Betrifft die PHP-Sicherheitslücke meinen Mac? So prüfst du, ob PHP installiert ist

MacAktualisiert 2026-10-31

PHP2Shell betrifft deinen Mac nur, wenn PHP darauf installiert ist, und laut PHP-Handbuch ist PHP seit macOS 12 Monterey nicht mehr in macOS enthalten. Auf den meisten Macs ist es nur vorhanden, wenn du es selbst hinzugefügt hast oder ein Programm, das du installiert hast, es hinzugefügt hat. Im Terminal prüfst du das in unter einer Minute.

Kurze Antwort

Der PHP-Sicherheitshinweis vom 21. Oktober 2026 betrifft zwei kritische Lücken, CVE-2026-109618 und CVE-2026-109619, in PHP-Installationen, die Webanfragen verarbeiten. Laut PHP-Handbuch enthält macOS seit Monterey kein PHP mehr. Öffne das Terminal und gib php -v ein. Erscheint eine Version, aktualisiere PHP auf demselben Weg, auf dem du es installiert hast.

Ist PHP in macOS enthalten?

Bei aktuellen Versionen nicht, sagt das PHP-Handbuch. PHP war in macOS 10 und 11 enthalten, ist seit macOS 12 Monterey aber nicht mehr dabei. Für neuere Versionen braucht es laut Handbuch Pakete aus Drittquellen oder das Kompilieren aus dem Quellcode.

Die Versionshinweise von Apple, die wir geprüft haben, erwähnen PHP nicht. In den Hinweisen zu macOS Catalina 10.15 steht nur, dass Skriptsprachen wie Python, Ruby und Perl aus Kompatibilitätsgründen enthalten seien und künftige Versionen sie nicht mehr standardmäßig mitbringen. Die Quelle ist hier also das PHP-Handbuch, und ein Blick auf deinen eigenen Mac klärt es endgültig.

Wie prüfe ich, ob PHP auf meinem Mac installiert ist?

Mit dem Terminal, so wie es das PHP-Handbuch beschreibt. Laut der Dokumentation zur Kommandozeile zeigt php -v die PHP-Version an und ob es sich um die CLI- oder die CGI-Version handelt. Kommt eine Versionsnummer zurück, ist PHP installiert, und du kannst sie mit den korrigierten Versionen unten vergleichen.

Öffne im Finder den Ordner „/Programme/Dienstprogramme“ und doppelklick auf „Terminal“. Diesen Weg beschreibt Apple in seiner Terminal-Anleitung.
Gib php -v ein und drück den Zeilenschalter.
Lies die erste Zeile. Sie beginnt mit „PHP“ und einer Versionsnummer, zum Beispiel PHP 8.3.36.
Vergleich sie mit den korrigierten Versionen aus dem PHP-Hinweis: 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Alles Ältere in derselben Reihe braucht ein Update. PHP 8.1 und älter bekommen vom PHP-Projekt gar keine Updates mehr.

Wer hat auf dem Mac überhaupt PHP?

Vor allem Menschen, die Websites bauen oder testen. Die macOS-Seiten des PHP-Handbuchs beschreiben zwei Wege: Pakete von Drittanbietern oder das Kompilieren aus dem Quellcode. Als einfachen Weg nennt das Handbuch Homebrew (brew install php), als Alternativen MacPorts und Fink.

PHP hast du vielleicht auch, wenn:

du auf dem Mac PHP-Websites baust oder testest und PHP dafür installiert hast
du ein lokales Server-Programm installiert hast, das sein eigenes PHP mitbringt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät, bei Herstellern von Produkten mit Weboberflächen nachzusehen, ob sie betroffen sind und was sie empfehlen; das gilt sinngemäß auch für ein solches Programm
du den eingebauten Webserver von PHP (php -S) genutzt hast. Laut PHP-Handbuch ist er für die Anwendungsentwicklung gedacht, nicht für den Produktivbetrieb, und sollte nicht in einem öffentlichen Netz verwendet werden

Trifft nichts davon zu, bestätigt php -v es so oder so.

Ist das PHP auf meinem Mac wirklich gefährdet?

Das hängt davon ab, wie du es nutzt. Der PHP-Hinweis sagt, gefährdet seien alle PHP-Installationen, die Webanfragen verarbeiten, und nennt PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am höchsten ist das Risiko laut Hinweis bei mod_php, wo ein demonstrierter Exploit durch eine Anfrage ohne Anmeldung ausgelöst werden kann, noch bevor Anwendungscode läuft.

Zu PHP, das nur auf der Kommandozeile genutzt wird, sagt der Hinweis nichts. Wir können dir also nicht sagen, dass diese Nutzung sicher ist. Das BSI nennt als betroffene Versionen „alle PHP-Versionen“. Das Update ist auch auf dem Mac die einfache Antwort.

