PHP Checker
DE

Problem beheben

PHP-Lücken schließen – Schritt für Schritt

Wähle aus, wo deine Website läuft. Wir zeigen dir genau, was zu tun ist – oder Denkcode erledigt es für dich.

Wähle unten unter „Alle Anleitungen“ deine Situation aus.

Noch nicht geprüft, ob du betroffen bist? Erst kurz prüfen

Das Ziel: mindestens diese Version

  • PHP 8.2ab 8.2.35
  • PHP 8.3ab 8.3.36
  • PHP 8.4ab 8.4.27
  • PHP 8.5ab 8.5.12

Gilt für CVE-2026-109618 und CVE-2026-109619. PHP 8.1 und älter erhalten keine Updates mehr – dort hilft nur der Wechsel auf einen neueren Zweig.

Vorher

Bevor du startest

  • Sicherung anlegen: Dateien und Datenbank sichern – die meisten Anbieter bieten dafür eine Backup-Funktion im Kundenbereich.
  • Aktuelle Version notieren: Ermittle sie mit der Prüfdatei, damit du vorher und nachher vergleichen kannst.
  • Im selben Zweig bleiben ist am einfachsten: Ein Update von z. B. 8.3.20 auf 8.3.36 ändert nur Fehlerkorrekturen. Ein Zweigwechsel (z. B. 8.1 → 8.3) sollte vorher getestet werden.

Zum Nachschlagen

Alle Anleitungen

Tippe auf deine Situation. Wenn du unsicher bist: Hast du einen Kundenbereich bei einem Hoster und keinen Server-Zugang per SSH, ist es fast immer „Webhosting-Paket“.

Webhosting-PaketKundenbereich bei einem Hoster, kein eigener Server – der häufigste Fall

Bei einem Webhosting-Paket (z. B. 1blu, IONOS, Strato, All-Inkl, Hetzner, Netcup) spielt der Anbieter die Sicherheitsupdates ein. Du wählst nur den PHP-Zweig.

  1. Melde dich im Kundenbereich deines Hosting-Anbieters an.
  2. Öffne dein Hosting- bzw. Webspace-Paket und suche „PHP-Version“ oder „PHP-Einstellungen“ (je nach Anbieter auch unter „Domains“ oder „Einstellungen“).
  3. Lies dort ab, welche PHP-Version eingestellt ist. Steht dort 8.1 oder älter, wähle PHP 8.3 oder 8.4 und speichere. Sonst bleib bei deinem Zweig – den Patch-Stand spielt der Anbieter ein.
  4. Prüfe mit der Prüfdatei, ob ein korrigierter Stand (8.2.35, 8.3.36, 8.4.27, 8.5.12) läuft. Wenn nicht: schreib deinem Anbieter (fertiger Text unten).
PleskVerwaltungsoberfläche Plesk
  1. In Plesk anmelden → Websites & Domains → deine Domain auswählen.
  2. Auf „PHP“ bzw. „PHP-Einstellungen“ klicken.
  3. Unter „PHP-Version“ 8.3 (oder neuer) wählen, Ausführung „FPM-Anwendung“ beibehalten, OK.
  4. Als Server-Administrator zusätzlich: Tools & Einstellungen → Updates öffnen und verfügbare Updates der PHP-Komponenten installieren (Bezeichnung je nach Plesk-Version).
  5. Mit der Prüfdatei kontrollieren, ob ein korrigierter Stand (8.2.35, 8.3.36, 8.4.27, 8.5.12) läuft.
cPanelVerwaltungsoberfläche cPanel / WHM
  1. In cPanel anmelden und „MultiPHP Manager“ öffnen – bei manchen Anbietern heißt es „PHP-Version auswählen“ bzw. „Select PHP Version“.
  2. Deine Domain markieren, PHP 8.3 (oder neuer) wählen und Anwenden.
  3. Den Patch-Stand spielt der Anbieter bzw. Server-Administrator ein (in WHM über die Systemupdates).
  4. Mit der Prüfdatei kontrollieren, ob ein korrigierter Stand (8.2.35, 8.3.36, 8.4.27, 8.5.12) läuft. Wenn nicht: Anbieter anschreiben (Text unten).
Eigener Server: Ubuntu oder DebianZugang per SSH, Pakete über apt

Beispiel für PHP 8.3 – ersetze 8.3 durch deinen Zweig. Im Prüfergebnis setzt der Assistent deine Version automatisch ein.

  1. Installierte PHP-Pakete anzeigen:
    dpkg -l | grep -E '^ii +php[0-9.]+-(fpm|cli|common)'
  2. Paketquellen aktualisieren und die PHP-Pakete dieses Zweigs aktualisieren:
    sudo apt update && sudo apt install --only-upgrade 'php8.3*'
  3. PHP-Prozesse neu starten:
    sudo systemctl restart php8.3-fpm
sudo systemctl restart apache2   # oder: sudo systemctl restart nginx
  4. Version prüfen:
    php8.3 -v

    Die Kommandozeile kann abweichen – maßgeblich ist das Ergebnis der Prüfdatei.

