Welche PHP-Version läuft auf deiner Website?
Der Check liest öffentlich sichtbare Server- und PHP-Hinweise aus und vergleicht sie mit den bekannten Fix-Ständen. Das Ergebnis ist eine Momentaufnahme – kein Nachweis einer Sicherheitslücke. Kein Login, kein Exploit, keine dauerhafte Speicherung.
Nur öffentliche HTTP/HTTPS-Adressen auf Port 80/443. Maximal 30 Prüfungen pro Stunde und IP, höchstens zwei gleichzeitig. Was der Check nicht kann
Was der Check macht
Er ruft die Startseite ab und liest X-Powered-By, Server,
sichtbare PHP-Fehlermeldungen und Session-Cookies aus. Diese Angaben werden mit den
Fix-Ständen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 verglichen.
Was er nicht kann
Er sieht nur, was der Server öffentlich verrät. Verborgene Versionen, gehärtete Header oder ein CDN davor führen zu „nicht eindeutig“. Ein grünes Ergebnis zeigt lediglich, dass die erkannte Versionsnummer einen bekannten Fix-Stand erreicht. Eine vollständige Sicherheitsprüfung ersetzt das nicht.
Keine dauerhafte Speicherung
Ergebnisse werden bis zu fünf Minuten in temporären Dateien gehalten – ohne Seiteninhalte oder Header. Für die Ratenbegrenzung wird ein Hash der IP-Adresse bis zu einer Stunde gespeichert. Übliche Webserver-Zugriffsprotokolle können zusätzlich IP- und URL-Daten enthalten. Es werden keine Exploits ausprobiert.
Häufige Fragen
Warum zeigt der Check „nicht eindeutig“ statt „sicher“?
Viele Hoster deaktivieren expose_php und entfernen die PHP-Version aus
den Headern. Das ist gut für die Sicherheit, macht eine Prüfung von außen aber
unmöglich. In diesem Fall hilft nur der Self-Check von innen oder eine Auskunft
des Hosters.
Ist eine Version unter dem Fix-Stand automatisch verwundbar?
Nein. Der Check vergleicht nur die öffentlich gemeldete Versionsnummer mit dem Upstream-Fix-Stand. Distributionsanbieter wie Debian, Ubuntu oder AlmaLinux können Sicherheitskorrekturen zurückportieren, ohne die Versionsnummer zu ändern. Ob die Lücke tatsächlich geschlossen ist, lässt sich von außen nicht feststellen – dafür braucht es eine Auskunft des Hosters oder den Self-Check von innen.
Ich habe eine Fix-Version – bin ich damit komplett sicher?
Für die per Header gemeldete Installation ist der Upstream-Fix-Stand erreicht. Der Header kann aber von einem Proxy oder CDN stammen, und Websites laufen oft mit mehreren Installationen: Subdomains, Container, separate FPM-Pools oder alte Testumgebungen. Prüfe jede davon einzeln. Außerdem bleiben Konfigurationsfehler, unsaubere Plugins und ein veraltetes CMS eigene Risiken.
Was ist php2shell genau?
php2shell bezeichnet zwei kritische Schwachstellen in PHP (CVE-2026-109618 und CVE-2026-109619), die ohne Anmeldung ausnutzbar sind. Betroffen sind PHP-Versionen vor 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Die Angriffe setzen unter anderem bei Multipart-Uploads und der Speicherverwaltung an.
Darf ich den Check für Kunden oder viele Domains nutzen?
Für einzelne Websites ja. Automatisierte Massenprüfungen sind wegen der Ratenbegrenzung (30 pro Stunde und IP, höchstens zwei gleichzeitig) nicht vorgesehen. Bei Bedarf kann der Check als eigenständige Datei heruntergeladen und auf einem eigenen Server betrieben werden.
Wie melde ich ein falsches Ergebnis?
Am besten mit Domain, Zeitpunkt und der angezeigten PHP-Version über die Kontaktmöglichkeiten im Impressum. Bitte keine Zugangsdaten mitschicken.
Quellen und weiterführende Links: NVD CVE-2026-109618, NVD CVE-2026-109619, PHP Security Advisories, heise security. Stand: 21.10.2026 · Checker v1.1.0.