Website-Sicherheitscheck
Website-Sicherheitscheck
Prüfen Sie nur Websites, die Ihnen gehören oder für deren Prüfung Sie berechtigt sind. Dieses Tool liest nur, was ein normaler Browserbesuch ohnehin sieht; es sendet niemals Exploit-Daten.
Sorgen wegen der PHP-Sicherheitslücke, über die alle sprechen? Im Oktober 2026 wurden zwei schwere Fehler in PHP selbst bekannt, genannt PHP2Shell (CVE-2026-109618 und CVE-2026-109619). Da sie im PHP-Kern stecken, ist jede PHP-Website betroffen: Magento, Shopware, WooCommerce, WordPress, Drupal, Joomla und mehr, selbst wenn Ihr eigener Code einwandfrei ist. Dieses Tool zeigt Ihnen schnell und verständlich den Teil des Problems, den man von außen sieht, nämlich ob Ihre Website noch eine alte PHP-Version preisgibt, plus den allgemeinen Sicherheitszustand.
Wie groß ist die Gefahr? Die Fehler sind hoch bewertet (9,2 von 10) und könnten im schlimmsten Fall einem Angreifer erlauben, ohne Anmeldung Code auf dem Server auszuführen. Doch die E-Commerce-Sicherheitsfirma Sansec präzisierte am 22. Oktober: breite automatisierte Massenangriffe sind unwahrscheinlicher als zunächst befürchtet, die öffentlichen Exploits funktionieren nicht gegen eine normale PHP-Installation, und Sie müssen Ihren Shop nicht offline nehmen. Einig sind sich alle bei einem Schritt: PHP aktualisieren. Aus dem Code Ihres Shops, Themes oder der Plugins lässt sich das nicht beheben, sondern nur durch ein PHP-Update auf dem Server oder durch Ihren Hoster.
Was dieses Tool über Ihre Website sagt. Es macht eine normale Anfrage, genau wie ein Browser, und erstellt einen kurzen, farbcodierten Bericht: ob Ihre PHP-Version sichtbar und ob sie veraltet oder am Ende des Lebenszyklus ist; ob der Verkehr mit einem gültigen HTTPS-Zertifikat verschlüsselt ist; ob Besucher auf der sicheren Version bleiben; ob die üblichen Schutz-Header gesetzt sind; und ob eine Firewall oder ein CDN wie Cloudflare davorsteht. Jede Prüfung ist passiv: kein Angriff, nur das Lesen dessen, was jeder Besucher ohnehin sieht. Eine von außen gelesene Version ist ein Signal, kein endgültiges Urteil: bestätigen Sie sie auf dem Server mit php -v. Die aktuellen korrigierten PHP-Versionen sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12; PHP 8.1 und älter sind am Lebensende und brauchen ein Upgrade oder ein zurückportiertes Paket Ihres Hosters.
- Die PHP-Lücke vom Oktober 2026 einfach erklärt: PHP2Shell (CVE-2026-109618 / CVE-2026-109619) ist ein Fehler in PHP selbst, also ist jede PHP-Website betroffen, auch Magento, Shopware, WooCommerce und WordPress, egal wie sauber Ihr eigener Code ist.
- Keine Panik, aber aktualisieren: Massenangriffe sind unwahrscheinlicher als befürchtet und Sie müssen den Shop nicht offline nehmen, aber die Lösung ist ein PHP-Update auf dem Server (korrigiert 8.2.35, 8.3.36, 8.4.27, 8.5.12). Aus dem Shop-Code geht es nicht.
- PHP-Zustand auf einen Blick: das Tool zeigt, ob Ihre PHP-Version öffentlich sichtbar ist und ob sie veraltet, ungepatcht oder am Lebensende wirkt, das Erste, worauf ein Angreifer schaut.
- HTTPS und Zertifikat: bestätigt, dass der Verkehr verschlüsselt ist und das Zertifikat gültig, vertrauenswürdig und nicht kurz vor Ablauf ist.
