Öffentliche Websites prüfen, lokale Konfigurationen und Logs untersuchen oder Open-Source-Werkzeuge finden. Jedes Ergebnis nennt Belege und Grenzen.
01 / URL
Website prüfen
Eigene öffentliche Website eingeben. Wir untersuchen eine Seite und höchstens zwei Weiterleitungen auf PHP-Header und Plattformhinweise, ohne Exploitversuche.
PHP / ?
Welche PHP-Version läuft bei Ihnen?
WordPress: Werkzeuge > Website-Zustand > Bericht > Server. Im Hostingpanel die konkrete Domain und ihren PHP-Handler prüfen, nicht den Standardwert. Mit SSH php -v mit dem zuständigen FPM-/Apache-Dienst oder Container vergleichen. Websites, CLI-Aufgaben und Replikate können unterschiedliche Versionen verwenden. Keine phpinfo-Seite veröffentlichen.
02 / LOG
Verdächtige Logsignale prüfen
Auszug einfügen oder Textdatei wählen. Speicherfehler, Worker-Abstürze, HTTP-Fehler und ungewöhnliche PHPSESSID werden mit Anzahl und Zeilen markiert. Treffer beweisen keinen Einbruch; fehlende Treffer schließen ihn nicht aus.
Angriffsversuch oder erfolgreicher Einbruch? →03 / PHP INI
PHP-Konfiguration prüfen
Relevante php.ini- oder FPM-Werte einfügen. Die Textprüfung kennt weder Vererbung noch Request-Overrides und beweist keine wirksame Einstellung. Diese Maßnahmen ersetzen keine Patches.
Grenzen von Speicherlimits und Recycling →GitHub-Werkzeugverzeichnis
OpenAI PHP-Prüfer
Apache-2.0. Node.js-Hilfe zur lokalen oder öffentlichen Versionsinventur mit JSON-Ausgabe. Vor Einsatz auf autorisierten Systemen README lesen. Verborgene Header, Backports und CLI-/Web-Unterschiede begrenzen Aussagen. Kein Nachweis der Unausnutzbarkeit.
openai/php2shell-checker ↗Corelight Zeek-/Suricata-Regeln
BSD-3-Clause. Defensive Netzregeln; Zeek 7+ korreliert Requests/Sitzungen und erfasst Versionen getrennt. Zeek-Installation lädt keine Suricata-Regeln. Konfiguration, TLS-Sichtbarkeit und Fehlalarme prüfen. notice_body_sample_bytes=0 unterdrückt sensible Bodyproben.
corelight/php2shell-detect ↗NCSC-NL-Reaktionsinformationen
EUPL-1.2. Gepflegte Reaktionshinweise und Softwareliste für Verantwortlichkeiten und Anbieterupdates. Kein automatischer Flottenscanner; die Liste kann unvollständig sein. Eigene Paket- und Deploymentnachweise aufbewahren.
NCSC-NL/php2shell ↗Trivy für Images und SBOM
Apache-2.0. Allgemeine Paket-/Imageinventur und Schwachstellenprüfung. Hilft eingebettetes PHP und neue Images zu prüfen. Abdeckung hängt von Datenbank, Paketkennung und Anbieterdaten ab. Ein leerer Bericht beweist nicht beide PHP2Shell-Fixes.
aquasecurity/trivy ↗Composer audit
MIT. Prüft Advisories für Composer-Abhängigkeiten der Anwendung. PHP selbst ist keine Composer-Bibliothek. Ein sauberer Audit aktualisiert den Interpreter nicht, untersucht keinen Host und schließt einen Vorfall nicht aus.
composer/composer ↗Syhunt Apache-Beispiele
MIT. Community-Beispiele für Requestlimits und Multipart-Blockierung. Nur Teilpfade, mögliche Uploadstörungen, vorher testen. Apache php_value gilt nicht unverändert für CGI/FastCGI. Nur geprüfte Übergangsmaßnahmen, kein vollständiger Schutz.
syhunt/php2shell-protection ↗Kann ein kostenloser Scanner einen Einbruch feststellen?
