Was passiert
Über präparierte Webanfragen lässt sich ohne Anmeldung fremder Code auf dem Webserver ausführen. Damit kann ein Angreifer Ihre Website verändern, Daten mitlesen oder Mails verschicken.
Kritische PHP-Lücke PHP2Shell · 21.10.2026
Welche PHP-Version läuft auf Ihrer Website?
Seit dem 21. Oktober 2026 ist die kritische PHP-Lücke PHP2Shell bekannt. Der Check zeigt in Sekunden, welche PHP-Version Ihre Website öffentlich verrät, ob sie noch Updates bekommt und was Sie jetzt tun sollten.
- Gratis und ohne Anmeldung
- Nur öffentliche Seiten, kein Angriff
- Sagt auch ehrlich, was sich von aussen nicht feststellen lässt
- PHP
- X-Powered-By
- WordPress
- Plugins
- PHP2Shell
Website jetzt prüfen
Domain oder Adresse Ihrer Website eingeben. Das Ergebnis sehen Sie sofort hier.
Datenschutz: Wir rufen nur öffentliche Seiten Ihrer Website ab und speichern weder Domain noch Ergebnis dauerhaft. Ihre IP-Adresse dient nur kurz als Prüfsumme gegen Missbrauch.
Der Check liest nur, was Ihr Server von sich aus zeigt. Er ersetzt keine Auskunft Ihres Hosters.
Ergebnis laut öffentlich sichtbarer Kennung. Hoster und Linux-Distributionen spielen Korrekturen oft ein, ohne die Versionsnummer zu ändern. Verbindlich ist nur die Auskunft Ihres Hosters.
Was wir gefunden haben
Gut zu wissen
Und Ihre E-Mails?
Ein gekaperter Webserver verschickt Phishing in Ihrem Namen. Prüfen Sie gleich, ob Ihre Domain gegen gefälschte Absender geschützt ist.
Diese Adressen haben wir abgerufen
So prüfen Sie die Version selbst
Diese Wege zeigen die PHP-Version, die Ihre Website wirklich verwendet.
So prüfen Sie die Version selbstPHP2Shell
Was am 21. Oktober 2026 passiert ist
Das PHP-Projekt hat zwei kritische Lücken im PHP-Kern geschlossen: CVE-2026-109618 und CVE-2026-109619, Schweregrad CVSS 9.2 von 10. Sicherheitsfirmen melden bereits Angriffe.
Wer betroffen ist
Jede PHP-Installation, die Webanfragen beantwortet: WordPress, Joomla, Onlineshops, Kontaktformulare und eigene PHP-Anwendungen.
Was jetzt zu tun ist
PHP auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren und PHP neu starten lassen. Bei PHP 8.1 und älter auf einen unterstützten Zweig wechseln.
Quelle: php.net, Sicherheitsmitteilung vom 21.10.2026
Transparenz
Was der Check prüft und was nicht
Wir prüfen nur, was jeder Besucher Ihrer Website sehen kann, und rufen höchstens 14 Adressen ab.
Das prüfen wir
- Kopfzeilen der Startseite«X-Powered-By» und «Server» nennen oft die PHP-Version, zum Beispiel PHP/8.3.12.
- Seiten ohne ZwischenspeicherVerschluckt ein Cache die Kopfzeile, prüfen wir die Startseite mit Zufalls-Parameter, eine fehlende Seite (404) und die www-Adresse.
- WordPress und andere SystemeWir erkennen WordPress, Drupal, Joomla, TYPO3, Shops und weitere PHP-Systeme an typischen Spuren. Bei WordPress zusätzlich Anmeldeseite, Schnittstelle und Feed.
- Mindestversion aus PluginsPlugins und Themes, die Ihre Startseite verlinkt, nennen «Requires PHP». Daraus folgt eine Untergrenze, etwa «mindestens PHP 7.4».
- Unterstützung und PHP2ShellWir vergleichen die Nummer mit dem Lebenszyklus von php.net und den Korrekturen vom 21.10.2026.