- Header und Firewall: prüft HSTS, Content-Security-Policy, Clickjacking- und MIME-Sniffing-Schutz sowie ob ein WAF/CDN wie Cloudflare, Sucuri, Akamai, Fastly oder CloudFront davorsteht.
- Passiv und privat: eine normale Anfrage, keine Exploit-Daten, nichts wird gespeichert, und das Ergebnis lässt sich als PDF herunterladen.
Wie benutze ich den Website-Sicherheitscheck?
Geben Sie Ihre Website-Adresse ein (zum Beispiel example.com) und klicken Sie auf Prüfen. Nach wenigen Sekunden erhalten Sie einen verständlichen Bericht mit farbcodiertem Urteil und einer Liste von Punkten. Mit der Schaltfläche PDF herunterladen können Sie ihn speichern.
Zeigt es, ob ich von der PHP-Lücke vom Oktober 2026 (PHP2Shell) betroffen bin?
Es gibt ein starkes erstes Signal: Wenn Ihr Server seine PHP-Version noch preisgibt, prüft das Tool, ob diese Version für die Korrektur vom Oktober 2026 veraltet, ungepatcht oder am Lebensende ist. Die Ausnutzbarkeit kann es nicht bestätigen, das hängt von Ihrer Serverkonfiguration ab. Die sichere Prüfung ist auf dem Server: php -v und der Blick ins Changelog des Pakets (korrigiert 8.2.35, 8.3.36, 8.4.27, 8.5.12). Ist die Version verborgen oder hinter einer Firewall, kann das Tool sie nicht lesen, prüfen Sie dann auf dem Server.
Mein PHP ist veraltet, was soll ich tun?
Aktualisieren Sie PHP auf eine unterstützte, korrigierte Version (8.2.35, 8.3.36, 8.4.27 oder 8.5.12). Bei PHP 8.1 oder älter wechseln Sie auf einen unterstützten Zweig oder bitten Sie Ihren Hoster um ein zurückportiertes Paket, und starten Sie dann PHP-FPM oder Apache neu. Verwaltet Ihr Hoster PHP, bitten Sie ihn einfach, das Update vom Oktober 2026 einzuspielen. Das ist die wirkungsvollste Maßnahme.
Häufig gestellte Fragen
Ist das ein Schwachstellen-Scanner?
Nein. Es sendet nie Exploit-Daten und versucht nie, eine Schwachstelle auszulösen. Es liest nur die HTTP-Antwort-Header und das TLS-Zertifikat, die jeder Browser ohnehin erhält, und erklärt sie. Für eine eindeutige Prüfung einer bestimmten Lücke wie PHP2Shell folgen Sie dem offiziellen Advisory und testen auf dem Server.
Muss ich meinen Shop wegen PHP2Shell offline nehmen?
Laut Sansecs Aktualisierung vom 22. Oktober nein. Massenausnutzung ist unwahrscheinlicher als befürchtet und die öffentlichen Exploits funktionieren nicht gegen eine normale PHP-Installation. Richtig ist, PHP auf eine korrigierte Version zu aktualisieren, nicht den Shop abzuschalten.
Das Tool kann meine PHP-Version nicht lesen, ist das schlecht?
Meist das Gegenteil. Viele Server verbergen ihre Version mit expose_php=Off oder stehen hinter einer Firewall, die automatische Anfragen blockiert, beides gut für die Sicherheit. Wenn die Version von außen nicht lesbar ist, bestätigen Sie sie auf dem Server mit php -v.
Mein PHP gilt als End-of-Life, was nun?
PHP 8.1 und älter erhalten keine offiziellen Sicherheitsupdates mehr (Stand 2026), und für diese Zweige gibt es keine offizielle Korrektur der Lücke vom Oktober 2026. Wechseln Sie auf einen unterstützten Zweig (8.2 oder neuer) oder bitten Sie Ihren Hoster um ein zurückportiertes Paket. Eine veraltete Version bedeutet, dass bekannte Lücken offen bleiben, das ist das Wichtigste.