Nicht abschließend. Öffentliche Header liefern Versionshinweise, lokale Muster zeigen Auffälligkeiten, aber weder vollständige Laufzeit noch fehlende Historie oder Speicherlecks. Inventarisieren, Beweise sichern und Logs korrelieren. Bei fremden Konten, Prozessen oder Datenabfluss isolieren und Hoster beziehungsweise Incident-Team einschalten.
Nachricht an den Hoster
Bitte bestätigen Sie die Behebung von CVE-2026-109618 UND CVE-2026-109619 in der Web-Laufzeit meiner Domain. Benötigt werden vollständige Paket-/Buildrevision, Anbieterhinweis oder Changelog sowie der Neustart beziehungsweise Austausch aller FPM-/Apache-Worker, Containerreplikate und Dauerprozesse. Können Sie vorhandene Zugriffs-, PHP- und Prozesslogs auf Auffälligkeiten prüfen?Primärquellen & weiterführende Informationen
PHP security teamOriginal lesen ↗CVE-2026-109618Original lesen ↗CVE-2026-109619Original lesen ↗Forschung & Praxisanleitungen
PHP2Shell-Werkzeuge
Öffentliche Websites prüfen, lokale Konfigurationen und Logs untersuchen oder Open-Source-Werkzeuge finden. Jedes Ergebnis nennt Belege und Grenzen.
01PHP2Shell einfach erklärt
PHP ist die Laufzeit hinter WordPress, Laravel und Plugins. Ein Plugin-Update aktualisiert PHP nicht. Zwei Speicherfehler können bei fehlerhafter Request-Bereinigung Daten offenlegen oder Code ausführen. Eine öffentliche Prüfung liefert nur Hinweise; die tatsächliche Web-Laufzeit und den Patch muss der Administrator bestätigen.
02Angriffsversuch oder erfolgreicher Einbruch?
Auffällige Multipart-Anfragen oder WAF-Alarme können Versuche anzeigen. OOM, SIGSEGV/SIGABRT und HTTP-500-Spitzen haben auch harmlose Ursachen. Unerwartete PHP-Kindprozesse, Verbindungen, Dateiänderungen oder Konten dringend untersuchen. Speicherlecks müssen keine Webshell oder Datei hinterlassen; ein sauberer Dateiscan schließt sie nicht aus.
03Beweise vor Änderungen sichern
Entdeckungszeit, Domain, Instanz, Laufzeit, Symptome und letzten vertrauenswürdigen Zustand notieren. Originale Zugriffs-, Fehler-, WAF- und Prozesslogs samt Zeitzone sowie Cloud-Auditdaten und autorisierte Snapshots sichern. Kopien beschränken und hashen. Keine Tokens oder Kundendaten an öffentliche Scanner senden. Logs und verdächtige Dateien vor Sicherung nicht löschen.
04Wiz und Calif richtig einordnen
Die Forschung erklärt Fehler über Request-Grenzen hinweg. GHSA zu CVE-2026-109618 bestätigt mod_php-RCE; FPM-Anfälligkeit beruht auf Quellanalyse ohne vollständigen FPM-Exploit für diese CVE. CVE-2026-109619 bestätigt separat einen anwendungsabhängigen FPM-Upload-Progress-Pfad. Belege je SAPI anhand der jeweiligen offiziellen Advisory unterscheiden.
05Cloudflare: Auch die Antwort zählt
Cloudflare beschreibt Transaktionserkennung aus Anfrage und Origin-Antwort, die passende Antworten vor möglichem Datenabfluss blockiert. Das ist auch ohne Shell-Start relevant. Historische Rollout-Zeiten garantieren keinen Schutz Ihres Kontos. Regeln, Routing, Ausnahmen und Ereignisse prüfen. Direkte Origin-Zugänge und nicht proxied Hosts bleiben zu patchen.