Das tun wir bewusst nicht
- Keine Anmeldung, keine Formulare, keine Passwörter
- Keine Angriffe und keine absichtlich ausgelösten Fehler
- Kein Raten von Pfaden wie phpinfo.php oder Admin-Seiten
- Keine Daten von Drittanbietern oder Suchmaschinen
- Ihre robots.txt wird beachtet
Warum das Ergebnis nicht verbindlich ist
Der Check sieht nur, was Ihr Server freiwillig verrät. Gut eingerichtete Server blenden die PHP-Version aus. Dann zeigen wir «nicht sichtbar», obwohl PHP läuft.
Eine sichtbare Nummer kann täuschen: Sie kann von einem Proxy stammen, absichtlich falsch sein oder von einer Linux-Distribution wie Ubuntu oder Debian, die Korrekturen ohne neue Nummer einspielt.
Verbindlich ist nur, was in Ihrem Hosting-Panel oder in WordPress unter «Website-Zustand» steht. Nutzen Sie den Check als Hinweis, nicht als Beweis.
PHP-Versionen und ihre Unterstützung
Stand 21.10.2026. Nach dem Lebensende gibt es keine Sicherheits-Updates mehr.
| Zweig | Status | Aktive Unterstützung bis | Sicherheits-Updates bis | PHP2Shell behoben ab |
|---|---|---|---|---|
| PHP 8.5 | Aktiv | 31.12.2027 | 31.12.2029 | 8.5.12 |
| PHP 8.4 | Aktiv | 31.12.2026 | 31.12.2028 | 8.4.27 |
| PHP 8.3 | Nur Sicherheit | 31.12.2025 | 31.12.2027 | 8.3.36 |
| PHP 8.2 | Nur Sicherheit | 31.12.2024 | 31.12.2026 | 8.2.35 |
| PHP 8.1 | Lebensende | 25.11.2023 | 31.12.2025 | kein offizielles Update |
| PHP 8.0 | Lebensende | 26.11.2022 | 26.11.2023 | kein offizielles Update |
| PHP 7.4 | Lebensende | 28.11.2021 | 28.11.2022 | kein offizielles Update |
Quelle: php.net (Supported Versions, Unsupported Branches, Sicherheitsmitteilung vom 21.10.2026)
Sicher wissen
So prüfen Sie die Version selbst
Diese Wege zeigen die PHP-Version, die Ihre Website wirklich verwendet.
WordPress
Werkzeuge → Website-Zustand → Bericht → Server. Dort stehen PHP-Version und Erweiterungen.
Hosting-Panel
Im Panel Ihres Hosters (z. B. cPanel oder Plesk) die PHP-Version genau dieser Website ansehen, nicht nur die Voreinstellung des Servers.
Hoster fragen
Fragen Sie konkret: «Ist die PHP-Korrektur vom 21.10.2026 (CVE-2026-109618 und -109619) auf unserer Website eingespielt?»
Version ausblenden
Mit expose_php = Off verschwindet die Nummer aus den Kopfzeilen. Das schliesst keine Lücke, erschwert aber gezielte Angriffe.
Schritt 2: E-Mail-Schutz
Gekaperte Webserver verschicken Phishing in Ihrem Namen
Wer Ihren Webserver übernimmt, kann Mails mit Ihrer Domain als Absender verschicken. DMARC, SPF und DKIM sorgen dafür, dass solche Fälschungen abgewiesen werden. Prüfen Sie Ihre Domain gratis.
Kostenloser Domain-Check
Ist Ihre Firmen-Adresse geschützt?
Geben Sie Ihre Domain oder Ihre E-Mail-Adresse ein. Das Ergebnis sehen Sie sofort hier, mit Ampel und Note von A bis F.
Sie haben einen Link zu einem Ergebnis geöffnet. Geprüft wird erst mit Ihrem Klick – immer mit dem aktuellen Stand.
Datenschutz: Geben Sie eine E-Mail-Adresse ein, übertragen wir nur die Domain dahinter; der Teil vor dem @ verlässt Ihren Browser nicht. Wir verwenden die Domain nur für diese Prüfung öffentlicher DNS-Einträge und speichern sie nicht im Klartext; das Ergebnis speichern wir nicht. Ihre IP-Adresse speichern wir nur als Prüfsumme und höchstens einen Tag, um Missbrauch zu bremsen.
