Kostenloser Check · Oktober 2026
PHP-Sicherheits-Check: Ist Ihre Website von den PHP-Lücken betroffen?
Worum es geht: Am 20. und 21. Oktober 2026 wurden zwei kritische Lücken in PHP bekannt — der Technik, auf der WordPress, Joomla, TYPO3 und die meisten Shops laufen. Angreifer können damit ohne Anmeldung eigenen Code auf dem Server ausführen; die Hoster spielen seither Korrekturen ein, aber nicht alle gleich schnell. Dieser Check sagt Ihnen, was sich von außen über Ihre Website erkennen lässt — und was nur Ihr Hoster beantworten kann.
Adresse eingeben, Ergebnis lesen
Rein passiv: Ich lese, was Ihre Website jedem Besucher ohnehin zeigt — keine Angriffsversuche, keine Logins. Die Adresse geht an meinen eigenen Prüfdienst pagecheck.at und wird nicht gespeichert, nur ein Tageszähler.
Drei ehrliche Stufen statt „sicher“ oder „unsicher“
Ein Check von außen kann den Patch-Stand nicht sehen. Das habe ich diese Woche selbst erlebt: Bei einer betreuten Hotelseite hat der Hoster die Korrektur als sogenannten Backport eingespielt — die Versionsnummer blieb exakt gleich. Wer Ihnen also nach einem Klick „Ihre Seite ist sicher“ oder „Ihre Seite ist gehackt“ verspricht, rät. Deshalb gibt es hier nur drei Antworten:
- Kein PHP erkennbar. Keine PHP-Spuren, kein PHP-System — für diese Lücken die beste Nachricht, mit der ehrlichen Einschränkung, dass ein verstecktes Backend von außen unsichtbar bleibt.
- PHP im Einsatz, Patch-Stand nur beim Hoster prüfbar. Ihre Seite läuft mit PHP (z. B. WordPress). Ob die Korrektur drin ist, weiß nur der Hoster — Sie bekommen den fertigen Fragetext zum Kopieren.
- Version sichtbar und älter als die gepatchten Fassungen. Der Server meldet eine PHP-Version unter 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12. Kein Urteil — aber eine Frage, die Sie heute stellen sollten.
Was ich prüfe — und was nicht
Geprüft werden nur Dinge, die jeder Browser ohnehin sieht: die Antwort-Header des Servers (verrät er PHP oder eine Versionsnummer?), Spuren von PHP im Quelltext (.php-Adressen, Sitzungs-Cookies, WordPress-Pfade), sichtbare Versionsnummern von CMS, Plugins und Themes, das TLS-Zertifikat und der Netzbetreiber, hinter dem meist der Hoster steckt. Dazu drei normale Aufrufe öffentlicher Standardadressen, wie sie WordPress von Haus aus anlegt.
Nicht geprüft wird, ob die Lücke ausnutzbar ist. Das wäre ein Angriffsversuch — rechtlich tabu und bei mir ohnehin ausgeschlossen. Und nicht gesehen wird, was der Hoster intern eingespielt hat. Dafür gibt es den Fragetext.
Zwei Wege, wenn Sie das nicht allein klären wollen
Ich prüfe das persönlich
Ich sehe mir Ihre Website genauer an, vergleiche die Dateien mit den Originalen, spreche mit Ihrem Hoster und sage Ihnen schriftlich, wo Sie stehen und was zu tun ist. So habe ich es diese Woche für eine betreute Hotelseite gemacht — inklusive Testkopie mit aktuellem PHP.
Per E-Mail, kurzem Call oder gemeinsam am Bildschirm — wie es Ihnen lieber ist.
Anfrage schickenSeiten von meinhold.at haben kein PHP
Meine Kundenseiten sind fertige Dateien auf Cloudflare — kein Programm, das am Server rechnet, keine Datenbank, kein Login im Netz. Diese Angriffsfläche ist null; diese Woche gab es nichts zu patchen. Ehrlich dazu: Shops, Buchungssysteme und Mitgliederbereiche brauchen dynamische Teile — die laufen dann bei spezialisierten Diensten, nicht auf Ihrem Server.
Gründerpreis €299 statt €699, Aktion bis 31.12.2026 · optional Rundum-Sorglos €69/Monat mit Hosting, Backups und Updates.
Preise ansehenHäufige Fragen
Sagt der Check, ob meine Website sicher ist?
Nein — und das kann von außen niemand ehrlich sagen. Hoster spielen Sicherheitskorrekturen oft als Backport ein, ohne dass sich die Versionsnummer ändert. Der Check zeigt, was erkennbar ist, und liefert den Fragetext für den Hoster. Der kann den Patch-Stand bestätigen.
Greift der Check meine Website an?
Nein. Er liest nur, was jeder Besucher ohnehin bekommt: Antwort-Header, sichtbare Versionsnummern, das TLS-Zertifikat und den Netzbetreiber. Keine Angriffsversuche, keine Logins, keine Formulare.
Wird die geprüfte Adresse gespeichert?
Nein. Die Prüfung läuft über meinen eigenen Prüfdienst pagecheck.at; das Ergebnis geht nur an Ihren Browser. Gespeichert wird ausschließlich ein Tageszähler, wie oft der Check gelaufen ist.
Was ist PHP2Shell?
Der Name für zwei kritische Lücken in PHP (CVE-2026-109618 und CVE-2026-109619), veröffentlicht am 20. und 21. Oktober 2026. Angreifer können damit ohne Anmeldung Code auf dem Server ausführen. Gepatcht sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12; für ältere Zweige gibt es die Korrektur nur als Backport durch den Hoster. Am 23. Oktober kam ein Nachzügler (CVE-2026-115560) mit seltener Voraussetzung dazu — kein Notfall, kommt mit dem nächsten regulären Update. Hintergrund und was die Mail Ihres Hosters bedeutet: im Wissen-Beitrag. Quelle: php.net, News-Archiv 2026.
Lieber einmal mit mir durchgehen?
Schreiben Sie mir kurz, welche Website es ist und was der Hoster geschrieben hat — ich sage Ihnen ehrlich, ob Handlungsbedarf besteht. Und wenn ich etwas falsch einschätze, sagen Sie es mir ruhig.
Anfrage schickenOder direkt: [email protected] · +43 681 20734303