Zum Prüfformular springen
Lagebild PHP

[00] Lage / Stand 21.10.2026

Zwei Lücken in PHP. Steckt deine Website drin?

Am 21. Oktober 2026 wurden zwei kritische Lücken in PHP bekannt. Wer sie ausnutzt, führt auf dem Server eigenen Code aus, ganz ohne Login. Gib eine Adresse ein oder gleich eine ganze Liste. Der Check liest aus, welche PHP-Version die Seiten verraten.

CVSS v4
9,2
Login nötig
nein
betroffen ab
PHP 5

[01] Eingabe max. 100 Adressen

Eine Adresse oder viele, getrennt durch Komma oder Zeilenumbruch.

0 Adressen erkannt

    Eingaben und Ergebnisse gehen per Mail an den Betreiber dieser Seite. Datenschutz

    [04] Lage

    Was ist passiert?

    Das PHP-Team hat zwei Lücken angekündigt: CVE-2026-109618 und CVE-2026-109619. Beide haben 9,2 von 10 Punkten (CVSS v4). Ein Angreifer kann damit auf dem Server eigenen Code ausführen und braucht dafür kein Konto.

    PHP steckt hinter den meisten Websites: WordPress, TYPO3, Joomla, Shopware, REDAXO und viele mehr. Wer auf einer alten Version sitzt, bekommt keinen Fix, sondern braucht ein Upgrade.

    [05] Versionen

    Welche Versionen?

    PHP-Zweige und ab welcher Version der Fix enthalten ist
    ZweigFix ab

    [06] Ampel

    Was die Farben heißen

      [07] Methode

      So prüft der Check

      1. Pro Adresse zwei Abrufe: ein normaler Seitenaufruf (GET) und eine Abfrage nur der Kopfzeilen (HEAD), weil manche Server die Version nur dort zeigen. Weiterleitungen folgt er bis zu fünfmal.
      2. Er liest, was der Server sowieso mitschickt: die Header X-Powered-By und Server, Cookies und den HTML-Quelltext.
      3. Er probiert nichts aus. Keine Anmeldung, keine geratenen Pfade, kein Test auf die Lücke.

      [08] Einordnung

      Grün heißt nicht sicher

      Grün sagt nur: Die PHP-Version, die der Server zeigt, enthält den Fix. CMS, Plugins, Themes und der Server selbst können trotzdem Lücken haben. Und manchmal stammt die Angabe von einem vorgeschalteten Server statt von dem, auf dem die Seite läuft.

      [09] Einordnung

      Grau ist der Normalfall

      Viele Hoster blenden die Version aus. Das ist richtig so, sagt aber nichts über den Stand. Frag deinen Hoster oder deine Agentur, welche PHP-Version läuft und ob das Update vom 21.10. drauf ist.