Kurz: Gegen die beiden PHP2Shell-Lücken vom 21. Oktober 2026 helfen PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 oder neuer. Bei einer älteren Nummer kann der Hoster die Korrektur trotzdem eingebaut haben.
Weg 1
In WordPress nachsehen
Melden Sie sich als Administrator an und öffnen Sie Werkzeuge → Website-Zustand. Im Reiter Bericht klappen Sie den Bereich Server auf. Dort steht die PHP-Version, mit der Ihre Website gerade läuft.
Joomla und TYPO3 zeigen die Version ebenfalls in ihren Systeminformationen. Den genauen Menüpunkt nennt die Hilfe Ihres Systems.
Weg 2
Im Kundenbereich des Hosters
Bei den meisten Hostern steht die PHP-Version in den Einstellungen Ihres Webspace oder Ihrer Domain, oft unter „PHP-Einstellungen“ oder „PHP-Version“. Dort lässt sich häufig auch ein anderer Zweig wählen.
Ein Wechsel etwa von 8.2 auf 8.4 kann Erweiterungen und Designs betreffen. Stellen Sie erst nach Sicherung und Test um, nicht unter Zeitdruck an der Live-Website.
Weg 3
Den Hoster direkt fragen
Die verlässlichste Antwort kommt vom Hoster: genaue Version, Paketstand und ob die Korrekturen für CVE-2026-109618 und CVE-2026-109619 aktiv sind. Hoster und Linux-Distributionen bauen Korrekturen manchmal in ältere Versionsnummern ein.
Welche Fragen sinnvoll sind, mit Vorlage: PHP2Shell: Diese Fragen gehen an Ihren Hoster
Nummer vergleichen
Ab welcher Version sind Sie geschützt?
| Zweig | Korrigiert ab | Sicherheitsupdates bis |
|---|---|---|
| PHP 8.2 | 8.2.35 | 31.12.2026 |
| PHP 8.3 | 8.3.36 | 31.12.2027 |
| PHP 8.4 | 8.4.27 | 31.12.2028 |
| PHP 8.5 | 8.5.12 | 31.12.2029 |
| PHP 8.1 und älter | kein Update des PHP-Projekts | beendet |
Für den Sonderfall CVE-2026-115560 vom 23. Oktober gibt es noch keine neue Version. Das PHP-Team empfiehlt bis dahin, Session Upload Progress abzuschalten, sofern die Voraussetzungen zutreffen. Hintergrund im Ratgeber PHP2Shell: Ist Ihre Website betroffen?
Häufig gefragt
Fragen zur PHP-Version
Zeigt die PHP-Version, ob meine Website gehackt wurde?
Nein. Die Version zeigt nur, ob bekannte Lücken geschlossen sein können. Ob es bereits einen Einbruch gab, lässt sich nur über Protokolle und Spuren auf dem Server prüfen.
Soll ich eine phpinfo-Datei anlegen?
Manche Anleitungen empfehlen eine Datei mit dem Befehl phpinfo(). Sie zeigt aber sehr viele Details über Ihren Server, auch für Fremde. Nutzen Sie lieber WordPress oder den Kundenbereich. Falls doch, löschen Sie die Datei sofort wieder.
Was, wenn mein Hoster nur PHP 8.1 oder älter anbietet?
Dann gibt es vom PHP-Projekt keine Sicherheitsupdates mehr. Klären Sie, ob der Hoster selbst Korrekturen nachliefert, oder planen Sie einen Paketwechsel oder Umzug.
Wie lange wird PHP 8.2 noch versorgt?
Laut php.net bis 31. Dezember 2026. Was das bedeutet, steht im Ratgeber PHP 8.2 läuft aus.
Wenn Sie es abgeben möchten
Wir prüfen das für Sie.
Unser PHP-Sicherheitscheck für 249 € einmalig: Wir prüfen PHP, CMS und Erweiterungen Ihrer Firmenwebsite, sichern den Stand, spielen passende verfügbare Sicherheitsupdates ein, testen die wichtigsten Funktionen und besprechen den Bericht mit Ihnen.
Größere Migrationen, Altlasten und die Bereinigung früherer Schäden sprechen wir vorher gesondert ab. Eine vollständige Sicherheit kann niemand garantieren.
PHP-Sicherheitscheck ansehenDauerhaft betreut: Website-Betreuung für 99 € im Monat mit Hosting, Sicherheitsupdates, regelmäßigen Sicherungen und bis zu 2 Stunden Änderungen.
Primärquellen und redaktioneller Stand
Stand: 26.10.2026. Redaktion: acessio. Eigene Zeichnungen. Die Handlungsschritte sind unsere praktische Einordnung für Websitebetreiber.