Prüfen Sie nur Systeme, die Ihnen gehören oder für die Sie verantwortlich sind. Unabhängige Seite, nicht mit der PHP Group oder php.net verbunden.
Kurzantwort
- Gepatchte PHP-Versionen: 8.2.35, 8.3.36, 8.4.27 und 8.5.12 (oder neuer). Das sagt php.net seit dem 21.10.2026. Es geht um zwei kritische Lücken, CVE-2026-109618 und CVE-2026-109619, die laut php.net Remote-Code-Ausführung ohne Anmeldung ermöglichen können. „php2shell“ ist der Name, den Wiz Research vergeben hat, kein offizieller PHP-Name.
- Shared Hosting / Webhosting-Paket: Je nach Anbieter spielt er den Patch ein oder Sie müssen selbst handeln (z. B. bei Plesk und DirectAdmin); die Aussagen der Hoster stehen in der Tabelle unten, manche melden erst Schutzmaßnahmen oder Planung. Ihre Aufgabe: PHP-Version im Kundenmenü ansehen, auf einen unterstützten Versionszweig (am besten 8.3 oder neuer) wechseln und beim Hoster nachfragen, ob dessen PHP-Pakete aktualisiert sind.
- vServer, Root-Server, Cloud-Server: Hier sind Sie selbst zuständig. IONOS und netcup sagen das für selbst verwaltete Server ausdrücklich; Hetzner informiert Dedicated- und Cloud-Kunden per E-Mail und nennt sie ausdrücklich selbst zuständig (Tabelle unten).
- PHP 8.1 und älter: Es gibt keine offizielle Release. php.net nennt nur minimale Quellcode-Backports für 7.4, 8.0 und 8.1. Ohne Hersteller-Backport hilft nur der Umstieg.
- Die Lücken sind laut php.net und CERT-EU nicht nur theoretisch: php.net spricht von einem gezeigten Exploit für mod_php, CERT-EU von Proofs of Concept, die kursieren. Andere Stellen sehen es anders: Die japanische IPA und das kanadische Cyber Centre hatten bei ihren Meldungen keine Angriffe bestätigt, und die PHP Foundation fand zum Zeitpunkt der Veröffentlichung keine funktionsfähigen Exploits (Einzelheiten in unserer Übersicht). Da sich das schnell ändern kann, sollten Sie das Update nicht aufschieben.
Ihre Versionsnummer können Sie im Versions-Check eintragen. Er vergleicht nur, was Sie selbst eintippen, direkt in Ihrem Browser.
Was sagen BSI und andere Stellen?
Das BSI führt die Meldung im CERT-Bund-Portal unter WID-SEC-2026-4055, Titel „PHP: Mehrere Schwachstellen ermöglichen Codeausführung“ (zuerst „… ermöglichen nicht spezifizierten Angriff“), Einstufung kritisch, erstmals am 21.10.2026 geführt (noch vor der Veröffentlichung der PHP-Updates, die laut CERT-EU um 13:30 UTC erschienen) und am 22.10.2026 um 11:15 UTC aktualisiert. Die Seite wird per JavaScript geladen; Titel, Datum und CVE-Nummern haben wir über die Listenansicht des Portals bestätigt.
Für Österreich verweist die ENISA-Liste auf einen Hinweis von CERT.at; den Inhalt dieser Seite haben wir nicht geprüft. Die europäische Übersicht von CERT-EU nennt dieselben gepatchten Versionen. Details zu Versionen, Distributionen und Paketnummern: Fixed versions.
Was die Hoster melden (Stand 22.10.2026)
Wir haben nur Anbieter aufgenommen, zu denen wir eine Quelle geprüft haben. Alle Einträge wurden am 22.10.2026 (UTC, gegen 12:30 Uhr) gegen die verlinkte Seite des Anbieters abgeglichen. Statusseiten ändern sich oft, deshalb gilt: Quelle öffnen, bevor Sie sich auf eine Zeile verlassen.
