PHP-Version herausfinden: Website, Hoster-Panel, Server und Paketversion

Prüfen Sie nur Systeme, die Ihnen gehören oder für die Sie verantwortlich sind. Diese Seite und unser Checker arbeiten ausschließlich mit Versionsnummern, die Sie selbst eintippen. Nichts hier testet, scannt oder sondiert einen Server. Unabhängige Seite, nicht mit der PHP Group oder php.net verbunden.

Kurz gesagt

1. Finden Sie die PHP-Version, mit der Ihre Website läuft (nicht nur die im Terminal): in WordPress unter Werkzeuge > Website-Zustand > Info > Server, im Hoster-Kundenbereich oder mit einer kurzen Testdatei.
2. Liegt die Nummer unter 8.2.35, 8.3.36, 8.4.27 bzw. 8.5.12 (oder nutzen Sie 8.1 oder älter), ist die Installation ohne Backport von Distribution oder Hoster betroffen.
3. Bei Ubuntu, Debian, Red Hat & Co. kann eine scheinbar alte Nummer trotzdem gepatcht sein, weil Fixes zurückportiert werden. Vergleichen Sie dann die vollständige Paketversion mit der Fixversion Ihres Anbieters.
4. Tragen Sie die Werte in den Checker ein. Er vergleicht sie direkt im Browser.

Worum es geht

„php2shell“ ist der Name, den Wiz Research für zwei kritische PHP-Sicherheitslücken verwendet (CVE-2026-109618, CVE-2026-109619). Laut php.net können sie Remote-Code-Ausführung ohne Anmeldung ermöglichen. Gefährdet sind alle PHP-Installationen, die Webanfragen bedienen, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. In den Release-Meldungen schreibt php.net außerdem: „There are no complete mitigations, updating is the only safe choice.“ (sinngemäß: Es gibt keine vollständigen Gegenmaßnahmen; nur ein Update ist eine vollständige Lösung.)

Das BSI führt die Meldung im CERT-Bund-Portal als WID-SEC-2026-4055 (Titel „PHP: Mehrere Schwachstellen ermöglichen Codeausführung“, Einstufung kritisch, erstmals am 21.10.2026 geführt, am 22.10.2026 aktualisiert; der erste Titel lautete „… ermöglichen nicht spezifizierten Angriff“). Das Portal lädt seine Inhalte per JavaScript; die Versionsnummern entnehmen Sie php.net. Auch CERT-AT (Österreich) ist in der Übersicht des ENISA-CSIRTs-Network gelistet; die Seite selbst haben wir nicht geöffnet.

Fixversionen der PHP Group:

Quelle: GitHub-Advisory der PHP Group. Die vollständige Liste mit Paketversionen finden Sie unter Fixversionen.

Schritt 1: WordPress (der schnellste Weg)

Im Backend: Werkzeuge > Website-Zustand (englisch: Tools > Site Health), Reiter Info, Bereich Server, Zeile PHP-Version. Das ist die Version, mit der Ihre Website tatsächlich läuft (WordPress-Dokumentation).

WordPress-, Theme- oder Plugin-Updates beheben das nicht: Die Lücken stecken in PHP selbst, nicht in einer einzelnen Anwendung. Wordfence schreibt nach der Veröffentlichung der PHP-Updates, dass WordPress-Autoupdates die Lücken nicht beheben (Wordfence); Patchstack empfiehlt das Update von PHP selbst (Patchstack). Details in unserer WordPress-Anleitung. Dasselbe Prinzip gilt für jede andere PHP-Anwendung, etwa Nextcloud, Shopware oder Joomla: Entscheidend ist die PHP-Version auf dem Server.

Schritt 2: Hoster-Kundenbereich

Bei Shared Hosting wählen Sie die PHP-Version meist pro Domain oder Paket im Kundenbereich (Suchbegriffe: „PHP-Version“, „PHP-Einstellungen“). Die Menünamen unterscheiden sich je Hoster und ändern sich; wir nennen sie bewusst nicht, weil wir sie nicht bei jedem Anbieter geprüft haben. Zwei Stolperfallen:

• Das Panel zeigt oft nur den Zweig („8.3“), nicht den Patchstand („8.3.36“). Für die genaue Nummer nutzen Sie Schritt 3.
• Die Einstellung im Panel wählt Ihre Version. Den Fix selbst liefert bei Shared Hosting in der Regel der Hoster auf seinen Servern. Ihre Aufgabe ist es, zu wissen, was läuft, und gegebenenfalls einen unterstützten PHP-Zweig zu wählen.

Das sagen die Hoster selbst (Stand 22.10.2026; Statusseiten ändern sich laufend, bitte den Link öffnen):

Eine Übersicht finden Sie unter Hoster-Status und in der Hosting-Anleitung.

Schritt 3: Testdatei für die echte Web-Version

Am zuverlässigsten ist eine Datei, die nur Version und Schnittstelle ausgibt. Legen Sie sie per FTP/SFTP oder Dateimanager mit einem schwer erratbaren Namen im Web-Verzeichnis (Document Root) Ihrer Domain ab, zum Beispiel als v-7f3a91c2.php:

<?php header("Content-Type: text/plain"); echo PHP_VERSION, " ", php_sapi_name(), PHP_EOL;

Rufen Sie sie einmal im Browser auf und löschen Sie sie sofort wieder. Die Ausgabe sieht etwa so aus: 8.3.36 fpm-fcgi. Die zweite Angabe ist die SAPI (Server API), also die Art, wie PHP Ihre Website bedient (PHP-Handbuch).

