Ein Service von Denkcode
Prüfe den PHP-Patchstand deiner Website.
Ein gezielter Check für zwei kritische PHP-Lücken. Prüfe öffentlich sichtbare Versionshinweise oder ordne deine PHP-Version selbst ein.
- CVE-2026-109618 – offizielle Sicherheitsmeldung (öffnet in neuem Tab)
- CVE-2026-109619 – offizielle Sicherheitsmeldung (öffnet in neuem Tab)
Referenzstand: fachlich geprüft am 21. Oktober 2026 · Datenversion 2026-10-21.1
PHP-Check
Dieser Check bewertet Versionshinweise. Ein fehlender Hinweis bedeutet nicht, dass die Website sicher ist. Ein möglicher Befall wird hier nicht untersucht.
Noch keine Prüfung gestartet.
In drei Schritten
So funktioniert’s
Adresse eingeben
Gib eine öffentliche Website-Adresse an – oder füge im zweiten Reiter deine PHP-Version ein.
Versionshinweise vergleichen
Öffentlich sichtbare Angaben werden mit dem geprüften Referenzstand je PHP-Zweig verglichen.
Nächsten Schritt verstehen
Du erhältst eine Einordnung für beide CVEs, die Grenzen der Aussage und eine passende Empfehlung.
Was der Check aussagt – und was nicht
Der Außencheck ruft nur die eingegebene Adresse ab (HEAD, bei Bedarf ein sofort abgebrochenes GET, höchstens drei Weiterleitungen) und liest Header wie X-Powered-By. Er führt kein fremdes JavaScript aus, sendet keine Angriffsanfragen und durchsucht keine weiteren Seiten.
- Einordnung für CVE-2026-109618 und CVE-2026-109619
- Gleiche Regeln für Außencheck und manuelle Angabe
- Keine Prüfung auf Befall oder Schadsoftware
- Kein Nachweis der tatsächlichen Ausnutzbarkeit
- Keine Portscans und keine automatischen Reparaturen
Häufige Fragen
Was prüft PHP Checker?
PHP Checker ordnet PHP-Versionshinweise für genau zwei Sicherheitslücken ein: CVE-2026-109618 und CVE-2026-109619. Beim Außencheck ruft der Dienst die eingegebene Adresse einmal ab und liest geeignete Antwortheader (X-Powered-By, Server). Alternativ kannst du eine Version oder Paketangabe selbst eingeben. Beide Wege nutzen dieselben Bewertungsregeln.
Kann der Check feststellen, ob meine Website infiziert ist?
Nein. Der Dienst prüft keinen Befall und untersucht keine Serverdateien. Im Ergebnis steht deshalb immer „Befall: Nicht geprüft“. Wenn du einen Angriff vermutest, lass den Server von Fachleuten untersuchen – ein späteres Update entfernt keine bereits eingeschleuste Schadsoftware.
Warum lässt sich meine PHP-Version nicht erkennen?
Viele Websites oder vorgeschaltete Dienste (Proxy, CDN, Schutzsystem) blenden Versionsangaben aus. Das ist üblich und für sich kein Sicherheitsproblem. Daraus folgt aber auch kein Sicherheitsurteil. Du musst Versionsangaben nicht öffentlich einschalten: Prüfe die aktive PHP-Version im Hosting-Panel oder frag deinen Hoster und nutze dann den Reiter „Version einordnen“.
Bedeutet ein passender Versionshinweis, dass meine gesamte Website sicher ist?
Nein. Ein Versionshinweis bezieht sich nur auf die betrachteten Versionen und diese beiden CVEs. Er ist nicht verifiziert, bestätigt nicht das tatsächlich installierte Paket oder alle laufenden PHP-Prozesse und schließt weder andere Risiken noch eine frühere Kompromittierung aus.
Was soll ich bei einem älteren Stand tun?
Prüfe mit deinem Hoster oder Administrator den tatsächlich eingesetzten Paketstand. Lass ein bestätigtes Update einspielen, starte die betroffenen PHP-Prozesse (z. B. PHP-FPM, Apache) neu und kontrolliere die laufende Version danach erneut. Bei Verdacht auf einen früheren Angriff gehört zusätzlich eine Untersuchung des Servers dazu.
Fragen zum Ergebnis?
Du hast Fragen zu PHP Checker oder möchtest ein Ergebnis besprechen? Kontaktiere Denkcode.