PHP-Check · kostenlos
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt. Der Check schaut sich Ihre Website von aussen an: Läuft dort PHP, bei welchem Hoster liegt sie und hat dieser die Korrektur bestätigt?
Nur ein normaler Seitenaufruf wie im Browser, kein Angriff. Die Adresse wird nicht dauerhaft gespeichert.
Keine Hinweise auf PHP, eine Baukasten-Plattform, eine korrigierte PHP-Version oder ein Hoster, der die Korrektur öffentlich bestätigt hat.
PHP läuft, aber der Patch-Stand ist von aussen nicht zu sehen. Ein kurzes Nachfragen beim Hoster schafft Klarheit.
Die Website nennt eine PHP-Version vor der Korrektur oder eine veraltete Version ohne offizielle Updates. Bitte sofort handeln.
Die Lücken CVE-2026-109618 und CVE-2026-109619, bekannt als «PHP2Shell», erlauben es Angreifern, ohne Zugangsdaten Code auf einem Webserver auszuführen. Beide sind mit 9,2 von 10 bewertet. Das deutsche BSI warnt mit der zweithöchsten Stufe.
Seit dem 21. Oktober 2026 gibt es korrigierte Versionen: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter liefert das PHP-Projekt keine Korrektur mehr. Viele Hoster haben ihre Server deshalb vorsorglich vom Netz genommen, bis die Updates eingespielt waren.
Quellen: BSI · SRF · Help Net Security
Öffentlich bestätigter Patch-Stand, Stand 22.10.2026, 08:00. Fehlt eine Bestätigung, heisst das nicht, dass der Hoster nichts unternommen hat, sondern nur, dass ich keine öffentliche Angabe gefunden habe.
Die Web-Apps der nytic laufen auf eigenen Servern und sind seit dem 21. Oktober 2026, 18 Uhr, mit dem Sicherheitsupdate unterwegs. Den aktuellen Stand aller Dienste sehen Sie jederzeit auf der Statusseite. Unsicher bei Ihrer eigenen Website? Ich schaue sie mir gerne an.