Wenn Sie lieber phpinfo(); verwenden: Lesen Sie nur PHP Version und Server API ab und löschen Sie die Datei danach. phpinfo() zeigt Pfade, Einstellungen und Umgebungsdaten, die nicht dauerhaft öffentlich abrufbar sein sollten (Handbuch).

Schritt 4: Eigener Server (Terminal)

Per SSH:

php -v
which -a php
php -r 'echo PHP_VERSION, " ", php_sapi_name(), PHP_EOL;'

Die erste Zeile von php -v nennt die Version, (cli) die Schnittstelle (PHP-Handbuch). Das gilt nur für die Kommandozeile. Ihre Website läuft meist über PHP-FPM, Apache oder LiteSpeed, und auf einem Server können mehrere PHP-Versionen installiert sein. Prüfen Sie deshalb gezielt die Version für den Webbetrieb:

php-fpm8.3 -v                  # Debian/Ubuntu: Version steckt im Programmnamen
php-fpm -v                     # RHEL-Familie u. a.
apache2ctl -M | grep -i php    # Apache mit mod_php (RHEL-Familie: httpd -M)

Paketversion unter Linux

Ubuntu und andere Distributionen behalten oft die alte Upstream-Nummer und hängen ein Suffix an, wenn ein Fix zurückportiert wird. php -v kann also 8.3.6 zeigen und trotzdem gepatcht sein (Debian hat diesmal dagegen neue Upstream-Versionen ausgeliefert). Lesen Sie die vollständige Paketversion:

# Debian / Ubuntu
dpkg -l | grep -E '^ii +php'
apt policy php8.3-cli              # "Installed" lesen, nicht "Candidate"
apt changelog php8.3-cli | grep -m3 -E 'CVE-2026-10961[89]'

# RHEL, Alma, Rocky, Oracle, Amazon Linux
rpm -qa | grep -i '^php'
rpm -q --changelog php-cli | grep -m3 -E 'CVE-2026-10961[89]'

# Alpine
apk list -I | grep -i php

Eine Changelog-Zeile mit der CVE-Nummer ist ein gutes Zeichen. Fehlt sie, beweist das nicht, dass das Paket verwundbar ist: Vergleichen Sie mit der Fixversion des Anbieters.

Die vollständige Liste mit allen Releases und Streams finden Sie unter Fixversionen. Eine Zeile „Noch kein Eintrag“ oder „Noch kein Advisory“ heißt nur, dass wir (Stand 22.10.2026) keine Aussage des Anbieters gefunden haben, nicht dass das Paket verwundbar ist oder nicht.

Drittquellen wie die Pakete von sury.org (Ubuntu-PPA und Debian) und Remis RPM-Repository sind keine offiziellen Distributionsarchive. Zu Remi schrieb php.net am Veröffentlichungstag, das Repository werde an diesem Tag keine Updates haben („The repo will not have updates today.“). Inzwischen enthält Remis Repository für Enterprise Linux 8, 9 und 10 Builds von PHP 8.2.35 bis 8.5.12 mit Datum 21.10. (zum Beispiel 8.3.36-1.el9.remi); Remi nennt die CVEs nicht. sury.org hat Pakete mit den korrigierten Versionen veröffentlicht, die Versionsnummern tragen aber ein eigenes Suffix (zum Beispiel +deb.sury.org+1).

Docker

Ein Image-Tag zeigt, was Sie gezogen haben, nicht unbedingt, was läuft. Prüfen Sie im Container:

docker ps --format '{{.Names}}  {{.Image}}'
docker exec <container> php -v

Nach docker compose pull muss der Container neu erstellt werden (docker compose up -d); ein bloßer Neustart behält das alte Image. Bei unserer Registry-Abfrage (21.10., 17:11 UTC) enthalten die offiziellen Images php:8.5 (8.5.12), php:8.4 (8.4.27), php:8.3 (8.3.36) und php:8.2 (8.2.35) die korrigierten Versionen; die Images wurden am 21.10. veröffentlicht, ältere lokale Kopien ersetzen Sie also per erneutem Pull. Kontrollieren Sie nach dem Pull mit php -v. Für 8.1 und älter gibt es kein offizielles korrigiertes Image.

Schritt 5: Ergebnis auswerten

Starten Sie nach dem Update den PHP-Dienst neu (zum Beispiel sudo systemctl restart php8.3-fpm bzw. sudo systemctl restart apache2), damit laufende Prozesse den neuen Stand laden, und wiederholen Sie dann Schritt 3. Ein Wechsel des Zweigs (etwa von 8.1 auf 8.3) kann Plugins und Erweiterungen beeinträchtigen, deshalb vorher sichern.

Schritt 6: Im Checker prüfen

Öffnen Sie den Checker, wählen Sie Ihre Plattform und geben Sie die Version genau so ein, wie sie angezeigt wird: die Upstream-Nummer bei php.net-Builds und Docker, bei Distributionspaketen die komplette Paketversion (zum Beispiel 8.3.6-0ubuntu0.24.04.13). Der Checker vergleicht nur das, was Sie im Browser eintippen. Er greift nicht auf Ihren Server zu. Mehr zum Hintergrund: Was ist php2shell?.

Wenn Sie das lieber nicht selbst herausfinden möchten: Mit dem optionalen persönlichen Patch-Plan für 49 US-Dollar erhalten Sie schriftliche Schritte für Ihr genaues Setup per E-Mail innerhalb von 24 Stunden. Wir loggen uns nie auf Ihrem Server ein, die Schritte führen Sie selbst aus. Details zum Patch-Plan.