| Anbieter | Status laut Anbieter | Was Kunden tun müssen | Quelle | Geprüft |
|---|---|---|---|---|
| IONOS | IONOS schreibt, die offiziellen PHP-Updates seien auf allen von IONOS selbst betriebenen Plattformen bereits eingespielt; die Störungsmeldung wurde am 22.10. um 10:10 UTC (06:10 Uhr US-Ostküstenzeit) als behoben markiert. Vorher hatte IONOS zusätzliche Schutzmaßnahmen (angepasste PHP-Konfigurationen und aktive Firewall-Regeln) eingesetzt. Versionsnummern nennt die Meldung nicht. | Laut IONOS ist für Kunden keine Aktion nötig. Wer PHP selbst betreibt, etwa auf einem VPS oder Dedicated Server, soll das Update für die aktuelle PHP-Version sofort installieren. | ionos-status.com | 22.10.2026 |
| Hetzner | Laut Meldung wurden Patches für PHP 7.4 und 8.0 bis 8.5 und danach auch für die übrigen PHP-Versionen 5.6 und 7.3 auf allen Webhosting- und Managed-Servern eingespielt („We deployed patches for the remaining PHP versions 5.6 and 7.3 on all Webhosting- and Managed-Servers.“). Letztes Update 22.10., 04:32 UTC. | Kunden von Dedicated- und Cloud-Servern informiert Hetzner per E-Mail; sie müssen ihre Server selbst patchen. | status.hetzner.com | 22.10.2026 |
| netcup | Alle Webhosting-Pakete (einschließlich Reseller) und alle Managed Server sind laut netcup gepatcht und wieder online; auf ihnen sei keine ungepatchte PHP-Version online (Meldung vom 21.10., Update 23:45 MESZ, als erledigt markiert). Das Webhosting-Kundenpanel ist wieder online, nachdem Plesk eine aktualisierte Version bereitgestellt hat. Konkrete PHP-Versionsnummern nennt netcup nicht. | Root-Server, VPS und VMs auf Managed-Cloud-Clustern: selbst patchen. Webhosting und Managed Server: Eine ausdrückliche Handlungsanweisung enthält die Meldung nicht; fragen Sie im Zweifel beim Support nach. | netcup-status.de | 22.10.2026 |
| Infomaniak (CH) | Laut letzter Meldung (22.10., 07:42, Ortszeit laut Seite) sind die Sicherheitsfixes auf der gesamten Shared-Web-Hosting- und Cloud-Server-Infrastruktur für PHP 8.5, 8.4, 8.3, 8.2, 8.1, 8.0 und 7.4 ausgerollt. Die PHP-Versionsnummern bleiben unverändert. Als vorübergehende Maßnahme ist session.upload_progress.enabled deaktiviert; Datei-Uploads sind bei mehreren anderen Diensten zeitweise eingeschränkt. Die Aussage betrifft nur Shared Web Hosting und Cloud Server. Seite auf Französisch. | Wer eine PHP-Version älter als 7.4 nutzt, muss auf eine unterstützte Version wechseln. Sonst nennt die Meldung keine Kundenaktion. | infomaniakstatus.com | 22.10.2026 |
| OVHcloud Web Hosting | Laut Meldung (21.10., 17:53 UTC) sind alle PHP-Releases von 7.4 bis 8.5 auf allen Clustern gepatcht („All php release from 7.4 to 8.5 have been patch on all clusters.“); an den früheren Releases arbeitet OVHcloud noch. Zuvor waren WAF-Regeln auf allen Web-Hosting-Clustern aktiv. Versionsnummern nennt die Meldung nicht. Gilt nur für Web Hosting, nicht für VPS oder Public Cloud. | Für Web Hosting nennt die Meldung keine Kundenaktion. VPS und Public Cloud sind von der Meldung nicht erfasst; prüfen Sie diese Produkte separat. | OVHcloud-Statusmeldung | 22.10.2026 |
Hinweise zur Tabelle:
- Die Zeilen geben wieder, was der Anbieter zum Zeitpunkt seiner Meldung geschrieben hat. Das belegt nicht, dass Ihr Paket schon gepatcht ist. Fragen Sie im Zweifel nach der PHP-Build- oder Paketnummer.
- Cloudflare-WAF und ähnliche Dienste sind nur eine zusätzliche Schicht. Cloudflare sagt selbst, dass PHP trotzdem gepatcht werden muss.
- Zu Strato, ALL-INKL.COM, Host Europe und Mittwald haben wir keinen Eintrag und keine geprüfte Anbieterquelle. Das heißt nicht, dass dort nichts passiert: Sehen Sie in den Kundeninfos und auf der Statusseite des Anbieters nach. Weitere Anbieter weltweit finden Sie unter Hosting-Status.
Was Sie als Kunde konkret tun
- Version feststellen. Im Kundenmenü Ihres Hosters oder per Testdatei (danach wieder löschen), wie in der Anleitung PHP-Version prüfen beschrieben. Die Kommandozeile und die Website können unterschiedliche PHP-Versionen verwenden.
- Versionszweig bewerten. 8.2 bekommt nur noch bis 31.12.2026 Sicherheitsfixes, 8.3 bis 31.12.2027, 8.4 bis 31.12.2028, 8.5 bis 31.12.2029 (php.net). 8.1 ist seit 31.12.2025 am Ende, 8.0 seit 26.11.2023, 7.4 seit 28.11.2022 (php.net/eol). Wer jetzt ohnehin wechselt, wählt 8.3 oder neuer.
- Backup machen, bevor Sie die Version umstellen.
