# Sind Sie von PHP2Shell betroffen? Jetzt klären lassen

> Unsicher, ob Ihre Server von PHP2Shell betroffen sind? Wir prüfen Version, Betriebsart und Patchstand remote. Rufen Sie an oder schreiben Sie per WhatsApp.

Quelle: https://phpsos.de/soforthilfe/php2shell-betroffen/  
Stand: 25.10.2026  
Anbieter: PHP SOS, PHP-Notfallhilfe und Server-Sicherheit. Soforthilfe per WhatsApp: https://wa.me/491736494914?text=Hallo%20PHP%20SOS%2C%20wir%20brauchen%20Hilfe%20mit%20unserem%20PHP-Server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

**Kurz gesagt:** Ob Sie von PHP2Shell betroffen sind, hängt von drei Dingen ab: der PHP-Version, der Betriebsart und davon, ob und wie gepatcht wurde. Sind Sie unsicher, melden Sie sich jetzt. Sind Sie betroffen? Rufen Sie an. Wir helfen. Wir klären das remote am Server selbst, nicht nach Gefühl, und schließen die Lücke, wenn sie offen ist.

> **Sofort handeln:**
> **Jetzt nichts löschen und nichts neu aufsetzen.** Auch wenn Sie nur klären wollen, ob Sie betroffen sind: Ist der Server womöglich schon angegriffen, brauchen wir Dateien und Logs unverändert. [Notfall melden](https://phpsos.de/notfall/), dann gehen wir die Prüfung gemeinsam durch.

## Sind Sie betroffen? Diese Fälle gehören auf die Prüfliste

PHP2Shell sind zwei kritische Lücken in PHP selbst (CVE-2026-109618 und CVE-2026-109619, beide mit der Höchstbewertung 9.2 nach CVSS v4.0). Sie erlauben Schadcode aus der Ferne ohne Anmeldung. Betroffen sein können alle Betriebsarten: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Prüfen Sie jedes dieser Systeme:

- eigene Server, vServer und Root-Server mit PHP
- Hosting-Pakete und Managed Server, auch wenn Sie keinen Zugang zur Konfiguration haben
- Container und Plattformdienste, die ein PHP-Image mitbringen
- Testsysteme, Staging-Umgebungen und vergessene Altsysteme, die aus dem Internet erreichbar sind
- NAS, Appliances oder Software von Dienstleistern, die intern PHP nutzen

Gerade vergessene Systeme sind das Risiko. Laut Unit 42 gibt es mehr als 22,6 Millionen exponierte, potenziell verwundbare Instanzen, und das BSI rechnete mit schneller großflächiger Ausnutzung.

## Was Sie jetzt sofort tun

1. **Inventar anlegen.** Schreiben Sie alle Server, Domains und Hosting-Verträge auf, auf denen PHP läuft, und wer dafür zuständig ist.
2. **PHP-Version je System feststellen.** Auf Servern mit `php -v`. Beachten Sie, dass die Kommandozeile eine andere Version nutzen kann als der Webserver.
3. **Betriebsart klären.** Läuft PHP als PHP-FPM, als mod_php oder über LiteSpeed? Bei mod_php schätzt das PHP-Team das Risiko am höchsten ein.
4. **Hoster und Dienstleister fragen.** Schriftlich: Welche Version läuft, wurde die Korrektur eingespielt, wurden alle Prozesse neu gestartet?
5. **Logs aufbewahren.** Die Fachpresse rät, Logs ab dem 20.10.2026 zu erhalten.
6. **Nicht lange warten.** Ist ein System offen und der Patch nicht sofort möglich, empfiehlt das BSI, den Webserver vorübergehend vom Netz zu nehmen.

## Wie hilft PHP SOS konkret?

Wir klären die Betroffenheit remote und mit Belegen.

1. **Lage aufnehmen:** Wir lassen uns Ihr Inventar schildern und ordnen die Systeme nach Erreichbarkeit und Risiko.
2. **Sichern und schließen:** Wo es offen ist, sichern wir zuerst den Zustand und schließen dann die Lücke durch Update samt Neustart. Wo das nicht sofort geht, setzen wir Übergangsmaßnahmen, die kein vollständiger Schutz sind.
3. **Prüfen und bereinigen:** Wir prüfen, ob die Lücke vor dem Patch ausgenutzt wurde, und bereinigen, falls nötig. Ob ein Server betroffen und womöglich schon angegriffen ist, trennen wir klar.
4. **Härten und berichten:** Sie erhalten eine Liste je System: Version, Betriebsart, Patchnachweis, offene Punkte.

## Wie Sie die Betroffenheit belegen

Eine Versionsnummer allein genügt nicht, weil Anbieter Korrekturen zurückportieren. Ubuntu 24.04 zeigt zum Beispiel laut Berichten auch nach dem Update weiter 8.3.6. Drei Wege sind belastbar:

| Weg | Was er zeigt | Grenze |
|---|---|---|
| Version gegen die Korrekturstände vergleichen | 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 oder höher ist behoben | gilt nur für Originalversionen, nicht für Backports |
| Test auf `memory_hard_limit_percent` | `bool(false)` heißt: Direktive unbekannt, also betroffen | je Version und Betriebsart einzeln ausführen |
| Paket-Changelog nach CVE-Nummern durchsuchen | belegt Backports bei Distributionen | Quelle ist das Sicherheitsarchiv des Anbieters |

Der Test sieht so aus:

```bash
php -r 'var_dump(ini_get("memory_hard_limit_percent"));'
```

Wie Sie Version und Patchstand sauber prüfen, steht auf der Seite [PHP-Version und Patchstand richtig prüfen](https://phpsos.de/php2shell/php-version-pruefen/). Einen Überblick über die Zweige gibt [Welche PHP-Versionen sind betroffen?](https://phpsos.de/php2shell/betroffene-php-versionen/). Warum die Anzeige trotz Patch alt aussehen kann, erklärt der Beitrag [php -v zeigt eine alte Nummer](https://phpsos.de/blog/php-v-zeigt-alte-nummer/).

