PHP2Shell-checker: is mijn PHP-versie getroffen?

Voer de PHP2Shell-check uit voor elke PHP-omgeving: de CLI op de host, elke PHP-FPM-pool, Apache mod_php en elke container-image kunnen verschillende versies draaien.

Tip: je kunt de eerste regel van php -v plakken, zoals PHP 8.3.35 (cli) (built: …). De checker haalt het versienummer eruit.

Is mijn PHP-versie getroffen door PHP2Shell?

• **Ja**, als je PHP 8.2, 8.3, 8.4 of 8.5 draait onder de fix-release in de tabel.
• **Waarschijnlijk wel** bij PHP 5.4 tot en met 8.1: deze branches zijn end-of-life en het PHP-project bracht geen release uit. Sommige distributies backporten de fix; zie distributie-fixes.
• **Volgens het advies niet getroffen** als je de fix-release of nieuwer draait en na de upgrade alle PHP-workers hebt herstart.

Hoe controleer je of je server een kwetsbare PHP-versie draait?

Deze alleen-lezen-commando’s tonen alleen versies op je eigen machines. Voer ze uit als dezelfde gebruiker of in dezelfde container als de site en plak de versie in de PHP2Shell-checker.

# 1. PHP version on the host (CLI)
php -v

# 2. PHP version inside each container
docker ps --format '{{.Names}}'
docker exec <container> php -v

# 3. Package version (shows distro backports)
dpkg -l | grep -E '^ii +php'          # Debian / Ubuntu
rpm -qa | grep -i '^php'              # RHEL / Alma / Rocky / Fedora / SUSE
apk info -v | grep -i '^php'          # Alpine

# 4. Version the web server actually runs (FPM / mod_php may differ from CLI)
php-fpm -v 2>/dev/null || ls /usr/sbin/php-fpm*

Welke PHP-versies zijn gepatcht?

• Upstream fix-releases: **8.5.12**, **8.4.27**, **8.3.36** en **8.2.35** (broncode en Windows-builds op php.net).
• Distributiepakketten: zie distributie-fixes.
• Herstart na de upgrade PHP-FPM, Apache (mod_php), php-cgi, LiteSpeed of FrankenPHP en bouw containers opnieuw. Stappen: oplossing.

PHP2Shell-scanner of versiecheck?

• Een **versiecheck** (deze pagina) vergelijkt alleen nummers die jij invult. Veilig, direct en offline, maar ziet geen backports en niet of het kwetsbare codepad bereikbaar is.
• Een **PHP2Shell-scanner** stuurt verzoeken naar een server. Gebruik scanners alleen op systemen die je bezit of mag testen. Deze site scant of onderzoekt geen hosts van derden.
• Veel servers verbergen de PHP-versie (expose_php = Off), waardoor controles op afstand ze missen. Controleren vanaf de server zelf is betrouwbaarder.

Producten met eigen PHP controleren

• Controlepanelen, NAS, appliances en alles-in-één-stacks leveren hun eigen PHP en worden volgens de planning van de leverancier gepatcht: cPanel, Plesk, aaPanel, XAMPP, Bitnami, Coolify, CloudPanel, Synology, QNAP en meer.
• Status, controlecommando’s en fixes per product: producten.
• Veel hosts of containers? Laat een AI-agent de inventaris maken: controleren met AI.

Als de PHP2Shell-check „getroffen” zegt

• Upgrade naar de fix-release van je branch of installeer de beveiligingsupdate van je distributie: oplossing.
• Herstart alle PHP-workers en bevestig de nieuwe versie met php -v en een tijdelijke phpinfo()-pagina die je meteen verwijdert.
• Kun je niet snel patchen, overweeg dan de dienst tijdelijk offline te halen, zoals meerdere organisaties deden: storingen.