Ist Ihre Website angreifbar?
Das BSI warnt vor zwei kritischen PHP-Schwachstellen, über die Angreifer ohne Anmeldung Code auf Webservern ausführen können. Betroffen sind laut BSI alle PHP-Versionen zurück bis PHP 5 – und damit praktisch jede WordPress-, TYPO3- oder Shopware-Seite, die nicht gepatcht wurde. Dieser Check sagt Ihnen in einer halben Minute, wie Ihre Seite dasteht.
Hintergrund
Worum es bei php2shell geht
Ein Angriff erfordert weder Zugangsdaten noch eine Aktion des Nutzers. Proof-of-Concepts sind öffentlich, und es gibt Berichte über automatisierte Ausnutzungsversuche.
- Schwachstellen
- CVE-2026-109618 · CVE-2026-109619
- CVSS-Bewertung
- 9.2 von 10 (kritisch)
- BSI-Kritikalität
- 3 / Orange
- Gepatchte Versionen
- 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35
Was das für Betriebe konkret bedeutet, welche Systeme betroffen sind und wie Sie prüfen, ob bereits etwas passiert ist, steht ausführlich im Artikel: php2shell: Was Betriebe jetzt tun müssen
Umfang
Was der Check untersucht
Alles, was sich seriös von außen feststellen lässt – ohne Ihre Seite anzugreifen.
php2shell (CVE-2026-109618 / 109619)
Erkennt die eingesetzte PHP-Version und gleicht sie gegen die gepatchten Stände 8.5.12, 8.4.27, 8.3.36 und 8.2.35 ab. Auch End-of-Life-Versionen werden erkannt.
Offenliegende Konfigurationsdateien
Prüft, ob .env, .git/config, composer.lock, Backup-Dateien oder Laravel-Logs öffentlich abrufbar sind – die häufigste Ursache für geleakte Datenbank-Passwörter.
Sicherheits-Header
Content-Security-Policy, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy und Permissions-Policy, inklusive Bewertung zu schwacher Konfigurationen.
Verschlüsselung und Zertifikat
Gültigkeit und Restlaufzeit des TLS-Zertifikats, Weiterleitung von HTTP auf HTTPS und unverschlüsselt eingebundene Inhalte.
Cookies
Prüft Session-Cookies auf die Flags Secure, HttpOnly und SameSite. Fehlen sie, lässt sich eine Sitzung übernehmen.
Technik-Leaks
Server- und Framework-Versionen im Klartext, aktive Verzeichnisauflistung, erreichbare phpinfo-Seiten und offenes Apache mod_status.
Node.js und Abhängigkeiten
Erkennt Express- und Node.js-Signaturen. Das Selbstcheck-Skript prüft zusätzlich die Node-Version auf End-of-Life und lässt npm audit sowie composer audit laufen.
Organisatorisches
Ist eine security.txt nach RFC 9116 hinterlegt? Ohne sie wissen Sicherheitsforscher nicht, wem sie einen Fund melden sollen.
Von außen ist nicht alles sichtbar
Die meisten Server verraten ihre PHP-Version nicht, und Linux-Distributionen patchen per Backport, ohne die Versionsnummer zu erhöhen. Der Online-Check kann deshalb oft nur sagen: hier läuft PHP. Ob es gepatcht ist, weiß nur der Server selbst.
Dafür gibt es ein kostenloses Skript. Es läuft direkt auf Ihrem Server, liest nur und ändert nichts. Es prüft die echte PHP-Version, die vom BSI empfohlenen php.ini-Einstellungen, lässt composer audit und npm audit laufen und sucht nach den Anzeichen einer Kompromittierung, die das BSI nennt.
Lesen Sie fremde Skripte immer erst durch, bevor Sie sie mit sudo ausführen. Dieses hier ist bewusst in lesbarem Bash geschrieben und kommentiert.
Fragen
Häufige Fragen
Ist der Sicherheits-Check wirklich kostenlos?
Ja. Die Prüfung Ihrer Domain und der Bericht mit allen Handlungsempfehlungen kosten nichts und setzen keinen Vertrag voraus. Auch das Selbstcheck-Skript für Ihren Server ist frei nutzbar.