## Betroffen und nicht mehr patchbar: PHP 8.1 und älter

Für PHP 8.1 und älter gibt es keine offiziellen Updates des PHP-Projekts mehr, nur minimale Quell-Backports für 7.4, 8.0 und 8.1. Wer so eine Version nutzt, hat meist zwei Wege: einen Anbieter mit nachgewiesenem Backport oder die Migration auf eine gepflegte Version. Kommerzielle Langzeitsupport-Angebote gibt es, ob und wann sie PHP2Shell abdecken, muss der Anbieter schriftlich bestätigen. Wir helfen beim Einordnen unter [PHP 8.1 und älter: Was jetzt gilt](https://phpsos.de/php2shell/php-8-1-und-aelter/) und bei der Umsetzung im [PHP-Patch-Service](https://phpsos.de/leistungen/php-patch-service/).

## Was Sie uns schicken sollten

- Liste Ihrer Server, Domains und Hoster
- PHP-Version je System, soweit bekannt
- Betriebsart und Webserver, soweit bekannt
- Angabe, ob Cloudflare oder ein anderer Schutz vorgeschaltet ist und ob der Ursprungsserver direkt erreichbar ist
- Antworten Ihres Hosters, falls schon angefragt
- Ansprechperson für Freigaben und Neustarts

## Warum PHP SOS

Wir arbeiten Made in Germany und sind seit über 25 Jahren mit unserem Partnernetzwerk aus Cyber-Profis auf IT-Sicherheit spezialisiert. Sie bekommen einen Ansprechpartner, der Ihr Inventar durchgeht und jede Aussage belegt, statt nur Versionsnummern abzulesen. Wir arbeiten remote, ohne Anfahrt, und dokumentieren, was wir geprüft haben. Eine Aussage wie „sicher“ geben wir nur so weit ab, wie sie sich belegen lässt. Für größere Umgebungen kommt die [PHP2Shell-Soforthilfe](https://phpsos.de/leistungen/php2shell-soforthilfe/) in Betracht.

## Sind Sie betroffen? Rufen Sie an. Wir helfen.

Wenn Sie nicht wissen, ob Sie betroffen sind, ist das Grund genug, sich jetzt zu melden. Rufen Sie an oder schreiben Sie per WhatsApp. Wir übernehmen ab der ersten Nachricht und klären es mit Ihnen am Server. [Jetzt Notfall melden](https://phpsos.de/notfall/).


## Häufige Fragen

**Bin ich von PHP2Shell betroffen, wenn ich nur WordPress oder einen Shop nutze?**  
Möglicherweise ja. Die Lücken liegen in PHP, nicht im CMS. Entscheidend ist, welche PHP-Version und Betriebsart bei Ihnen tatsächlich ausliefert, ein WordPress-Update ändert daran nichts.

**Reicht die Versionsnummer, um zu wissen, ob ich gepatcht bin?**  
Nicht immer. Distributionen und Hoster spielen Korrekturen teils als Backport ein, dann bleibt die Nummer gleich. Aussagekräftig sind der Paket-Changelog mit den CVE-Nummern oder die schriftliche Bestätigung Ihres Anbieters.

**Gibt es einen schnellen Test, ob meine PHP-Version die Korrektur enthält?**  
Laut PHP-Handbuch ist eine Version, die die Direktive memory_hard_limit_percent nicht kennt, betroffen. Der Test muss für jede PHP-Version und Betriebsart einzeln laufen, da die Kommandozeile eine andere Version nutzen kann als der Webserver.

**Sind auch ältere PHP-Versionen wie 7.4 oder 8.0 betroffen?**  
Laut Fachpresse sind nahezu alle Versionen bis zurück zu PHP 5.4 betroffen. Für 8.1 und älter gibt es keine offiziellen Updates mehr vom PHP-Projekt, nur minimale Quell-Backports. Ob ein Anbieter diese eingespielt hat, muss er bestätigen.

**Schützt mich Cloudflare, wenn ich betroffen bin?**  
Teilweise. Cloudflare hat Schutzregeln ausgerollt, warnt aber selbst, dass sie das Update nicht ersetzen. Wenn Ihr Ursprungsserver direkt erreichbar ist, wird der Schutz umgangen.

## Quellen

- [php.net: Sicherheitsmeldungen](https://www.php.net/)
- [PHP-Handbuch: Kern-Konfiguration (ini.core)](https://www.php.net/manual/en/ini.core.php)
- [PHP: Unterstützte Versionen](https://www.php.net/supported-versions.php)
- [BSI: Bundesamt für Sicherheit in der Informationstechnik](https://www.bsi.bund.de/)