Ist Ihre Website betroffen?

Am 21.10.2026 hat das PHP-Projekt Sicherheitsversionen gegen zwei kritische Lücken veröffentlicht. Dieser Check sieht sich die Startseite Ihrer Website von außen an und sagt Ihnen im Klartext, was in Ordnung ist und was zu tun bleibt.

Prüfen

Kümmer-Paket

Wenn Sie sich nicht selbst mit Hoster, Updates und Zertifikat befassen wollen, übernehme ich das. Ich gehe die gelben und roten Punkte mit Ihnen durch, kläre sie mit Ihrem Hoster und prüfe danach nach, ob alles greift.

Preis: auf Anfrage. Umfang und Preis besprechen wir, nachdem ich Ihre Anfrage gelesen habe. Mit dem Absenden bestellen Sie nichts.

Anlass

Das PHP-Projekt hat am 21.10.2026 die Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 veröffentlicht. Sie schließen zwei Lücken (CVE-2026-109618 und CVE-2026-109619), über die Angreifer aus der Ferne Code ausführen können. CERT-EU stuft sie als kritisch ein und rät, sofort zu aktualisieren. Betroffen sein können Websites, deren Server PHP in einer älteren Version nutzt – etwa mit WordPress oder Joomla.

Ob Ihre Seite gepatcht ist, lässt sich von außen nur sehen, wenn der Server seine PHP-Version anzeigt. Viele Hoster blenden sie aus – das ist gut, dann hilft nur die Frage an den Hoster. Der Check zeigt außerdem, wer Ihr Zertifikat ausgestellt hat und wann es abläuft.

Quellen: php.net · CERT-EU, Security Advisory 2026-018

Was geprüft wird – und was nicht

Ein Aufruf von http:// (nur: leitet er auf https weiter?) und ein Aufruf von https:// der Startseite, höchstens drei Weiterleitungen, höchstens 8 Sekunden.
Ausgewertet werden: Zertifikat (gültig, Ablaufdatum, Aussteller), HSTS, Server-Kennung, angezeigte PHP-Version und das Generator-Merkmal von WordPress, Joomla und ähnlicher Software.
Nicht geprüft: Unterseiten, Erweiterungen, Passwörter, offene Ports. Ein grünes Ergebnis heißt nicht, dass eine Seite sicher ist – nur, dass von außen nichts Auffälliges zu sehen ist.
Prüfen Sie bitte nur Websites, die Ihnen gehören oder die Sie betreuen. Je Adresse sind höchstens 10 Prüfungen pro Stunde möglich.
Datenschutz: Die geprüfte Adresse wird weder gespeichert noch protokolliert. Sie liegt nur dann bei mir, wenn Sie das Kümmer-Paket anfragen. Details in der Datenschutzerklärung.