sich Scanner und Hoster, lass dir die Version vom Hoster schriftlich bestätigen.

Darf ich eine Website auf PHP2Shell testen?

Teste nur Websites, die dir gehören oder für die du eine klare Erlaubnis hast, und lass Exploit-Code nie gegen fremde Websites laufen. In Deutschland regelt § 202a des Strafgesetzbuchs das Ausspähen von Daten. Laut Gesetzestext macht sich strafbar, wer sich oder einem anderen unbefugt Zugang zu Daten verschafft, die nicht für ihn bestimmt und gegen unberechtigten Zugang besonders gesichert sind, und zwar „unter Überwindung der Zugangssicherung“. Die Strafe ist Freiheitsstrafe bis zu drei Jahren oder Geldstrafe. Daten im Sinne der Vorschrift sind laut Absatz 2 nur solche, die elektronisch, magnetisch oder sonst nicht unmittelbar wahrnehmbar gespeichert oder übermittelt werden.

Ob ein bestimmter Test unter diese Vorschrift fällt, hängt vom Einzelfall ab, und das können wir nicht beurteilen. In Österreich und der Schweiz gelten eigene Gesetze, die wir hier nicht wiedergeben. Liegt deine Website auf dem Server eines Hosters, frag ihn, bevor du mehr tust als die Version zu prüfen.

Weitere Fragen

Gibt es einen offiziellen PHP2Shell-Scanner?

Keine der unten genannten offiziellen Seiten bietet Privatleuten einen Scanner an. Das Verzeichnis von NCSC-NL enthält Material zu Erkennung und Abhilfe, beschreibt aber keinen Scanner. Die Antwort des PHP-Projekts ist das Update auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35.

Wurde PHP2Shell schon ausgenutzt?

Stand 23. Oktober 2026 schreibt das BSI, ihm sei noch keine erfolgreiche Ausnutzung in der Breite bekannt. Berichte über Ausnutzungsversuche zeigten aber, dass Angriffe versucht werden, auch automatisiert. CISA schreibt in ihrer Warnung vom 21. Oktober, überarbeitet am 23. Oktober, sie habe zum Zeitpunkt der Veröffentlichung keine erfolgreiche Ausnutzung dieser Schwachstellen in freier Wildbahn beobachtet, und CERT-EU berichtet, erste Proofs of Concept seien im Umlauf.

Mein Scan meldet eine Lücke. Was jetzt?

Vergleich deine PHP-Version mit den korrigierten Versionen und lass sie vom Hoster bestätigen. Ist sie nicht korrigiert, aktualisiere oder lass aktualisieren. Wirkt an der Website selbst etwas falsch, hilft Website gehackt, was tun?

Der Hoster sagt „gepatcht“, der Scanner widerspricht. Wer hat recht?

Scanner können laut NCSC Fehlalarme liefern, und die Korrektur hängt an der PHP-Version auf deinem Server. Lass dir die genaue Version nennen und vergleich sie selbst mit den korrigierten Versionen.

Behebt eine Firewall PHP2Shell?

Nein. Laut BSI könnte eine Web Application Firewall eine Ausnutzung verhindern oder erschweren, wenn sie passende Erkennungsregeln für die beiden Lücken hat. Vollständigen Schutz bieten laut BSI nur das Patchen oder die Trennung vom Internet.