Zum Hauptinhalt springen

PHP2Shell Checker

Prüfen Sie Ihre Website und PHP-Version kostenlos auf bekannte PHP2Shell-Patchstände. Online-Schnellcheck ohne Installation oder Advanced mit PHP-Script – ohne Registrierung, mit verständlichen Handlungsempfehlungen.

Ein Tool von comm-IT · Fachlicher Stand: · Für Website-Betreiber, Administratoren und Hosting-Kunden

Was verrät Ihre Website?

Website eingeben und öffentlich gemeldete PHP-Version prüfen. Ohne Installation, mit einer ersten Einschätzung und klaren nächsten Schritten.

Nur öffentliche HTTPS-Websites mit IPv4. Pfade sind möglich; URL-Parameter und Fragmente werden entfernt.

Die Adresse wird zur Prüfung an unseren Server gesendet. Wir lesen nur Antwort-Header normaler GET-Anfragen, bei Weiterleitungen maximal vier Anfragen. Ergebnisse werden nicht als öffentliche Berichte gespeichert. Beim Zielserver können Zugriffslogs entstehen.

PHP-Version bereits bekannt? Manuell prüfen

Die Eingabe bleibt im Browser. Die PHP-Version der Kommandozeile kann von der Website abweichen.

Kein Login erforderlich. Beide Varianten prüfen ohne Exploit oder Belastungstest. Ergebnisse sind eine technische Orientierung und kein vollständiges Sicherheitsaudit.

Was ist PHP2Shell?

PHP2Shell ist die Bezeichnung für zwei Schwachstellen in PHP: CVE-2026-109618 und CVE-2026-109619. Fehler beim Umgang mit Speichermangel und verbliebenem internem Zustand können unter bestimmten Bedingungen die Ausführung fremden Codes ermöglichen. Entscheidend ist die PHP-Laufzeit auf dem Server, nicht allein die Version Ihrer Website-Software.

Der comm-IT PHP2Shell Checker vergleicht die ermittelte PHP-Version mit den veröffentlichten Korrekturen. Er führt keinen Exploit aus und bestätigt nicht, ob ein Server bereits kompromittiert wurde. Eine nicht sichtbare PHP-Version führt zu einem unklaren Ergebnis, nicht zu einer Entwarnung.

Die Grundlage sind die offiziellen PHP-Advisories zu CVE-2026-109618 und CVE-2026-109619. Der ergänzende Hinweis zu Session-Uploads vom 23. Oktober 2026 wird im Advanced-Ergebnis ebenfalls berücksichtigt.

Hintergründe und nächste Schritte

Unser Blogbeitrag erklärt, welche Websites betroffen sein können und welche Maßnahmen nach dem Check sinnvoll sind – vom PHP-Update bis zur Überprüfung der Serverkonfiguration.

PHP2Shell prüfen: Welche Variante passt?

Beginnen Sie mit der Website-Adresse. Wenn öffentliche Angaben fehlen, liefert der Serverbericht zusätzliche Informationen.

Online-Schnellcheck ohne Installation

Geben Sie eine öffentliche HTTPS-Adresse ein und bestätigen Sie Ihre Berechtigung zur Prüfung. Der Checker liest die HTTP-Antwort-Header und ordnet eine dort gemeldete PHP-Version ein. Ist die Version versteckt, bleibt das Ergebnis offen. Eine bekannte Versionsnummer können Sie alternativ direkt im Browser prüfen.

Geeignet für eine erste Einschätzung ohne Serverzugriff. Die PHP-Version hinter einem Proxy oder CDN kann von den öffentlich sichtbaren Angaben abweichen.

Advanced: PHP-Version auf dem Server prüfen

Laden Sie das geschützte PHP-Script herunter und übertragen Sie es in das Webverzeichnis der Anwendung. Rufen Sie es über HTTPS auf, geben Sie den Zugangscode ein und laden Sie den JSON-Bericht herunter. Die Auswertung erfolgt hier lokal in Ihrem Browser. Löschen Sie das Script anschließend wieder.