Website-Sicherheitscheck
Prüfen Sie nur Websites, die Ihnen gehören oder für deren Prüfung Sie berechtigt sind. Dieses Tool liest nur, was ein normaler Browserbesuch ohnehin sieht; es sendet niemals Exploit-Daten.
Sorgen wegen der PHP-Sicherheitslücke, über die alle sprechen? Im Oktober 2026 wurden zwei schwere Fehler in PHP selbst bekannt, genannt PHP2Shell (CVE-2026-109618 und CVE-2026-109619). Da sie im PHP-Kern stecken, ist jede PHP-Website betroffen: Magento, Shopware, WooCommerce, WordPress, Drupal, Joomla und mehr, selbst wenn Ihr eigener Code einwandfrei ist. Dieses Tool zeigt Ihnen schnell und verständlich den Teil des Problems, den man von außen sieht, nämlich ob Ihre Website noch eine alte PHP-Version preisgibt, plus den allgemeinen Sicherheitszustand.
Wie groß ist die Gefahr? Die Fehler sind hoch bewertet (9,2 von 10) und könnten im schlimmsten Fall einem Angreifer erlauben, ohne Anmeldung Code auf dem Server auszuführen. Doch die E-Commerce-Sicherheitsfirma Sansec präzisierte am 22. Oktober: breite automatisierte Massenangriffe sind unwahrscheinlicher als zunächst befürchtet, die öffentlichen Exploits funktionieren nicht gegen eine normale PHP-Installation, und Sie müssen Ihren Shop nicht offline nehmen. Einig sind sich alle bei einem Schritt: PHP aktualisieren. Aus dem Code Ihres Shops, Themes oder der Plugins lässt sich das nicht beheben, sondern nur durch ein PHP-Update auf dem Server oder durch Ihren Hoster.
Was dieses Tool über Ihre Website sagt. Es macht eine normale Anfrage, genau wie ein Browser, und erstellt einen kurzen, farbcodierten Bericht: ob Ihre PHP-Version sichtbar und ob sie veraltet oder am Ende des Lebenszyklus ist; ob der Verkehr mit einem gültigen HTTPS-Zertifikat verschlüsselt ist; ob Besucher auf der sicheren Version bleiben; ob die üblichen Schutz-Header gesetzt sind; und ob eine Firewall oder ein CDN wie Cloudflare davorsteht. Jede Prüfung ist passiv: kein Angriff, nur das Lesen dessen, was jeder Besucher ohnehin sieht. Eine von außen gelesene Version ist ein Signal, kein endgültiges Urteil: bestätigen Sie sie auf dem Server mit php -v. Die aktuellen korrigierten PHP-Versionen sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12; PHP 8.1 und älter sind am Lebensende und brauchen ein Upgrade oder ein zurückportiertes Paket Ihres Hosters.
- Die PHP-Lücke vom Oktober 2026 einfach erklärt: PHP2Shell (CVE-2026-109618 / CVE-2026-109619) ist ein Fehler in PHP selbst, also ist jede PHP-Website betroffen, auch Magento, Shopware, WooCommerce und WordPress, egal wie sauber Ihr eigener Code ist.
- Keine Panik, aber aktualisieren: Massenangriffe sind unwahrscheinlicher als befürchtet und Sie müssen den Shop nicht offline nehmen, aber die Lösung ist ein PHP-Update auf dem Server (korrigiert 8.2.35, 8.3.36, 8.4.27, 8.5.12). Aus dem Shop-Code geht es nicht.
- PHP-Zustand auf einen Blick: das Tool zeigt, ob Ihre PHP-Version öffentlich sichtbar ist und ob sie veraltet, ungepatcht oder am Lebensende wirkt, das Erste, worauf ein Angreifer schaut.
- HTTPS und Zertifikat: bestätigt, dass der Verkehr verschlüsselt ist und das Zertifikat gültig, vertrauenswürdig und nicht kurz vor Ablauf ist.