Was ist php2shell und bin ich betroffen?
php2shell ist der Sammelname für zwei kritische Schwachstellen in PHP: CVE-2026-109618 und CVE-2026-109619, beide mit CVSS 9.2 bewertet. Sie erlauben es, ohne Anmeldung und ohne Zutun eines Nutzers beliebigen Code auf dem Webserver auszuführen. Laut dem BSI sind alle PHP-Versionen zurück bis mindestens PHP 5 betroffen. Betroffen ist damit praktisch jede Website auf WordPress, TYPO3, Joomla, Drupal, Shopware oder Nextcloud, solange nicht gepatcht wurde.
Welche PHP-Version brauche ich, um geschützt zu sein?
Gepatcht sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für die bereits abgekündigten Versionen 8.1, 8.0 und 7.4 hat das PHP Security Team ausnahmsweise Backport-Patches bereitgestellt. Wichtig: Linux-Distributionen wie Debian, Ubuntu oder RHEL patchen per Backport und lassen die Versionsnummer dabei oft unverändert. Eine ältere Nummer bedeutet dort nicht automatisch, dass Ihr Server ungeschützt ist.
Wird meine Website bei der Prüfung angegriffen?
Nein. Der Check ruft Ihre Startseite und eine Handvoll Standardpfade ganz normal auf und wertet die Antworten aus. Es werden keine Schwachstellen ausgenutzt, keine Formulare abgeschickt und keine Daten verändert. Die Last entspricht etwa einem Dutzend gewöhnlicher Seitenaufrufe.
Warum kann der Online-Check meinen PHP-Patchstand nicht sicher bestimmen?
Die meisten Server verraten ihre PHP-Version gar nicht oder nur ungenau, und Distributionen patchen per Backport ohne die Versionsnummer zu erhöhen. Von außen lässt sich deshalb oft nur feststellen, dass PHP im Einsatz ist. Für eine belastbare Aussage gibt es das kostenlose Selbstcheck-Skript, das direkt auf Ihrem Server läuft und zusätzlich die vom BSI empfohlenen php.ini-Einstellungen prüft.
Was prüft der Check außer php2shell noch?
Unter anderem: offenliegende .env-Dateien und Git-Verzeichnisse, erreichbare phpinfo-Seiten, Backup-Dateien mit Zugangsdaten, fehlende Sicherheits-Header wie CSP und HSTS, unsichere Cookie-Einstellungen, abgelaufene oder fehlerhafte TLS-Zertifikate, fehlende HTTPS-Weiterleitung, unverschlüsselt eingebundene Inhalte, aktive Verzeichnisauflistung sowie Versions-Leaks von Server und Framework.
Darf ich fremde Domains prüfen lassen?
Nur mit Erlaubnis des Betreibers. Vor dem Start bestätigen Sie, dass Sie Betreiber sind oder die Erlaubnis haben. Auch wenn die Prüfung technisch harmlos ist, bleibt das Abklopfen fremder Systeme ohne Einverständnis rechtlich heikel.
Was mache ich, wenn ein kritischer Fund angezeigt wird?
Zuerst patchen beziehungsweise die betroffene Datei entfernen. Danach prüfen, ob bereits etwas passiert ist: ungewöhnliche Prozesse des Webservers, neu angelegte PHP-Dateien, auffällige Einträge in den Access-Logs. Wenn Zugangsdaten offen im Netz standen, müssen sie als kompromittiert gelten und erneuert werden. Bei konkreten Anzeichen einer Kompromittierung hilft Patchen allein nicht mehr, dann ist eine Neuaufsetzung aus einem sauberen Backup nötig.
Funde gefunden, aber keine Zeit?
Ich übernehme das Patchen, Härten und Absichern – und Sie bekommen anschließend einen sauberen Nachweis für Ihre Akten.
Fachliche Grundlage zu php2shell: BSI-IT-Sicherheitshinweis BITS-H Nr. 2026-297981-1232, Version 1.2 vom 22.10.2026 (TLP:CLEAR), sowie die darin referenzierten Advisories des PHP-Projekts und von CERT-EU. Dieser Check ersetzt keinen vollständigen Penetrationstest.