Fehler bei Speichermangel.
Fehler in der Speicherbehandlung können die Ausführung fremden Codes ermöglichen. Ein Update ist erforderlich.
IT & WEB · SICHERHEITVERSIONSREGELN · WERDEN GELADEN
Website- & E-Mail-Sicherheitscheck
PHP-Check.
Aktuelle Lücken im Blick.
Prüfen Sie öffentliche PHP-Versionshinweise Ihrer Website auf die aktuellen Sicherheitslücken. Sie erhalten eine Einordnung und konkrete Hilfe zu offenen Punkten.
PHP-Check starten ↘Ein Check von mol.ruhr · Bochum-LindenFür Ihre Website. Ohne Angriffstest.
PHP-SICHERHEITSCHECK AKTUELLE LÜCKEN EINORDNEN.
PHP-Sicherheitslücken.
Was ist erkennbar?
Geben Sie die Adresse Ihrer Website ein. Der Check sucht nach einem öffentlichen PHP-Versionshinweis und vergleicht ihn mit den Sicherheitsupdates für CVE-2026-109618 und CVE-2026-109619. Zusätzlich werden die automatisch geladenen offiziellen Sicherheitsreleases und der Supportstatus verglichen. Ergänzend erhalten Sie redaktionelle Hinweise zu CVE-2026-115560 und zum Windows-Paketupdate vom 26.10.2026.
Ein erster Blick von außen.
Die Prüfung sendet eine normale Web-Anfrage. Ein HTTP-Header ist kein Beleg der tatsächlich laufenden PHP-Version. Verborgene Versionen, Anbieter-Backports, Session-Einstellungen und Windows-Paketstände muss Ihr Hosting-Anbieter prüfen. Es werden keine Schwachstellen ausgenutzt.
PHP-SICHERHEIT PRÜFEN
NOCH NICHT GEPRÜFT
Ist der PHP-Patchstand erkennbar?
Nach dem Start sehen Sie die Einordnung zu den aktuellen PHP-Lücken und die noch erforderlichen Prüfungen.
ERGÄNZUNG · 23. OKTOBER
Was von außen offenbleibt.
PHP empfiehlt zusätzlich, session.upload_progress.enabled=0 zu setzen. Hintergrund ist ein weiterer möglicher Angriffsweg unter einer ungewöhnlichen Kombination aus Session-Konfiguration und Anwendungscode (CVE-2026-115560). Die aktualisierte PHP-Version allein bewertet diesen Punkt nicht.
Interne PHP-Einstellungen Ihrer Zielwebsite lassen sich per URL nicht auslesen. Ihr Hosting-Anbieter muss sie direkt prüfen. Die Änderung muss vor der Verarbeitung der Anfrage greifen. Bei FPM bitte in php.ini oder Pool-Konfiguration setzen und anschließend alle betroffenen Worker neu starten; ini_set() und FPM-.user.ini reichen hierfür nicht aus.
ERGÄNZUNG · 26. OKTOBER
Bei Windows: auch das Paket prüfen.
Für PHP unter Windows wurden die Pakete 8.2.35-1, 8.3.36-1, 8.4.27-1 und 8.5.12-1 mit Brotli 1.2.1 bereitgestellt. Sie beheben CVE-2026-111497 in der Brotli-Dekomprimierung. Der betroffene Decoder kann über cURL bei aktivierter automatischer HTTP-Dekomprimierung erreicht werden.
Die PHP-Laufzeitversion bleibt bei diesem Paketupdate unverändert. Ein Versionsheader kann diesen Fix daher nicht bestätigen. Bei Windows-Hosting den tatsächlichen Paketstand direkt beim Anbieter prüfen lassen.
HINTERGRUND KLARE FAKTEN. KONKRETE SCHRITTE.
Zwei Lücken.
Ein notwendiges Update.
Zustand aus früheren Anfragen.
Interner Zustand kann über die Lebensdauer seiner Daten hinaus bestehen bleiben. Auch hier ist ein Update erforderlich.
Sicherheitsupdates vom 21.10.2026
PHP 8.2 ab 8.2.35PHP 8.3 ab 8.3.36PHP 8.4 ab 8.4.27PHP 8.5 ab 8.5.12
Für diese beiden CVEs. Neuere Versionsstände werden zusätzlich automatisch abgeglichen; die ursprünglichen Mindeststände dieser beiden CVEs bleiben unverändert. Anbieter-Backports separat prüfen. PHP 8.1 und älter erhalten keine regulären Updates vom PHP-Projekt.
Was sagt das Ergebnis aus?
Dies ist eine Einordnung öffentlicher Versionshinweise zu den genannten PHP-Lücken. Interne Konfigurationen werden nicht ausgelesen; es ist kein Nachweis einer kompromissfreien Website. Ohne Zugriff auf Prozesse und Paketverwaltung lässt sich nicht bestätigen, dass alle Worker neu gestartet wurden oder alle Domains denselben Handler verwenden.
Was passiert, wenn keine PHP-Version erkennbar ist?
Viele Websites verbergen ihre PHP-Version oder verwenden kein PHP. Dann lautet das Ergebnis „nicht ermittelbar“. Daraus folgt weder eine Warnung vor einer konkreten PHP-Lücke noch eine Sicherheitsfreigabe. Fragen Sie Ihren Hosting-Anbieter nach der tatsächlichen Web-PHP-Version und dem Patchstand.
Welche Schritte sind nach einem Update wichtig?
Alle betroffenen PHP-Worker neu starten, die tatsächliche Web-Version kontrollieren und die Anwendung testen. Auch Archiv-Websites und weitere PHP-Handler berücksichtigen. WAF-Regeln und pm.max_requests ersetzen das Sicherheitsupdate nicht.
Quellen: PHP-Sicherheitsmeldung vom 21.10.2026 ↗ · PHP-Hinweise vom 23. und 26.10.2026 ↗
Versionsregeln werden geladen. Redaktionelle CVE-Hinweise: 27.10.2026.
PERSÖNLICH FÜR SIE DA.