Produkte und Stacks · Hosting-Plattformen und Server-Manager

PHP2Shell in Bluehost: betroffen und wie beheben

Kurzurteil

Betroffen; ein Fix existiert nur für einige Versionen oder Komponenten.

Herstellerstatus: Teilweise behoben
PHP: patched builds deploying · cPanel 8.2–8.5 + 7.4–8.1 backports · CloudLinux/TuxCare backports 5.2–8.5 · Plesk · VPS/dedicated: package update
Zuletzt geprüft: 2026-10-22

Bluehosts Statusmeldung „PHP Updates“ (veröffentlicht am 21. Oktober) sagt im letzten Update vom 22. Oktober, 10:00 Uhr US-Ostküstenzeit (14:00 UTC), die Teams seien beim Ausrollen gepatchter PHP-Builds auf der gesamten Hosting-Infrastruktur deutlich vorangekommen, und listet die Builds nun auf: unter cPanel EasyApache 4 PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 plus Hersteller-Backports 8.1.34-5, 8.0.30-12 und 7.4.33-19; unter CloudLinux EasyApache 4 für CentOS 7 / CloudLinux 7 Backports für jeden Zweig von 5.2 bis 8.3 (etwa ea-php83 8.3.35-2.el7.cloudlinux.2 und ea-php74 7.4.33-18.el7.cloudlinux.13); CloudLinux/TuxCare-alt-php-ELS-Builds für 5.2 bis 8.5 (etwa alt-php85 8.5.11-5 und alt-php82 8.2.34-7); Plesk PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 plus Plesk Obsidian 18.0.81 Update 4 / 18.0.80 Update 11 für das PHP des Panels selbst; dazu Distributionspakete für AlmaLinux, Rocky Linux, CentOS Stream, Fedora, Ubuntu und Debian. Viele Backports behalten eine ältere Versionsnummer, vergleichen Sie daher den vollständigen Build-String. Laut Bluehost ist eine Site gepatcht und es ist nichts zu tun, wenn die in phpinfo() angezeigte Version einem gelisteten Build entspricht oder neuer ist; wer VPS oder Dedicated Server selbst verwaltet, soll ein Paket-Update im Control Panel ausführen, und Kunden mit Handlungsbedarf werden per E-Mail informiert. Das vorige Update (23:00 Uhr US-Ostküstenzeit am 21. Oktober) meldete die Mehrheit der Server als gepatcht, mit weiter aktiven Gegenmaßnahmen, die Upload-Größen begrenzen können. Einen Abschlusstermin nennt die Meldung nicht.

So prüfen Sie die PHP-Version von Bluehost

Führen Sie den passenden Befehl aus. Eine Version ab 8.2.35, 8.3.36, 8.4.27 bzw. 8.5.12 im jeweiligen Zweig ist gepatcht; ältere Zweige nur mit einem Hersteller-Build, der das ausdrücklich sagt.

php -v

Das Kommandozeilen-php kann sich vom PHP unterscheiden, das die Website ausliefert. Prüfen Sie sicherheitshalber die Web-SAPI (temporäre phpinfo()-Seite hinter Login oder die PHP-Einstellungen im Panel) und entfernen Sie sie danach. Unser Versions-Check vergleicht die Nummer für Sie.

🔎 Versionsnummer gefunden? Prüfen Sie sie im PHP2Shell-Checker →

So beheben Sie PHP2Shell in Bluehost

Klären Sie, woher das PHP dieser Anwendung stammt: Distribution, Drittanbieter-Repository (Ondřej Surý, Remi), Hosting-Panel, Docker-Image oder Ihr Hoster.
Aktualisieren Sie dieses PHP auf 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder einen Hersteller-Build mit Backport und starten Sie alle PHP-Worker neu.
Auf Shared- oder Managed-Hosting können Sie PHP nicht selbst patchen: Fragen Sie den Hoster, ob gepatchtes PHP ausgerollt ist, und stellen Sie die Site im Panel auf eine gepatchte Version um.
Läuft die Site noch auf PHP 8.1 oder älter, ziehen Sie auf einen unterstützten Zweig um; PHP hat für 7.4, 8.0 und 8.1 nur Quell-Patches veröffentlicht.

