Bin ich anfällig?

PHP2Shell-Versions-Checker

Fügen Sie eine Version, die Ausgabe von php -v oder eine ganze Serverflotte ein — eine Version pro Zeile. Die Prüfung läuft in Ihrem Browser; es wird nichts übertragen.

Zuletzt geprüft 2026-10-22

Fügen Sie eine Version, die Ausgabe von php -v oder eine Version pro Zeile für eine ganze Serverflotte ein. Läuft vollständig in Ihrem Browser.

Beispiele:

CLI und Webserver können unterschiedliche PHP-Builds verwenden. Prüfen Sie die Version, die Ihr Webserver tatsächlich nutzt: php-fpm -v (oder php-fpm8.3 -v) oder phpinfo() über die jeweilige Website.

BranchAnfälligBehoben in
8.5< 8.5.128.5.12
8.4< 8.4.278.4.27
8.3< 8.3.368.3.36
8.2< 8.2.358.2.35
8.1 · 8.0 · 7.4alleNur Quellcode-Backport
5.4 – 7.3alleKein Fix

Versionen zum Einfügen sammeln

Entscheidend ist das PHP, das Web-Requests beantwortet. Die CLI auf derselben Maschine kann ein anderer Build sein.

shell
# One host: the binary that serves web traffic
php-fpm -v 2>/dev/null || php -v

# Many hosts over SSH — paste the output into the checker
for h in web1 web2 web3; do
  printf '%s ' "$h"; ssh "$h" "php -r 'echo PHP_VERSION, PHP_EOL;'"
done

# Exact Debian/Ubuntu package version (shows distro backports)
dpkg-query -W -f='${Package} ${Version}\n' 'php*-common'

# RHEL family
rpm -q php-common

Was die Ergebnisse bedeuten

ErgebnisBedeutungWas zu tun ist
AnfälligUpstream-Version unter dem ersten gepatchten Release ihres Branches.Aktualisieren und neu starten. Bei einem OS-Paket zuerst das Changelog prüfen — der Backport kann bereits enthalten sein.
Hersteller prüfenVersionsstring mit Distro-Suffix (ubuntu, deb, el, amzn, suse, fc).Distributionen portieren Fixes zurück, ohne die Upstream-Nummer zu erhöhen. Suchen Sie die CVE im Changelog des Pakets.
Anfällig · EOLBranch 8.1 oder älter — kein neues PHP-Release.Auf 8.4/8.5 migrieren. Notlösung: Backport des Herstellers oder der Quellcode-Backport von PHP für 7.4/8.0/8.1.
GepatchtGleich oder höher als das erste gepatchte Release.Stellen Sie sicher, dass jeder Worker nach dem Update neu gestartet wurde.
Neuerer BranchEin Branch, der neuer ist als alle im Advisory.Sollte den Fix enthalten; in den Release Notes bestätigen.
Nicht unterstütztÄlter als 5.4 — außerhalb des gemeldeten Bereichs.Nicht als betroffen gelistet, aber lange ohne Support und mit anderen kritischen Bugs. Migrieren.

Warum Distro-Builds einen zweiten Blick brauchen

Ubuntus 8.3.6-0ubuntu0.24.04.x oder Debians 8.2.x-1~deb12uN behalten die Upstream-Nummer, mit der sie ausgeliefert wurden, und fügen Security-Fixes oben drauf. Ein System kann also „8.3.6“ melden und trotzdem gepatcht sein. Umgekehrt gilt das auch: Eine hoch wirkende Nummer aus einem alten Image kann ungepatcht sein.

Pakete aus dem Repository von Ondřej Surý (deb.sury.org) folgen den Upstream-Versionen, daher behandelt der Checker sie wie offizielle Releases.

Nächster Schritt