Geeignet für Betreiber mit SFTP- oder Hosting-Zugang. Der Bericht enthält die tatsächliche PHP-Version, die Betriebsart und ausgewählte Einstellungen dieser Laufzeit. Andere Pools und Anbieter-Backports sind separat zu prüfen.

PHP2Shell jetzt kostenlos prüfen

Häufige Fragen zum PHP2Shell Checker

Ist der PHP2Shell Checker kostenlos?

Ja. Der Online-Schnellcheck, die manuelle PHP-Versionsprüfung und das Advanced-PHP-Script sind kostenlos und ohne Registrierung verfügbar. Für Advanced benötigen Sie Zugriff auf das Webverzeichnis Ihrer eigenen Website.

Kann ich WordPress, WooCommerce, TYPO3 oder Nextcloud prüfen?

Ja, sofern die Anwendung PHP verwendet. PHP2Shell betrifft die PHP-Laufzeit; ein Update des CMS, eines Themes oder eines Plugins allein bestätigt keinen korrigierten PHP-Patchstand. Prüfen Sie die PHP-Version, die Ihre Website tatsächlich ausführt. Bei Shared Hosting kann Ihr Anbieter das passende PHP-Paket und mögliche Backports bestätigen.

Welche PHP-Versionen enthalten die PHP2Shell-Korrekturen?

Die ersten korrigierten Standardversionen sind 8.2.35, 8.3.36, 8.4.27, 8.5.12. Anbieter können Sicherheitskorrekturen in ältere Paketversionen zurückportieren. Prüfen Sie deshalb auch das Hersteller-Advisory und die vollständige Paketrevision. Der ergänzende PHP-Hinweis zu Session-Uploads vom 23.10.2026 ist zusätzlich zu beachten.

Wie kann ich meine PHP-Version ohne SSH prüfen?

Nutzen Sie zuerst den Website-Schnellcheck. Wenn keine PHP-Version öffentlich gemeldet wird, laden Sie das Advanced-Script herunter und übertragen es per SFTP oder Hosting-Dateimanager in das Webverzeichnis Ihrer Anwendung. Nach dem Aufruf über HTTPS geben Sie den Zugangscode ein, laden den JSON-Bericht herunter und werten ihn hier im Browser aus. Anschließend löschen Sie die PHP-Datei vom Server.

Warum ist ein Ergebnis manchmal nicht eindeutig?

Viele Websites verbergen ihre PHP-Version. Auch Proxys, CDNs und Anbieter-Backports begrenzen die Aussagekraft. Fehlende Header bedeuten weder „kein PHP“ noch „sicher“. Nutzen Sie in diesem Fall Advanced oder fragen Sie Ihren Hosting-Anbieter.

Ist Advanced ein vollständiger Sicherheitstest?

Nein. Das Script liest die aktive PHP-Laufzeit und ausgewählte Einstellungen in seinem Verzeichnis. Es versucht keine Schwachstelle auszunutzen, prüft keinen Anwendungscode und erkennt keine Kompromittierung. Weitere Pools, Server und abweichende Verzeichniskonfigurationen müssen separat geprüft werden.

Was mache ich bei einem auffälligen Ergebnis?

Lassen Sie beide CVEs für Ihr konkretes PHP-Paket prüfen. Installieren Sie eine korrigierte Version oder einen bestätigten Anbieter-Backport, starten Sie alle PHP-Worker neu und wiederholen Sie den Check. Prüfen Sie zusätzlich den aktuellen Hinweis zu Session-Uploads.

Was passiert mit meinen Daten?

Beim Schnellcheck erhält unser Server die eingegebene Website-Adresse für die Anfrage. Es entsteht kein öffentlicher Ergebnisbericht. Zugangscode und Script werden im Browser erzeugt; auch der importierte JSON-Bericht wird dort ausgewertet. Das PHP-Script enthält keine Verbindung zu comm-IT. Allgemeine Website- und Hosting-Protokollierung ist davon unabhängig.

Unterstützung beim nächsten Schritt

Sie benötigen Unterstützung beim Einordnen oder Aktualisieren?

Kontaktieren sie uns