PHP2Shell-Checker: Ist meine PHP-Version betroffen?

Führen Sie den PHP2Shell-Check für jede PHP-Laufzeit durch: Host-CLI, jeder PHP-FPM-Pool, Apache mod_php und jedes Container-Image können unterschiedliche Versionen haben.

Tipp: Sie können die erste Zeile von php -v einfügen, etwa PHP 8.3.35 (cli) (built: …). Der Checker erkennt die Versionsnummer.

Ist meine PHP-Version von PHP2Shell betroffen?

• **Ja**, wenn Sie PHP 8.2, 8.3, 8.4 oder 8.5 unterhalb des Fix-Releases in der Tabelle betreiben.
• **Wahrscheinlich ja** bei PHP 5.4 bis 8.1: Diese Zweige sind End of Life, das PHP-Projekt hat kein Release veröffentlicht. Manche Distributionen portieren den Fix zurück; siehe Distributions-Fixes.
• **Laut Advisory nicht betroffen**, wenn Sie das Fix-Release oder neuer nutzen und nach dem Upgrade alle PHP-Worker neu gestartet haben.

Wie prüfe ich, ob mein Server eine verwundbare PHP-Version nutzt?

Diese Befehle lesen nur Versionen auf Ihren eigenen Maschinen aus. Führen Sie sie als derselbe Benutzer bzw. im selben Container wie die Website aus und fügen Sie die Version in den PHP2Shell-Checker ein.

# 1. PHP version on the host (CLI)
php -v

# 2. PHP version inside each container
docker ps --format '{{.Names}}'
docker exec <container> php -v

# 3. Package version (shows distro backports)
dpkg -l | grep -E '^ii +php'          # Debian / Ubuntu
rpm -qa | grep -i '^php'              # RHEL / Alma / Rocky / Fedora / SUSE
apk info -v | grep -i '^php'          # Alpine

# 4. Version the web server actually runs (FPM / mod_php may differ from CLI)
php-fpm -v 2>/dev/null || ls /usr/sbin/php-fpm*

Welche PHP-Versionen sind gepatcht?

• Upstream-Fixes: **8.5.12**, **8.4.27**, **8.3.36** und **8.2.35** (Quellcode und Windows-Builds auf php.net).
• Distributionspakete: siehe Distributions-Fixes.
• Nach dem Upgrade PHP-FPM, Apache (mod_php), php-cgi, LiteSpeed oder FrankenPHP neu starten und Container neu bauen. Anleitung: Abhilfe.

PHP2Shell-Scanner oder Versionsprüfung?

• Eine **Versionsprüfung** (diese Seite) vergleicht nur Nummern. Sie ist sicher, sofort und offline nutzbar, sieht aber keine Backports und nicht, ob der verwundbare Codepfad erreichbar ist.
• Ein **PHP2Shell-Scanner** sendet Anfragen an einen Server. Nutzen Sie Scanner nur für eigene oder freigegebene Systeme. Diese Website scannt oder untersucht keine fremden Hosts.
• Viele Server verbergen die PHP-Version (expose_php = Off), sodass Fernprüfungen sie übersehen. Die Prüfung im Server ist zuverlässiger.

Produkte mit eigenem PHP prüfen

• Control-Panels, NAS, Appliances und All-in-one-Stacks bringen eigenes PHP mit und werden nach dem Zeitplan des Herstellers gepatcht: cPanel, Plesk, aaPanel, XAMPP, Bitnami, Coolify, CloudPanel, Synology, QNAP und mehr.
• Status, Prüfbefehle und Fixes je Produkt: Produkte.
• Viele Hosts oder Container? Lassen Sie einen KI-Agenten inventarisieren: Mit KI prüfen.

Wenn der PHP2Shell-Check „betroffen“ meldet

• Auf das Fix-Release Ihres Zweigs aktualisieren oder das Sicherheitsupdate der Distribution einspielen: Abhilfe.
• Alle PHP-Worker neu starten und die neue Version mit php -v und einer kurzlebigen phpinfo()-Seite bestätigen, die Sie danach löschen.
• Wenn Sie nicht bald patchen können, erwägen Sie eine vorübergehende Abschaltung, wie es mehrere Organisationen getan haben: Ausfälle.