Shared- & Managed-Hosting

PHP2Shell bei Shared- und Managed-Hosting

Wenn jemand anderes Ihren Server betreibt, muss er das gepatchte PHP installieren. Ihre Aufgabe: die neueste PHP-Version für Ihre Website wählen, die genaue Version prüfen und sich vom Hoster bestätigen lassen.

Zuletzt geprüft 2026-10-22

Der Status der Anbieter ändert sich stündlich

Wir führen nur auf, was Anbieter öffentlich gesagt haben. Fehlt Ihr Hoster hier, heißt das nicht, dass er ungepatcht ist — fragen Sie nach.

Was zu tun ist

  1. Wechseln Sie Ihre Website auf die neueste PHP-Version, die Ihr Panel anbietet (8.4 oder 8.5, falls verfügbar; testen Sie die Website danach).
  2. Prüfen Sie die genaue Version, die die Website nutzt — in Ihrem CMS (WordPress, Drupal, Joomla) oder mit der Datei unten — und fügen Sie sie in den Checker ein.
  3. Fragen Sie Ihren Hoster mit der Nachricht unten nach Patch und Worker-Neustart.
  4. Kein gepatchter Build verfügbar? Auch bei PHP 8.1 oder älter nach Hersteller-Backports fragen, exponierte Dienste bis zum Patch isolieren und Migration planen.
php
<?php
// Save as v-<random>.php in your web root, open it in a browser, then DELETE it.
echo PHP_VERSION, ' ', PHP_SAPI, PHP_EOL;

Wo Sie die PHP-Version wechseln

PanelWoWie PHP gepatcht wird
cPanelSoftware → MultiPHP Manager (oder Select PHP Version unter CloudLinux)ea-phpXY- / alt-phpXY-Pakete; cPanel kündigte vor dem Release Updates für ea-php74 – ea-php85 an, sobald Upstream liefert (noch nicht bestätigt).
PleskWebsites & Domains → PHP (PHP-Einstellungen)plesk-phpXY-Handler, aktualisiert über den Plesk-Installer. Am Release-Tag fragten Kunden im Plesk-Forum noch nach einem Zeitplan.
DirectAdminAccount Manager → PHP-Versionsauswahl (falls vom Hoster aktiviert)Builds über CustomBuild; der Hoster muss PHP neu bauen.
CloudLinux (hinter vielen Hostern)Select PHP Versionalt-php-Builds; CloudLinux kündigte gepatchte Pakete nach dem Upstream-Release an.
hPanel (Hostinger) und andere eigene PanelsMeist Erweitert → PHP-KonfigurationZentral vom Hoster gepatcht.

Server-Admins dieser Panels: Die Befehle stehen in der Patch-Anleitung (Tabs cPanel und Plesk).

Nachricht an Ihren Hoster

E-Mail an Ihren Hoster
Betreff: PHP2Shell (CVE-2026-109618 / CVE-2026-109619) — Patch-Status

Guten Tag,

bitte bestätigen Sie, dass die PHP-Laufzeit, auf der meine Website(s) <Domain>
laufen, auf ein Release aktualisiert wurde, das CVE-2026-109618 und
CVE-2026-109619 behebt (PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 oder ein
Hersteller-Build mit dem Backport), und dass die PHP-FPM- / LSAPI-Worker
danach neu gestartet wurden.

Falls mein Konto auf PHP 8.1 oder älter läuft: Auf welche gepatchte Version
kann ich wechseln?

Vielen Dank und freundliche Grüße

Fragen

Kann ich PHP auf Shared-Hosting selbst patchen?+

Nein. Die PHP-Binaries gehören dem Hoster. Sie können Ihre Website im Panel auf eine neuere PHP-Version umstellen, die gepatchten Builds muss aber der Hoster installieren.

Mein Hoster bietet nur PHP 8.1 oder älter. Was nun?+

Fragen Sie, ob er einen vom Hersteller zurückportierten Build liefert (CloudLinux und manche Panels tun das). Wenn nicht, kann dieser Hoster Sie nicht vor PHP2Shell schützen — planen Sie einen Wechsel und stellen Sie bis dahin eine WAF wie Cloudflare davor.

Behebt es das, wenn ich in cPanel PHP 8.4 wähle?+

Nur wenn der Hoster den gepatchten 8.4-Build installiert hat (8.4.27 oder einen Backport). Einen Branch auszuwählen, aktualisiert ihn nicht. Prüfen Sie nach dem Wechsel die genaue Version.

Verwandte Seiten