KI-Agent-Leitfaden

Ist mein Produkt oder meine Website betroffen? Mit einem KI-Agenten prüfen

Viele Websites nutzen PHP nicht direkt, sondern über XAMPP, ein Hosting-Panel, ein NAS, ein Docker-Image oder eine Appliance. Mit diesen Nur-Lese-Prompts findet ein KI-Agent jede PHP-Laufzeit, vergleicht sie mit den Fix-Versionen und erstellt eine Tabelle, ohne etwas zu ändern.

Zuletzt aktualisiert 2026-10-22

Was die Prompts den Agenten tun lassen

System-PHP, Bundles (XAMPP, MAMP, Laragon), Panels, Container, NAS und Appliances inventarisieren.
Version, Herkunft und Erreichbarkeit erfassen.
Herstellerverwaltete Einträge den Produktseiten zuordnen.
Bewertungstabelle ausgeben: Behoben / Verwundbar / Unklar / Herstellerverwaltet.

Agenten sicher einsetzen

Jeden Befehl vor der Freigabe lesen; den Agenten im Modus lassen, der vor Shell-Befehlen fragt.
Zuerst Staging oder eine Kopie; vor Änderungen in Produktion Backup oder Snapshot anlegen.
Kein unbeaufsichtigtes sudo/root auf Produktionsservern; privilegierte Befehle einzeln freigeben.
Nie Passwörter, API-Schlüssel, Tokens oder .env-Inhalte in einen Prompt kopieren; für die Versionsprüfung sind sie unnötig.
Keinen Exploit-Code oder „Test-Payloads“ verlangen; geprüft wird über Versionen, Changelogs und Logs.
Agenten irren sich; die finale Version selbst auf der laufenden PHP-FPM- oder mod_php-Instanz prüfen.

Prompts zum Kopieren

Die Prompts sind auf Englisch, damit jeder Agent sie zuverlässig befolgt; die letzte Zeile verlangt einen Bericht auf Deutsch. Die Fakten stammen von den Seiten dieser Website.

Nur-Lese-Inventar aller PHP-Laufzeiten auf einem Rechner

Audit this machine for PHP2Shell exposure. This is a READ-ONLY audit.

Context: PHP2Shell is CVE-2026-109618 and CVE-2026-109619, two critical unauthenticated remote-code-execution bugs in the PHP runtime (advisory published 21 October 2026). Fixed upstream releases: PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 (or later on the same branch). PHP 8.1 and earlier get no upstream fix. Linux distributions may ship backported fixes under an older version string, so check the distro's security tracker / package changelog for CVE-2026-109618 and CVE-2026-109619, not only "php -v".

Rules for you (the agent):
- Read-only: do not install, upgrade, delete, restart or change any file or service. Do not use sudo unless I approve a specific read-only command.
- Do not write, download or run exploit code, and do not probe other hosts.
- Do not print secrets you see; redact them.
- Show each command before you run it.

Find every PHP runtime, including bundled ones:
1. System PHP: php -v, php-fpm*, mod_php, every binary named php* on PATH and under /usr, /opt, /usr/local.
2. Bundled stacks: XAMPP (/opt/lampp, C:\xampp), MAMP (/Applications/MAMP), WampServer, Laragon, Local, Herd, Valet.
3. Hosting panels: cPanel ea-php, Plesk plesk-php, aaPanel/宝塔 /www/server/php, DirectAdmin, CyberPanel lsphp, HestiaCP.
4. Containers: docker ps / docker images / kubectl, and php -v inside each running container.
5. Apps that run on PHP (WordPress, Magento, Drupal, Joomla, Moodle, Nextcloud, phpMyAdmin, GLPI ...) and which PHP each one uses.
6. If this is a NAS or vendor appliance (Synology, QNAP, Unraid, pfSense, OPNsense, FreePBX ...), report the product and firmware version only; such PHP is updated by the vendor firmware.

For each item record: product/location, PHP version, how it is installed (distro package / vendor bundle / container / custom build), whether it is internet-facing, and whether the version is >= the fixed release on its branch or has a distro backport.

Output a verdict table with columns: Item | PHP version | Source | Exposed? | Verdict (Fixed / Vulnerable / Unknown / Vendor-managed) | Next step. Then list the matching product pages from https://phpvulnerabilities.app/affected-products/ for anything vendor-managed.

Write your report in German.

Ein bestimmtes Produkt oder Appliance prüfen

I run [PRODUCT NAME AND VERSION]. Tell me whether it is affected by PHP2Shell. This is research and a READ-ONLY check.