- Version umstellen und die Website testen (siehe nächster Abschnitt).
- Beim Hoster nachfragen, wenn die angezeigte Nummer unter 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 liegt. Das ist nicht automatisch schlecht: Viele Anbieter und Distributionen liefern Korrekturen als Backport, die Nummer bleibt dann alt. Vergleichen Sie mit der Paketversion, die der Anbieter nennt, nicht mit der php.net-Nummer.
- WordPress, Joomla, Nextcloud usw.: Updates der Anwendung beheben das Problem nicht, es liegt im PHP-Interpreter. Siehe WordPress-Anleitung.
Eine Frage, die Sie dem Support schicken können:
Ist für mein Paket / meinen Server das PHP-Update zu CVE-2026-109618 und CVE-2026-109619 bereits eingespielt (gepatchte Versionen 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder ein Backport)? Welche Version oder Paketnummer läuft bei mir?
PHP-Version im Hosting-Panel umstellen
Jeder Anbieter hat eine eigene Oberfläche, und Menünamen ändern sich. Wir geben deshalb nur Pfade an, die in der Herstellerdokumentation stehen. Bei Hostern mit eigenem Kundenmenü (zum Beispiel IONOS oder netcup) suchen Sie im Bereich Ihrer Domain oder Ihres Pakets nach einer Einstellung wie „PHP-Version“ und folgen der Anleitung des Anbieters; die genauen Menünamen haben wir nicht geprüft. Bezeichnungen in der deutschen Oberfläche können von den englischen Namen unten abweichen.
| Panel | Wo die PHP-Version steht und wie Sie wechseln |
|---|---|
| cPanel | MultiPHP Manager zeigt pro Domain die PHP-Version und erlaubt den Wechsel (cPanel-Doku). Angeboten werden nur Versionen, die der Hoster installiert hat. |
| Plesk | Domains > example.com > PHP Settings für eine Domain (Plesk-KB). Laut Plesk-Hinweis (Stand 22.10.2026) gibt es korrigierte PHP-Builds für 8.2 bis 8.5 als 8.2.35, 8.3.36, 8.4.27 und 8.5.12, unter Linux und unter Windows. Unter Linux behalten die abgekündigten Versionen 7.4.33, 8.0.30 und 8.1.34 ihre Nummern; die am 21.10.2026 gebauten Versionen enthalten die Fixes, die Nummer verrät das also nicht. Plesks eigene Oberfläche (sw-engine) ist in Plesk Obsidian 18.0.80 Update 11 und 18.0.81 Update 4 behoben. Plesk empfiehlt, Plesk auf die aktuelle Version zu aktualisieren. |
| DirectAdmin | Benutzer wählen die PHP-Version auf der Seite Domain Setup aus den Versionen, die der Serverbetreiber freigeschaltet hat (DirectAdmin-Doku). |
| WordPress (zur Kontrolle) | Werkzeuge > Website-Zustand > Info > Server (englisch: Tools > Site Health > Info > Server) zeigt die PHP-Version (WordPress-Doku). Dort können Sie sie nur ablesen, nicht ändern. |
Praxistipps:
- Wechseln Sie nicht in einem Schritt von 7.4 auf 8.5. Alte Plugins, Themes und Skripte brechen bei Sprüngen über mehrere Versionen gern. Testen Sie zuerst mit einer Kopie oder einer wenig besuchten Domain.
- Nach der Umstellung die Version erneut ablesen (Kundenmenü oder Testdatei, die Sie danach sofort löschen) und im Versions-Check mit den gepatchten Versionen vergleichen.
- Wenn das Panel nur Versionen unter 8.2 anbietet, fragen Sie den Hoster nach einem Termin oder wechseln Sie den Tarif oder Anbieter.
- Die Umstellung ersetzt keinen Patch: Ob die gewählte Version tatsächlich die Korrektur enthält, hängt davon ab, ob der Anbieter seine Pakete aktualisiert hat.
Wenn Sie es nicht allein machen wollen
Unser persönlicher Patch-Plan kostet 49 US-Dollar: Sie erhalten innerhalb von 24 Stunden per E-Mail schriftliche Schritte für Ihr genaues Setup. Wir greifen nie auf Ihren Server zu; die Schritte führen Sie selbst aus. Nur für Websites und Server, die Ihnen gehören oder für die Sie verantwortlich sind. Zum Patch-Plan
Mehr zum Hintergrund: php2shell erklärt.
Quellen
- php.net: Sicherheitshinweis vom 21.10.2026
- BSI / CERT-Bund WID-SEC-2026-4055
- CERT-EU 2026-018
- NVD: CVE-2026-109618 und CVE-2026-109619
- Statusseiten der Anbieter, jeweils in der Tabelle verlinkt