PHP2Shell-Test: Ist Ihre Website betroffen?

Betroffen sind Sie, wenn Ihre Website mit PHP läuft und weder eine sichere Version (8.5.12, 8.4.27, 8.3.36, 8.2.35 oder neuer) noch eine Korrektur Ihres Hosters hat. Seiten aus einem Baukasten wie Wix oder Jimdo sind nicht betroffen, dort betreibt der Anbieter die Technik.

In Webhosting-Paketen haben die meisten Hoster das Update bis zum 23. Oktober 2026 eingespielt, oft ohne dass sich die Versionsnummer ändert. Auf einem eigenen Server oder VPS spielt das Update niemand automatisch ein. Für PHP 8.1 und älter gibt es kein offizielles Update mehr, dort schützt nur, was der Hoster selbst nachgerüstet hat. Der Test oben gleicht genau diese Punkte für Ihre Adresse ab.

Der Test liest aus, was Ihr Server öffentlich über PHP verrät, und gleicht es mit den sicheren Versionen und dem Stand Ihres Hosters ab. Er ruft dazu Ihre Startseite einmal ganz normal ab, wie ein Browser.

Ausgewertet werden die Antwort-Header (etwa X-Powered-By), Spuren wie ein PHP-Session-Cookie oder die Kennung von WordPress, die Adresse des Servers und der Netzbetreiber dahinter. Daraus ergibt sich, mit welcher PHP-Version die Seite läuft und bei welchem Hoster sie liegt. Ein Angriff wird dabei nicht versucht.

Sehen Sie nach Ihrer PHP-Version und vergleichen Sie sie mit den sicheren Versionen. Sie steht im Kundenbereich Ihres Hosters unter „PHP-Version“, in WordPress unter „Werkzeuge → Website-Zustand → Bericht“ und auf einem eigenen Server in der Ausgabe von php -v.

Ist die Nummer älter als 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, ist die Seite damit noch nicht offen: Ubuntu, Red Hat, CloudLinux und viele Webhoster bauen die Korrektur ein, ohne die Nummer zu ändern. Dann entscheidet, was Ihr Hoster oder Ihre Distribution gemeldet hat. Die Tabelle auf dieser Seite zeigt den Stand der wichtigsten Webhoster.

Die meisten Server verraten ihre PHP-Version nicht, und das ist aus Sicherheitsgründen auch richtig so. Dann tragen Sie die Version im Test selbst ein.

Sie steht im Kundenbereich Ihres Hosters, meist unter „PHP-Version“ oder „PHP-Einstellungen“ der Domain. In WordPress zeigt sie der Menüpunkt „Werkzeuge → Website-Zustand → Bericht“ im Abschnitt „Server“. Läuft die Seite über Cloudflare, ist zusätzlich der eigentliche Server von außen nicht zu sehen.

Nicht unbedingt: Viele Hoster bauen die Korrektur in die bestehende Version ein, ohne die Nummer zu ändern. Das machen etwa Ubuntu, Red Hat, CloudLinux und mehrere große Webhoster so.

Deshalb zieht der Test den gemeldeten Stand Ihres Hosters mit heran. Hat er das Update für Ihren Zweig bestätigt, lautet das Ergebnis „wahrscheinlich geschützt“. Fehlt eine solche Aussage, bleibt es „unklar“, bis der Hoster es bestätigt.

Dann spielt niemand das Update automatisch ein, das muss der Betreiber des Servers selbst erledigen. Das gilt für virtuelle Server (VPS), Root-Server und Docker-Container.

Bei Anbietern wie Hetzner, IONOS oder STRATO lässt sich von außen nicht unterscheiden, ob eine Seite im Webhosting-Paket oder auf einem eigenen Server liegt. Der Test fragt deshalb nach. Wer sich um den Server nicht selbst kümmern will, kann ihn mit dem Hosting abgeben.

Gegen die Lücke selbst nicht, aber lief die Seite vor dem Update ungeschützt, lohnt ein Blick auf Spuren. Das Update schließt die Lücke, eine vorher eingebaute Hintertür bleibt.

Erste Angriffsversuche gab es laut Amazon schon am 17. Oktober 2026. Unbekannte PHP-Dateien, neue Admin-Konten oder geänderte Theme-Dateien sind Warnzeichen. Was bei einem Befund zu tun ist, steht auf der Seite Website gehackt.