Der Kurz-Check basiert auf öffentlichen DNS-Daten zum Abfragezeitpunkt und ersetzt keine vollständige Prüfung; keine Gewähr.
Dauerhaft im Blick behalten statt einmal prüfen:
Kostenloses Erstgespräch buchenDomain überwachen – 14 Tage kostenlosLieber mit Hilfe? Einrichtung durch uns anfragen- Unverbindlich
- Ohne Kreditkarte
- Endet nach 14 Tagen von selbst
Unverbindliche Anfrage per Mail · Preis auf Anfrage
So geht es weiter
- Ihr Mailprogramm öffnet eine vorbereitete Anfrage mit Ihrer Domain. Ergänzen Sie Ihren Namen und senden Sie sie ab.
- Wir melden uns und besprechen mit Ihnen oder Ihrem IT-Partner, welche Einträge (SPF, DKIM, DMARC) nötig sind und was die Einrichtung kostet.
- Für die Einrichtung braucht es Zugriff auf die DNS-Verwaltung Ihrer Domain. Die Übergabe sprechen wir mit Ihnen ab – bitte senden Sie uns keine Passwörter per Mail.
- Auf Wunsch überwacht DomainRadar Ihre Domain danach laufend und meldet sich, wenn sich etwas ändert.
Es öffnet sich kein Mailprogramm? Schreiben Sie uns mit Ihrer Domain an info@domainradar.ch.
Gut zu wissen: Der Schutz verhindert, dass jemand genau Ihre Domain fälscht. Gegen ähnlich klingende Adressen hilft, Zahlungsänderungen immer telefonisch rückzubestätigen.
Alle Prüfpunkte
Kurz-Check aus öffentlichen DNS-Einträgen. Die laufende Überwachung prüft zusätzlich Zertifikate, Blacklists und Ihre DMARC-Berichte.
Ihr Ergebnis als PDF
Als Bericht zum Ablegen oder zum Weiterleiten an Ihre IT.
Kostenlos und ohne Konto: Sie bestätigen Ihre Adresse per Mail, danach können Sie sich jederzeit abmelden.
Fragen zum PHP-Check
Ist der PHP-Check wirklich kostenlos?
Ja, ohne Anmeldung und ohne Kreditkarte. Wir rufen nur öffentliche Seiten Ihrer Website ab, wie ein normaler Besucher.
Warum zeigt der Check «Version nicht sichtbar»?
Viele Hoster blenden die PHP-Version aus, und das ist gut so. Dann zeigt der Check, ob PHP überhaupt läuft und bei WordPress, welche Version mindestens nötig ist. Die genaue Version sehen Sie im Hosting-Panel.
Ist meine Website sicher, wenn der Check «Korrektur enthalten» meldet?
Nicht unbedingt. Der Check bewertet nur die sichtbare PHP-Version. Plugins, Themes, Passwörter und andere Software können eigene Lücken haben.
Was ist PHP2Shell?
Zwei kritische Lücken im PHP-Kern (CVE-2026-109618 und CVE-2026-109619), am 21.10.2026 behoben in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Angreifer können ohne Anmeldung Code auf dem Webserver ausführen.
Darf ich fremde Websites prüfen?
Prüfen Sie nur Websites, die Ihnen gehören oder für die Sie zuständig sind. Der Check ruft nur öffentliche Seiten ab, beachtet die robots.txt und ist gegen Massenabfragen begrenzt.
Was hat PHP mit E-Mail-Sicherheit zu tun?
Ein übernommener Webserver wird oft für Phishing missbraucht, mit Ihrer Domain als Absender. DMARC, SPF und DKIM verhindern, dass solche Mails bei Ihren Kunden ankommen. Genau das überwacht DomainRadar.
Jetzt 14 Tage kostenlos
Schützen Sie Ihre Domain
Schreiben Sie uns – wir zeigen Ihnen DomainRadar mit Beispieldaten und klären mit Ihnen, welches Abo passt.
Oder direkt per Mail: info@domainradar.ch
- Unverbindlich
- Ohne Kreditkarte
- Endet nach 14 Tagen von selbst