PHP-Sicherheitslücke prüfen (PHP2Shell)
PHP-Sicherheitscheck: prüft, ob eine Webseite von der kritischen BSI-Sicherheitslücke „PHP2Shell“ (CVE-2026-109618, CVE-2026-109619) betroffen oder bereits gepatcht ist. Passiver Abruf, keine Speicherung, mit Quellenangabe des BSI.
Hintergrund
BSI warnt vor zwei kritischen PHP-Lücken.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt seit dem 21. Oktober 2026 vor zwei kritischen Sicherheitslücken in der Programmiersprache PHP (CVE-2026-109618 und CVE-2026-109619, in der Berichterstattung auch „PHP2Shell“ genannt; CVSS-4.0-Wert 9,2 von 10; BSI-Risikostufe Orange). Betroffen sind laut BSI alle bekannten PHP-Versionen. Eine Ausnutzung erfordert weder Anmeldung noch eine Aktion von Besucherinnen oder Besuchern und könnte Angreifenden erlauben, aus der Ferne Schadcode auf dem Webserver auszuführen. Seit dem 21. Oktober 2026, 16 Uhr, stehen Patches zur Verfügung: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35; für die bereits ausgelaufenen Versionen 7.4, 8.0 und 8.1 gibt es Backport-Patches ohne feste Versionsnummer. Quelle: BSI-IT-Sicherheitshinweis BITS-H Nr. 2026-297981-1132, Version 1.1 vom 21.10.2026.
PHP-Version patchen oder prüfen lassen?
fontax prüft, patcht und überwacht PHP-Webserver und Webanwendungen – auch kurzfristig.