- Header und Firewall: prüft HSTS, Content-Security-Policy, Clickjacking- und MIME-Sniffing-Schutz sowie ob ein WAF/CDN wie Cloudflare, Sucuri, Akamai, Fastly oder CloudFront davorsteht.
- Passiv und privat: eine normale Anfrage, keine Exploit-Daten, nichts wird gespeichert, und das Ergebnis lässt sich als PDF herunterladen.
Wie benutze ich den Website-Sicherheitscheck?
Geben Sie Ihre Website-Adresse ein (zum Beispiel example.com) und klicken Sie auf Prüfen. Nach wenigen Sekunden erhalten Sie einen verständlichen Bericht mit farbcodiertem Urteil und einer Liste von Punkten. Mit der Schaltfläche PDF herunterladen können Sie ihn speichern.
Zeigt es, ob ich von der PHP-Lücke vom Oktober 2026 (PHP2Shell) betroffen bin?
Es gibt ein starkes erstes Signal: Wenn Ihr Server seine PHP-Version noch preisgibt, prüft das Tool, ob diese Version für die Korrektur vom Oktober 2026 veraltet, ungepatcht oder am Lebensende ist. Die Ausnutzbarkeit kann es nicht bestätigen, das hängt von Ihrer Serverkonfiguration ab. Die sichere Prüfung ist auf dem Server: php -v und der Blick ins Changelog des Pakets (korrigiert 8.2.35, 8.3.36, 8.4.27, 8.5.12). Ist die Version verborgen oder hinter einer Firewall, kann das Tool sie nicht lesen, prüfen Sie dann auf dem Server.
Mein PHP ist veraltet, was soll ich tun?
Aktualisieren Sie PHP auf eine unterstützte, korrigierte Version (8.2.35, 8.3.36, 8.4.27 oder 8.5.12). Bei PHP 8.1 oder älter wechseln Sie auf einen unterstützten Zweig oder bitten Sie Ihren Hoster um ein zurückportiertes Paket, und starten Sie dann PHP-FPM oder Apache neu. Verwaltet Ihr Hoster PHP, bitten Sie ihn einfach, das Update vom Oktober 2026 einzuspielen. Das ist die wirkungsvollste Maßnahme.
Häufig gestellte Fragen
Ist das ein Schwachstellen-Scanner?
Nein. Es sendet nie Exploit-Daten und versucht nie, eine Schwachstelle auszulösen. Es liest nur die HTTP-Antwort-Header und das TLS-Zertifikat, die jeder Browser ohnehin erhält, und erklärt sie. Für eine eindeutige Prüfung einer bestimmten Lücke wie PHP2Shell folgen Sie dem offiziellen Advisory und testen auf dem Server.
Muss ich meinen Shop wegen PHP2Shell offline nehmen?
Laut Sansecs Aktualisierung vom 22. Oktober nein. Massenausnutzung ist unwahrscheinlicher als befürchtet und die öffentlichen Exploits funktionieren nicht gegen eine normale PHP-Installation. Richtig ist, PHP auf eine korrigierte Version zu aktualisieren, nicht den Shop abzuschalten.
Das Tool kann meine PHP-Version nicht lesen, ist das schlecht?
Meist das Gegenteil. Viele Server verbergen ihre Version mit expose_php=Off oder stehen hinter einer Firewall, die automatische Anfragen blockiert, beides gut für die Sicherheit. Wenn die Version von außen nicht lesbar ist, bestätigen Sie sie auf dem Server mit php -v.
Mein PHP gilt als End-of-Life, was nun?
PHP 8.1 und älter erhalten keine offiziellen Sicherheitsupdates mehr (Stand 2026), und für diese Zweige gibt es keine offizielle Korrektur der Lücke vom Oktober 2026. Wechseln Sie auf einen unterstützten Zweig (8.2 oder neuer) oder bitten Sie Ihren Hoster um ein zurückportiertes Paket. Eine veraltete Version bedeutet, dass bekannte Lücken offen bleiben, das ist das Wichtigste.