Kurz: Bitten Sie um eine Bestätigung für Ihre Domain: welche PHP-Version läuft, ob CVE-2026-109618 und CVE-2026-109619 behoben sind und wie der Hinweis vom 23. Oktober umgesetzt wird. Eine allgemeine Statusseite beantwortet das für Ihr Paket nicht immer.
Zuständigkeit
Warum der Hoster gefragt ist
In gemieteten Webspace- und WordPress-Paketen betreibt der Hoster PHP auf seinen Servern, wie ein Hausmeister die Heizung im Mietshaus. Sie wählen dort meist nur den Zweig, etwa 8.3 oder 8.4, spielen aber keine Sicherheitskorrektur selbst ein.
Auf einem eigenen Server oder einer gemieteten virtuellen Maschine liegt die Pflege dagegen bei Ihnen oder Ihrem Dienstleister.
Die sechs Fragen
Was Sie konkret fragen sollten
- Welche PHP-Version und welcher Paketstand laufen für Ihre Domain?Die Nummer allein sagt nicht alles.
- Sind CVE-2026-109618 und CVE-2026-109619 behoben?Korrigiert ab 8.2.35, 8.3.36, 8.4.27, 8.5.12.
- Wie wird der Hinweis vom 23. Oktober umgesetzt?Er betrifft CVE-2026-115560.
- Läuft die korrigierte Version schon?Ein Update wirkt erst, wenn die PHP-Prozesse neu gestartet sind.
- Wann wurde zuletzt gesichert?Und wie schnell lässt sich zurückspielen?
- Gab es auffällige Anfragen seit dem 17. Oktober?Ab da beobachtete AWS erste Versuche.
Vorlage
E-Mail zum Kopieren
Ersetzen Sie die Angaben in eckigen Klammern. Senden Sie keine Passwörter mit.
Betreff: PHP-Sicherheitsupdates (PHP2Shell) für [Ihre Domain] Guten Tag, für unsere Website [Ihre Domain], Vertrag [Kundennummer], bitten wir um eine kurze Bestätigung: 1. Welche PHP-Version und welcher Paketstand sind für unsere Domain aktiv? 2. Sind CVE-2026-109618 und CVE-2026-109619 behoben, per Update oder zurückportierter Korrektur? 3. Wie setzen Sie den PHP-Hinweis vom 23.10.2026 zu CVE-2026-115560 um? 4. Seit wann läuft die korrigierte Version tatsächlich? 5. Wann wurde unsere Website zuletzt gesichert, und wie läuft eine Wiederherstellung? 6. Sind Ihnen seit dem 17.10.2026 auffällige Anfragen an unsere Website aufgefallen? Vielen Dank und freundliche Grüße [Name, Firma, Telefon]
Wenn es hakt
Wenn die Antwort ausweichend ist
Ein Satz wie „Unsere Systeme sind immer aktuell“ nennt weder Version noch Datum. Fragen Sie dann nach der aktiven Versionsnummer für Ihre Domain.
Bietet der Hoster nur PHP 8.1 oder älter an, gibt es vom PHP-Projekt keine Korrekturen mehr. Einstellungen wie ein geänderter Speicherrahmen mildern die Lücken laut PHP-Team nur. Vollständig schützt erst das Update.
Häufig gefragt
Fragen zur Hoster-Anfrage
Muss ich als Kunde selbst etwas tun?
Den PHP-Patch spielt in gemieteten Paketen meist der Hoster ein. Ihre Aufgabe: den passenden Zweig wählen, CMS und Erweiterungen aktuell halten und nach Updates testen.
Gab es schon Angriffe?
AWS berichtet von Angriffsversuchen auf seine Sensoren seit dem 17. Oktober. Ob Versuche gegen echte Websites erfolgreich waren, lässt der Bericht offen. Mehr im Ratgeber PHP2Shell.
Wie finde ich meine PHP-Version selbst heraus?
Das zeigt der Ratgeber PHP-Version herausfinden.
Wenn Sie es abgeben möchten
Wir prüfen das für Sie.
Unser PHP-Sicherheitscheck für 249 € einmalig: Wir prüfen PHP, CMS und Erweiterungen Ihrer Firmenwebsite, sichern den Stand, spielen passende verfügbare Sicherheitsupdates ein, testen die wichtigsten Funktionen und besprechen den Bericht mit Ihnen.
Größere Migrationen, Altlasten und die Bereinigung früherer Schäden sprechen wir vorher gesondert ab. Eine vollständige Sicherheit kann niemand garantieren.
PHP-Sicherheitscheck ansehenDauerhaft betreut: Website-Betreuung für 99 € im Monat mit Hosting, Sicherheitsupdates, regelmäßigen Sicherungen und bis zu 2 Stunden Änderungen.
Primärquellen und redaktioneller Stand
Stand: 26.10.2026. Redaktion: acessio. Eigene Zeichnungen. Die Handlungsschritte sind unsere praktische Einordnung für Websitebetreiber.