HANECSReguFrame
SECURITY & NEWS / FÜR WEBSITE-BETREIBER

Sicherheitslücken
einordnen.
Gezielt handeln.

Aktuelle Sicherheitsmeldungen, verständliche Einordnung und direkte Checks. Der erste Fokus: PHP2Shell und die zwei kritischen PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619.

Achtung · PHP2Shell

PHP hat am 21. Oktober 2026 Sicherheitsupdates veröffentlicht. Prüfen Sie den tatsächlich laufenden PHP-Paketstand – auch bei WordPress, Drupal und Laravel.

Was ist passiert? Briefing lesen ↗

KOSTENLOS / OHNE REGISTRIERUNG

PHP-Sicherheitscheck

Website eingeben. Sichtbare PHP-Hinweise mit den Patchständen für CVE-2026-109618 und CVE-2026-109619 abgleichen.

Nur öffentliche Header

Die Domain wird zur Prüfung an unseren Server übermittelt. Kein Exploit-Test. Keine Garantie, dass eine versteckte PHP-Version erkannt wird. Datenschutz zum Check

Ich kenne meine PHP-Version bereits

Dieser Versionsvergleich läuft lokal im Browser und überträgt Ihre Eingabe nicht an den Prüfdienst.

BEOBACHTEN / EINORDNEN / HANDELN

Security Briefings

KURZ ERKLÄRT

Was sagt der Check wirklich?

Kann eine Domain allein die Betroffenheit beweisen?

Nein. Öffentliche Header können eine PHP-Version verraten, aber auch verborgen, veraltet oder verändert sein. Der Check liefert einen Versionshinweis, keinen Exploit-Nachweis. Ein nicht sichtbarer PHP-Header ist keine Entwarnung.

Meine Website nutzt WordPress, Drupal oder Laravel. Was nun?

Wenn die Anwendung PHP verwendet, muss der Betreiber die PHP-Laufzeit prüfen – unabhängig von der CMS- oder Framework-Version. Die konkrete PHP-Version finden Sie häufig im Hosting-Panel. Den tatsächlichen Sicherheits-Patchstand bestätigt Ihr Anbieter.

Reicht eine neuere Versionsnummer als Nachweis?

Nein. Maßgeblich sind der installierte Build und alle tatsächlich laufenden Instanzen. Manche Anbieter liefern Backports mit älteren Versionsnummern. Der zusätzliche Hinweis CVE-2026-115560 benötigt außerdem eine gesonderte Konfigurationsprüfung.

Werden Angriffe oder Belastungstests durchgeführt?

Nein. Der Domain-Check ruft nur öffentliche HTTP-Header der Startseite ab. Keine Exploit-Payloads, keine Uploads, kein Login und kein Portscan. Prüfen Sie trotzdem nur Websites, die Sie selbst betreiben oder für die Sie eine Erlaubnis haben.

VOM HINWEIS ZUM NACHWEIS

Ein Befund ist erst der Anfang.

HANECS unterstützt Sie dabei, technische Risiken einzuordnen und belastbare Nachweise aufzubauen. Für vernetzte Produkte geht es im ReguFrame QuickCheck weiter mit CRA und EU AI Act.

Befund besprechen ↗ CRA / AI Act QuickCheck ↗