Zur Ausnutzung, Stand 23. Oktober 2026: Das BSI schreibt, ihm sei noch keine erfolgreiche Ausnutzung in der Breite bekannt; Berichte über Ausnutzungsversuche zeigten aber, dass Angriffe versucht werden. Die US-Behörde CISA schreibt in ihrer Warnung vom 21. Oktober, überarbeitet am 23. Oktober, sie habe zum Zeitpunkt der Veröffentlichung keine erfolgreiche Ausnutzung dieser Schwachstellen in freier Wildbahn beobachtet.

Wie aktualisiere ich PHP auf dem Mac?

Auf demselben Weg, auf dem du es installiert hast. Der PHP-Hinweis nennt als Ziel PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 und sagt, dass der Quellcode auf der Download-Seite von php.net liegt. Hast du PHP über einen Paketmanager installiert, aktualisiere es über diesen Paketmanager. Kam es mit einem lokalen Server-Programm, aktualisiere das Programm oder such beim Hersteller nach einer Version mit dem korrigierten PHP.

Geänderte Einstellungen sind keine Lösung. Laut Hinweis senken die genannten Maßnahmen das Risiko für bestimmte Angriffswege, machen eine Installation aber nicht sicher.

Nutzt du PHP 8.1 oder älter, aktualisiert das PHP-Projekt diese Versionen laut Hinweis nicht mehr und rät zum Wechsel auf eine unterstützte Version. Das PHP-Sicherheitsteam hat zwar minimale Korrekturen im Quellcode für 7.4, 8.0 und 8.1 veröffentlicht, die sind aber für Leute gedacht, die PHP selbst kompilieren.

Gib nach dem Update noch einmal php -v ein und prüf, ob sich die Versionsnummer geändert hat.

Führt Surfen auf dem Mac PHP aus?

Nein. Das PHP-Handbuch erklärt, dass PHP-Code auf dem Server ausgeführt wird, der dann das fertige HTML an deinen Browser schickt. Dein Browser bekommt nur das Ergebnis und sieht den PHP-Code nie. Eine Website zu lesen, die mit PHP gebaut ist, führt also kein PHP auf deinem Mac aus. PHP2Shell ist ein Problem des Servers, nicht deines Laptops.

Eine gehackte Website kann für Besucher trotzdem auf andere Weise ein Risiko sein, etwa mit gefälschten Anmeldeseiten oder schädlichen Downloads. Darum geht es in Kann eine gehackte Webseite dich beim Besuch hacken?

Wo Failshot passt

Failshot ist eine zweite Sicherheitsebene für deinen Mac. Dein Passwort ist die erste Ebene, Failshot ist die Ebene danach, für den Fall, dass jemand deinen Mac mit diesem Passwort entsperrt, während du nicht da bist.

Ist Failshot eingeschaltet, fotografiert es die Person, die deinen Mac entsperrt, nimmt mit Pro danach ein 5-Sekunden-Video auf, und sein Fenster sagt der Person, dass die Entsperrung fotografiert wurde. Schalte mit Pro Benachrichtigungen ein, und Failshot schickt dir eine E-Mail zu einer Entsperrung, die du nicht als deine bestätigst, zu einer falschen Failshot-PIN oder Antwort, oder wenn sein Kamerazugriff abgeschaltet wird, während es läuft. Zum Ausschalten oder Beenden über sein Menü braucht es Touch ID oder deine Failshot-PIN und deine Antwort, nie dein Mac-Passwort.

Failshot ist ein kostenloser Download für den Mac, ab macOS 14. Kostenlos nutzbar. Pro fügt Video, E-Mail-Warnungen und den verschlüsselten Tresor hinzu. Teste Failshot Pro für den Mac 7 Tage kostenlos auf failshot.app. Deine Karte wird bei der Anmeldung hinterlegt und am 8. Tag belastet, wenn du nicht vorher kündigst. Die App ist auf Englisch. Versionen für iPhone, Android und Windows folgen bald.

Weitere Fragen

Behebt ein macOS-Update PHP?

Laut PHP-Handbuch enthält macOS seit Monterey kein PHP mehr. Auf diesen Versionen wurde PHP also separat installiert und muss auf demselben Weg aktualisiert werden. Halte macOS trotzdem aktuell, aber geh nicht davon aus, dass es PHP aus einem Paketmanager oder einem lokalen Server-Programm mit aktualisiert.

Mein Mac läuft mit macOS Big Sur oder älter. Ist PHP dabei?

Möglich. Laut PHP-Handbuch war PHP in macOS 10 und 11 enthalten. Gib im Terminal php -v ein, sieh nach, ob eine Version erscheint, und vergleich sie mit den korrigierten Versionen aus den Schritten oben.

Gibt es nach dem 21. Oktober noch ein weiteres PHP-Problem?

Ja, ein separates und deutlich unwahrscheinlicheres, CVE-2026-115560, das das PHP-Projekt am 23. Oktober veröffentlicht hat. Unsere Erklärung zur PHP-Sicherheitslücke beschreibt es.