  5. Bleibt die Version unter dem Fixstand (typisch bei Distributionspaketen), prüfe, ob der Fix zurückportiert wurde:
    apt changelog php8.3-fpm | grep -E 'CVE-2026-10961[89]'

    Tauchen beide CVE-Kennungen auf, ist der Fix enthalten. Sonst Pakete aus einer aktuellen Quelle beziehen (z. B. Ondřej Surý) oder den Server-Betreuer fragen.

Eigener Server: AlmaLinux, Rocky, RHELZugang per SSH, Pakete über dnf

Beispiel für PHP 8.3 – ersetze 8.3 durch deinen Zweig. Im Prüfergebnis setzt der Assistent deine Version automatisch ein.

  1. PHP-Pakete aktualisieren (z. B. aus Remi oder AppStream):
    sudo dnf upgrade 'php*'
  2. PHP-FPM und Webserver neu starten:
    sudo systemctl restart php-fpm
sudo systemctl restart httpd   # oder: sudo systemctl restart nginx
  3. Falls die Version unter dem Fixstand bleibt, Backport prüfen:
    rpm -q --changelog php-fpm | grep -E 'CVE-2026-10961[89]'
  4. Mit der Prüfdatei kontrollieren, ob ein korrigierter Stand (8.2.35, 8.3.36, 8.4.27, 8.5.12) läuft.
DockerPHP läuft in einem Container

Beispiel für PHP 8.3 – ersetze 8.3 durch deinen Zweig. Im Prüfergebnis setzt der Assistent deine Version automatisch ein.

  1. Im Dockerfile das Basis-Image auf den korrigierten Stand setzen (Variante -fpm, -apache oder -cli passend wählen):
    FROM php:8.3.36-fpm

    Sobald das offizielle Image verfügbar ist; alternativ php:8.3-fpm neu ziehen.

  2. Image neu bauen und Container neu starten:
    docker compose build --pull
docker compose up -d
  3. Stand im Container prüfen (Dienstname anpassen):
    docker compose exec app php -v

Kein Update möglich?

Schreib deinem Hoster – der Text ist fertig

Wenn du die Version nicht selbst ändern kannst oder der Patch-Stand noch fehlt, kopiere diesen Text, ergänze Domain und Namen und schick ihn an deinen Anbieter.

Hallo,

für meine Website [DEINE DOMAIN] möchte ich die kritischen PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 schließen (veröffentlicht am 21.10.2026). Laut PHP-Projekt sind sie in diesen Versionen behoben: PHP 8.2: ab 8.2.35, PHP 8.3: ab 8.3.36, PHP 8.4: ab 8.4.27, PHP 8.5: ab 8.5.12.

Bitte
1. stellen Sie meine Website auf einen korrigierten Stand um bzw. spielen ihn ein und nennen mir die genaue Version, oder
2. bestätigen Sie mir, dass Ihr Paket einen zurückportierten Sicherheitsfix für beide CVEs enthält.

Bis wann ist das möglich?

Vielen Dank und viele Grüße
[DEIN NAME]

Nachher

Kontrollieren, ob es geklappt hat

  1. PHP-Prozesse neu starten bzw. einige Minuten warten, bis der Hoster die Umstellung übernommen hat.
  2. Website im Browser aufrufen und kurz die wichtigsten Seiten und Formulare testen.
  3. Mit der Prüfdatei eine neue bestätigte Prüfung machen – sie zeigt den Stand, den deine Website wirklich ausführt.
  4. Prüfdatei danach wieder löschen.

Sonderfall

Alte Version (PHP 8.1 oder älter)

Für diese Zweige gibt es vom PHP-Projekt keine Sicherheitsupdates mehr. Ein Wechsel auf 8.3 oder 8.4 kann ältere Plugins, Themes oder eigene Programmierung stören. So gehst du sicher vor:

  1. Sicherung anlegen.
  2. CMS (z. B. WordPress, Shopware, TYPO3), Plugins und Themes zuerst auf den neuesten Stand bringen.
  3. Wenn möglich zuerst eine Testkopie (Staging) umstellen – viele Hoster bieten das per Klick an.
  4. PHP-Version umstellen, Website gründlich testen. Bei Problemen lässt sich die Einstellung im Kundenbereich meist sofort zurückstellen.

Wichtig

Ein Update entfernt keinen früheren Angriff

Die beiden Lücken waren bis zur Veröffentlichung am 21.10.2026 offen. Das Update schließt sie für die Zukunft, entfernt aber nichts, was vorher eingeschleust wurde. Achte auf unbekannte Dateien, neue Admin-Konten oder ungewöhnliches Verhalten und lass den Server im Zweifel von Fachleuten prüfen.

Lieber erledigen lassen?

Denkcode prüft den tatsächlichen PHP-Stand und hilft beim Update. Schreib an anfrage@php-checker.de oder ruf an.

Denkcode kontaktieren

Datenschutz

Notwendig Erforderlich für Grundfunktionen, Sicherheit, Ratenbegrenzung und deine Datenschutzeinstellungen.
Immer aktiv