Ist deine Website von PHP2Shell betroffen?

Wir rufen deine Startseite einmal ganz normal auf, wie ein Browser, und höchstens eine weitere öffentliche Seite (z. B. die WordPress-Login-Seite). Dabei lesen wir nur, was dein Server ohnehin jedem Besucher mitschickt: PHP-Version, Cookies und Spuren von CMS oder Plattformen. Die gefundene Version gleichen wir mit den gepatchten Versionen ab.

Wir senden keine Angriffe oder Testangriffe, scannen keine Unterseiten, loggen uns nirgends ein und schicken keine Formulare ab. Pfade und Parameter aus der eingegebenen Adresse entfernen wir, geprüft wird immer die Startseite.

Ob ein Server wirklich angreifbar ist, ließe sich nur mit einem echten Angriff sicher feststellen, und den führen wir bewusst nicht durch. Viele Server verbergen ihre PHP-Version, und Linux-Distributionen wie Debian oder Ubuntu schließen Lücken oft, ohne die Versionsnummer zu ändern. Grün heißt: Die gemeldete Version ist gepatcht oder die Seite läuft nicht auf PHP. Gelb heißt: Bitte nachfragen. Rot heißt: Bitte heute handeln.

Entweder meldet dein Server eine PHP-Version, in der die Lücke geschlossen ist, oder wir haben ein anderes System erkannt, das gar nicht auf PHP läuft. Beides ist ein sehr gutes Zeichen. Eine Garantie ist es nicht: Wenn mehrere Server hinter deiner Seite stehen, kann es Ausnahmen geben.

Deine Seite läuft sehr wahrscheinlich auf PHP, verrät aber nicht genau, ob die Lücke geschlossen ist. Das ist bei gut eingerichteten Servern normal. Frag deinen Hoster oder Dienstleister, ob das PHP-Update vom 21.10.2026 eingespielt ist, oder mach den Selbsttest.

Viele Hoster und CDNs wie Cloudflare blenden diese Angabe aus, damit Angreifer weniger über den Server erfahren. Das ist sinnvoll, schützt aber nicht vor der Lücke selbst.

Leider nein. Die Lücke steckt in PHP selbst, also eine Ebene unter WordPress. Auch ein komplett aktuelles WordPress ist betroffen, wenn das PHP darunter nicht gepatcht ist.

Bei solchen Baukästen betreibt der Anbieter die Technik selbst, du hast keinen eigenen PHP-Server. Für das Update ist dann der Anbieter zuständig, du musst in der Regel nichts unternehmen.

Teilweise. Cloudflare hat am 21.10. Filterregeln gegen bekannte Angriffe für alle Tarife aktiviert, auch den kostenlosen. Angreifer versuchen aber bereits, solche Regeln zu umgehen. Cloudflare selbst empfiehlt deshalb, trotzdem zu patchen.

Keinen vollständigen. Das PHP-Projekt nennt Konfigurationsänderungen, die das Risiko für Server-Admins senken (siehe php.net), sie schließen die Lücke aber nicht. Sicher ist nur das Update. Wer nicht sofort patchen kann, sollte die Seite laut BSI vorübergehend vom Netz nehmen. Ein Wartungsmodus von WordPress hilft nicht, weil der Angriff vor WordPress greift.

Bitte nicht. Im Netz kursierende „Test-Tools“ und Exploits stammen von Unbekannten, können selbst Schadsoftware enthalten und deinen Server beschädigen. Gegen fremde Server eingesetzt, sind sie außerdem strafbar. Frag lieber deinen Hoster nach dem Patch-Stand.

Auch Geräte mit PHP-basierter Weboberfläche können betroffen sein. Achte auf Firmware-Updates der Hersteller und mach solche Oberflächen nicht aus dem Internet erreichbar.

Nein, nicht dauerhaft. Zur Missbrauchsabwehr und Fehlersuche protokollieren wir kurzzeitig die geprüfte Domain und das Ergebnis, ohne Personenbezug. Details stehen in der Datenschutzerklärung.