Am 21. Oktober 2026 wurden zwei kritische Lücken im Kern von PHP öffentlich: CVE-2026-109618 und CVE-2026-109619 („PHP2Shell", CVSS 9.2). Beide erlauben die Fernübernahme eines Servers ohne Zugangsdaten. Dieses Lagebild zeigt — ohne einzelne Firmen zu nennen — wie verbreitet die Lücke in der Schweiz und Österreich noch ist.
Sichere Versionen: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder neuer. Alles darunter sowie End-of-Life-Zweige (8.1 und älter) gelten als betroffen.
Wie wird gemessen? — rein passiv
Ein Webserver sendet bei jedem normalen Seitenaufruf freiwillig Kopfzeilen mit (z. B. X-Powered-By: PHP/8.1.2). Wir rufen die Startseite genau wie ein Browser einmal auf und lesen nur diese ohnehin öffentlich mitgeschickte Information.
Kein Pentest, kein Exploit, kein Login-Versuch, kein Payload.
Nicht mehr Last als ein einzelner Besucher.
Keine einzelnen Websites werden veröffentlicht — nur aggregierte Zahlen je Kanton/Bundesland.
Server, die ihre Version verbergen, werden als „Version verborgen" ausgewiesen, nicht als betroffen gezählt.
Betroffen? Was tun?
PHP auf eine sichere Version aktualisieren (oder vom Hoster aktualisieren lassen).
Kein sofortiges Update möglich: WAF/Cloudflare-Schutz aktivieren, Logs prüfen.
expose_php = Off setzen.
Fragen, oder ein Eintrag soll geprüft/entfernt werden? Kontakt über risikomonitor.com.
Jetzt kostenlos prüfen — ist Ihre Website betroffen?
Status nur für den Inhaber — Bestätigung per E-Mail an derselben Domain.