PHP2Shell-Selbsttest: Welche PHP-Version meldet Ihre Seite?

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen, Kurzname „PHP2Shell“. Ob Ihre Seite den Fix hat, hängt an der PHP-Version auf dem Server. Dieser Test zeigt Ihnen in wenigen Sekunden, welche Version Ihre Seite nach außen meldet und wie das einzuordnen ist. Hintergrund und Gegenmaßnahmen stehen im Artikel zu PHP2Shell.

Prüfen Sie nur Domains, für die Sie verantwortlich sind.

PHP-Check zu PHP2Shell

Domain Ihrer Webseite, zum Beispiel beispiel.de

In unserer Datenbank legen wir die eingegebene Domain nicht im Klartext ab. Für 10 Minuten behalten wir nur einen Prüfwert (Hash) der Domain zusammen mit dem Ergebnis, damit wiederholte Prüfungen die Seite nicht erneut belasten. Ihre IP-Adresse nutzen wir nur als Prüfwert (Hash) für die Missbrauchsbremse. Beide Prüfwerte sind pseudonym, nicht anonym, und verfallen nach 10 Minuten. Wie bei jedem Seitenaufruf vermerkt der Webserver die aufgerufene Adresse einschließlich der Domain und Ihrer IP-Adresse in seinem Protokoll. Der Verarbeitung können Sie widersprechen. Datenschutzerklärung, Ziffer 19

Jetzt prüfen

Was der Test tut

Unser Server ruft die Startseite der eingegebenen Domain genau einmal ab. Er liest dabei nur die Kopfzeilen der Antwort, also die technischen Angaben, die ein Server ohnehin an jeden Besucher mitschickt. Seiteninhalte werten wir nicht aus, Unterseiten rufen wir nicht ab, Anmeldeseiten und Formulare lassen wir in Ruhe.

Inhalte Ihrer Seite speichern wir nicht. Zwei Dinge halten wir allerdings für zehn Minuten vor: einen Prüfwert Ihrer IP-Adresse (IP-Hash), mit dem wir die Zahl der Prüfungen je Anschluss begrenzen, und einen Prüfwert der eingegebenen Domain (Domain-Hash) samt Ergebnis, damit niemand dieselbe Seite im Sekundentakt anfragt. Ein solcher Prüfwert ist ein nicht umkehrbarer Wert (Hash) und kein Klartext. Er ist trotzdem pseudonym, nicht anonym: Mit der passenden Domain oder IP-Adresse lässt er sich einer Person wieder zuordnen. Nach zehn Minuten verfällt er, abgelaufene Einträge löscht WordPress in der Regel mit der täglichen Bereinigung. Wie bei jedem Seitenaufruf taucht die Eingabe außerdem zusammen mit Ihrer IP-Adresse im Zugriffsprotokoll des Webservers auf, dafür gelten die Ziffern 03 und 10 der Datenschutzerklärung. Alle Angaben zum PHP-Check stehen in der Datenschutzerklärung, Ziffer 19.

Pro Anschluss sind nur wenige Prüfungen in kurzer Zeit möglich. Das schützt das Werkzeug vor Missbrauch.

So lesen Sie die Ampel

• Grün: Die gemeldete PHP-Version enthält den offiziellen Fix. Das gilt für 8.5.12, 8.4.27, 8.3.36, 8.2.35 und jede neuere Nummer derselben Reihe.
• Gelb: Von außen nicht eindeutig. Häufig steht eine ältere Nummer mit einem Zusatz des Betriebssystems da. Manche Anbieter spielen Korrekturen ein, ohne die Nummer zu ändern. Fragen Sie in diesem Fall Ihren Hoster.
• Rot: Die gemeldete Version hat den offiziellen Fix nicht. Für 8.1, 8.0 und 7.x erscheint laut PHP-Projekt keine neue Version mehr. Planen Sie die Umstellung auf 8.3 oder 8.4 und legen Sie vorher eine Sicherung an.
• Nicht ermittelbar: Der Server nennt seine Version nicht, die Seite war nicht erreichbar oder der Abruf wurde abgelehnt. Das ist weder Entwarnung noch Alarm, siehe nächster Abschnitt.

Warum „Nicht ermittelbar“ weder Alarm noch Entwarnung ist

Dahinter stecken mindestens drei Fälle. Der Server verschweigt seine PHP-Version. Die Seite war im Moment des Abrufs nicht erreichbar. Oder der Server hat den Abruf abgelehnt, etwa weil eine Firewall automatische Anfragen blockt. Von außen lässt sich nicht unterscheiden, welcher Fall vorliegt.

Wer seine Versionsnummer nicht nach außen schickt, gibt Angreifern keinen Hinweis, welche Lücke sich lohnt. Das kann ein Zeichen für Härtung sein, muss es aber nicht. Dieser Test kann in jedem der drei Fälle nichts bewerten.

Die Version finden Sie trotzdem. In WordPress melden Sie sich als Administrator an und öffnen Werkzeuge, dann Website-Zustand, dann den Reiter Info. Klappen Sie den Bereich „Server“ auf. In der Zeile „PHP-Version“ steht die Nummer. Vergleichen Sie sie mit der Liste oben. Alternativ zeigt auch das Kundenmenü Ihres Hosters die eingestellte PHP-Version.

Was der Test nicht kann

Das Ergebnis ist eine Momentaufnahme ohne Gewähr. Kopfzeilen können fehlen, verändert oder veraltet sein. Ob der Hoster den Fix eingespielt hat, ohne die Nummer anzupassen, sieht man von außen nicht. Ob ein Angreifer bereits auf einer Seite war, ebenso wenig. Dafür muss jemand in die Dateien und Protokolle auf dem Server schauen. Der Test ist weder eine Sicherheitsbescheinigung noch eine Rechts- oder Sicherheitsberatung im Einzelfall.

Widerspruch: Sie wollen Ihre Domain nicht prüfbar machen?

Wenn Sie Inhaber einer Domain sind und nicht möchten, dass sie über dieses Werkzeug abgefragt wird, können Sie der Verarbeitung nach Art. 21 DSGVO widersprechen, siehe Datenschutzerklärung, Ziffer 19. Schreiben Sie uns dazu formlos eine E-Mail an mpeter@expertomundi.de und nennen Sie die Domain. Wir prüfen Ihren Wunsch und antworten Ihnen innerhalb eines Monats.

Wenn Sie das nicht selbst machen wollen

Kostenlos ist bei uns die Prüfung der PHP-Version, auch für Betriebe im Westerwald und Umgebung. Die Spurensuche nach Einbruchsspuren auf dem Server gibt es nur nach schriftlicher Beauftragung samt Vereinbarung zur Auftragsverarbeitung (AV-Vereinbarung) und nach vorheriger Kostenabsprache. Schreiben Sie uns eine E-Mail an mpeter@expertomundi.de oder nutzen Sie die Schaltfläche „WhatsApp“.