Context: PHP2Shell is CVE-2026-109618 and CVE-2026-109619, two critical unauthenticated remote-code-execution bugs in the PHP runtime (advisory published 21 October 2026). Fixed upstream releases: PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 (or later on the same branch). PHP 8.1 and earlier get no upstream fix. Linux distributions may ship backported fixes under an older version string, so check the distro's security tracker / package changelog for CVE-2026-109618 and CVE-2026-109619, not only "php -v".

Rules: do not write or run exploit code; do not change anything; never ask for or print credentials.

Steps:
1. Find out whether this product bundles its own PHP or uses the system PHP, and which PHP version the version I named ships with.
2. Look for the vendor's official advisory, changelog or knowledge-base article about CVE-2026-109618 / CVE-2026-109619, and the matching page under https://phpvulnerabilities.app/affected-products/. Cite each source with its URL and date; if you find none, say so instead of guessing.
3. If I can give you shell access, list the read-only commands that would confirm the runtime version, and wait for me to run them or approve them.

Output a verdict table: Product | Version | Bundled PHP | Vendor status | Verdict (Fixed / Vulnerable / Unknown) | Fix path (vendor update, upgrade host PHP, or mitigate) | Sources.

Write your report in German.

Flotten- oder Repository-Audit (viele Server, IaC, CI)

Audit this repository (and any inventory files it contains) for PHP2Shell exposure. READ-ONLY: do not edit files, open pull requests or connect to servers unless I approve.

Context: PHP2Shell is CVE-2026-109618 and CVE-2026-109619, two critical unauthenticated remote-code-execution bugs in the PHP runtime (advisory published 21 October 2026). Fixed upstream releases: PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 (or later on the same branch). PHP 8.1 and earlier get no upstream fix. Linux distributions may ship backported fixes under an older version string, so check the distro's security tracker / package changelog for CVE-2026-109618 and CVE-2026-109619, not only "php -v".

Rules: no exploit code, no scanning of hosts, redact secrets.

1. Search Dockerfiles, compose files, Helm charts, Terraform/Ansible/Puppet/Chef code, CI workflows, .tool-versions, composer.json "config.platform.php" and "require.php" for PHP versions and base images.
2. List every place a PHP version or image is pinned, and resolve tags like php:8.3-fpm to the patch level they currently point to if you can.
3. Mark each as Fixed / Vulnerable / Unknown against 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (or a distro backport), and flag PHP 8.1 or older.

Output a verdict table: File | Line | Image or package | PHP version | Verdict | Suggested change. Do not apply the changes; list them for my review.

Write your report in German.

Verbreitete KI-Coding-Agenten

Ohne Rangfolge. Diese Website ist mit keinem Anbieter verbunden.

OpenAI Codex CLI	`codex` im Projekt oder auf dem Server starten, Prompt einfügen; im Freigabemodus lassen, der vor Befehlen fragt.
Claude Code	`claude` im Terminal starten, Prompt einfügen; standardmäßig fragt es vor Befehlen nach Erlaubnis.
Cursor (Agent)	Repo oder Remote-SSH-Sitzung öffnen, in den Agent-Chat einfügen, jeden Terminalbefehl vorher prüfen.
Cursor Cloud Agents	Für Docker-/Repository-Prompts: arbeitet auf einem Branch, Sie prüfen den Diff; kein Zugriff auf Ihre Server.
Grok Build (xAI CLI)	Terminal-Coding-Agent von xAI; im Projekt oder auf dem Server starten. Ohne Shell in den Grok-Chat auf grok.com einfügen und die Befehle selbst ausführen.
GitHub Copilot coding agent	Ein Issue mit dem Docker-/Repository-Prompt Copilot zuweisen; es öffnet einen Pull Request.
Gemini CLI	`gemini` im Terminal starten, Prompt einfügen, jeden Befehl bestätigen.
Windsurf (Cascade)	In Cascade im Editor einfügen; windsurf.com leitet derzeit auf Devin Desktop weiter.
Cline	VS-Code-Erweiterung; in das Cline-Panel einfügen und jeden Befehl freigeben.
Aider	Für Docker-/Repository-Prompts: `aider` im Repo starten und die Commits prüfen.

FAQ

Wie erkenne ich, ob meine Website von PHP2Shell betroffen ist?

Die PHP-Version ermitteln, die die Website ausliefert (nicht nur php -v), und mit 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 oder dem Backport-Paket der Distribution vergleichen. Der Inventar-Prompt erledigt das für jede Laufzeit.

Ändert das Audit etwas?

Nein. Die Prompts verlangen Nur-Lese-Betrieb und Rückfrage vor jedem sudo-Befehl.

Mein PHP steckt in einem NAS, Panel oder einer Appliance?

Dieses PHP aktualisiert der Hersteller. Die Produktseite in der Liste betroffener Produkte prüfen und das Hersteller-Update installieren.