Die Prüfung lieber einem KI-Agenten überlassen? Betroffenheit prüfen · Mit KI-Agent beheben

Wenn Sie noch nicht patchen können

session.upload_progress.enabled = 0 dort setzen, wo Anwendungen es nicht überschreiben können (php.ini, php_admin_value im FPM-Pool oder in der Apache-Konfiguration), und PHP neu starten.
Unter PHP 8.5 fatal_error_backtraces = 0 setzen.
PHPs Übergangsempfehlung umfasst auch memory_limit und ein niedriges post_max_size; folgen Sie genau der Abhilfe-Seite, denn diese Einstellungen decken nur einige Pfade ab.
Bei PHP 8.1 oder älter ohne Hersteller-Backport Zugriff beschränken (VPN, IP-Allowlist) oder den Dienst offline nehmen. WAF-Regeln helfen, sind aber kein Fix.

FAQ

Ist Bluehost von PHP2Shell betroffen?

Betroffen; ein Fix existiert nur für einige Versionen oder Komponenten. Bluehosts Statusmeldung „PHP Updates“ (veröffentlicht am 21. Oktober) sagt im letzten Update vom 22. Oktober, 10:00 Uhr US-Ostküstenzeit (14:00 UTC), die Teams seien beim Ausrollen gepatchter PHP-Builds auf der gesamten Hosting-Infrastruktur deutlich vorangekommen, und listet die Builds nun auf: unter cPanel EasyApache 4 PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 plus Hersteller-Backports 8.1.34-5, 8.0.30-12 und 7.4.33-19; unter CloudLinux EasyApache 4 für CentOS 7 / CloudLinux 7 Backports für jeden Zweig von 5.2 bis 8.3 (etwa ea-php83 8.3.35-2.el7.cloudlinux.2 und ea-php74 7.4.33-18.el7.cloudlinux.13); CloudLinux/TuxCare-alt-php-ELS-Builds für 5.2 bis 8.5 (etwa alt-php85 8.5.11-5 und alt-php82 8.2.34-7); Plesk PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 plus Plesk Obsidian 18.0.81 Update 4 / 18.0.80 Update 11 für das PHP des Panels selbst; dazu Distributionspakete für AlmaLinux, Rocky Linux, CentOS Stream, Fedora, Ubuntu und Debian. Viele Backports behalten eine ältere Versionsnummer, vergleichen Sie daher den vollständigen Build-String. Laut Bluehost ist eine Site gepatcht und es ist nichts zu tun, wenn die in phpinfo() angezeigte Version einem gelisteten Build entspricht oder neuer ist; wer VPS oder Dedicated Server selbst verwaltet, soll ein Paket-Update im Control Panel ausführen, und Kunden mit Handlungsbedarf werden per E-Mail informiert. Das vorige Update (23:00 Uhr US-Ostküstenzeit am 21. Oktober) meldete die Mehrheit der Server als gepatcht, mit weiter aktiven Gegenmaßnahmen, die Upload-Größen begrenzen können. Einen Abschlusstermin nennt die Meldung nicht.

Behebt ein Update von Bluehost selbst CVE-2026-109618 und CVE-2026-109619?

Nur wenn das Update gepatchtes PHP enthält. PHP2Shell ist eine Lücke im PHP-Interpreter; entscheidend ist das PHP, auf dem Bluehost läuft. Prüfen Sie die Version nach dem Update.

Welche PHP-Versionen beheben PHP2Shell?

PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12, veröffentlicht am 21. Oktober 2026. PHP 8.1 und älter bekommen kein Release vom PHP-Projekt; nur Hersteller-Builds mit Backport (oder selbst gebaute Quell-Patches für 7.4, 8.0 und 8.1) beheben sie.

Was, wenn es für Bluehost noch keinen Fix gibt?

Die PHP-basierte Weboberfläche vom Internet fernhalten (VPN oder IP-Allowlist), PHPs Übergangseinstellungen wie das Abschalten von Session-Upload-Progress anwenden und das Hersteller-Update sofort installieren. Übergangseinstellungen senken das Risiko, sind aber kein Fix.

← Alle Produkte mit eingebautem PHP

Siehe auch: Abhilfe nach Plattform · Betroffene Versionen · Herstellerstatus

Quellen

Externe Links verlassen diese Website. Wir hosten keinen Exploit-Code.

Inoffizielle Zusammenfassung öffentlicher Quellen. Diese Website ist weder mit dem Hersteller noch mit dem PHP-Projekt verbunden und hostet keinen Exploit-Code.