Alle Zweige mit Supportende und PHP2Shell-Fix
PHP2Shell ist der Name für CVE-2026-109618 und CVE-2026-109619, zwei kritische Lücken in PHP selbst. Das PHP-Projekt hat sie am 21. Oktober 2026 behoben. Die Tabelle zeigt den aktuellen Stand jedes Zweigs.
| Zweig | Upstream-Support endet | PHP2Shell-Fix vom PHP-Projekt | Seite |
|---|---|---|---|
| 8.5 | 31.12.2029 | Release 8.5.12 | |
| 8.4 | 31.12.2028 | Release 8.4.27 | |
| 8.3 | 31.12.2027 | Release 8.3.36 | PHP 8.3 |
| 8.2 | 31.12.2026 | Release 8.2.35 | PHP 8.2 |
| 8.1 | 31.12.2025 | Nur Quellcode-Backport | PHP 8.1 |
| 8.0 | 26.11.2023 | Nur Quellcode-Backport | Alte Versionen |
| 7.4 | 28.11.2022 | Nur Quellcode-Backport | PHP 7.4 |
| 7.3 | 06.12.2021 | Keiner | Alte Versionen |
| 7.2 | 30.11.2020 | Keiner | Alte Versionen |
| 7.1 | 01.12.2019 | Keiner | Alte Versionen |
| 7.0 | 10.01.2019 | Keiner | Alte Versionen |
| 5.6 | 31.12.2018 | Keiner | PHP 5 |
Die Daten stammen von den php.net-Seiten zu unterstützten und nicht mehr unterstützten Zweigen. 8.2 und 8.3 erhalten nur noch Sicherheitsupdates, 8.4 und 8.5 sind in der aktiven Unterstützung.
„Quellcode-Backport“ heißt: Das PHP-Projekt hat einen Zweig wie PHP-7.4-CVE-2026-109618-109619 veröffentlicht, der nur die beiden Fixes enthält. Das ist Quellcode. Es gibt kein Release und kein Paket, jemand muss ihn also kompilieren. Details stehen auf der Seite zu PHP 7.4.
End of Life upstream heißt nicht ungepatcht
Wenn das PHP-Projekt einen Zweig beendet, veröffentlicht es keine Releases mehr. Andere können ihre eigenen Builds trotzdem weiter patchen. Distributionen, Hersteller von Control Panels und kommerzielle Support-Anbieter pflegen die PHP-Version, die sie ausliefern, oft so lange, wie ihr eigenes Release unterstützt wird.
Ein Server kann also PHP 7.4 oder 8.1 melden und trotzdem abgesichert sein, und dasselbe gilt für einen Server, der eine Version unter 8.2.35 meldet. Die Versionsnummer allein sagt darüber nichts. Prüfen Sie das Changelog des Pakets.
Stand bei unserer letzten Prüfung am 21. Oktober 2026:
| Quelle | Alte Zweige | Stand bei der letzten Prüfung |
|---|---|---|
| Ubuntu | 22.04 php8.1 | Im normalen Archiv behoben (USN-8948-1) |
| Ubuntu mit Ubuntu Pro (ESM) | 20.04 php7.4, 18.04 php7.2 | Behoben (USN-8948-2). 16.04 und 14.04 brauchen Pro plus das Add-on Legacy Support |
| Debian | 12 php8.2 (LTS) | Behoben in 8.2.35-1~deb12u1 (DLA-4848-1). 11 php7.4 war im Tracker nicht aufgeführt |
| Red Hat Enterprise Linux | 8 Modul php:7.4 | Behoben (RHSA-2026:87080). php:8.2 sowie RHEL 9 und 10 hatten noch keinen Fix |
| CloudLinux alt-php | 5.2 bis 8.5 | „In Vorbereitung“. Nur Builds von alt-php74 waren als ausgeliefert gelistet |
| cPanel EasyApache 4 | ea-php74, 80, 81 | Rückportierte Fixes in 25.91, beide CVEs genannt |
| Plesk | 7.4, 8.0, 8.1 | Noch kein Fix |
| Sury | 8.1, 8.0, 7.4 auf Ubuntu 22.04 und 24.04 | Am 21.10. veröffentlicht. Die Changelogs von 8.1 und 8.0 haben wir nicht geprüft |
| Offizielles Docker-Image | 8.1 und älter | Nicht gepatcht |
| Windows-Builds | 8.1.34, 8.0.30, 7.4.33 | Nicht gepatcht |
| Homebrew | php@8.1 | Nicht gepatcht |
Zwei Einschränkungen. Die Anbieter aktualisieren ihre Seiten häufig. Öffnen Sie deshalb die verlinkte Herstellerseite in der jeweiligen Distributionsanleitung, bevor Sie sich auf eine Zeile verlassen. Und ein Hinweis „no fix planned“, wie ihn Amazon Linux für PHP 8.1 auf Amazon Linux 2023 führt, bedeutet: Das Paket bleibt verwundbar.
Ein Distributionspaket prüfen Sie über sein Changelog. Starten Sie PHP danach neu:
apt changelog php8.1-fpm | grep -m1 -E 'CVE-2026-10961[89]' # Debian, Ubuntu
rpm -q --changelog php-fpm | grep -m1 -E 'CVE-2026-10961[89]' # RHEL family
In den Changelogs des Remi-Repositorys und von Sury fehlen die CVE-Nummern unter Umständen. Vergleichen Sie dort die installierte Version mit der behobenen. Wie Sie die laufende Version prüfen, steht in der Anleitung Nach dem Patchen.
Bezahlter erweiterter Support
Firmen wie TuxCare, HeroDevs und Zend verkaufen gepatchte PHP-Builds über das Upstream-Ende hinaus. Bei unserer letzten Prüfung nannte HeroDevs auf den eigenen Seiten beide CVEs für PHP 7.4, 8.0 und 8.1. Den Fix von Zend für seine Langzeit-Builds kannten wir nur aus zweiter Hand. Von TuxCare haben wir nichts gefunden. Lassen Sie sich vor dem Kauf schriftlich bestätigen, dass beide CVE-Nummern abgedeckt sind. Den Vergleich finden Sie unter Alte PHP-Versionen.
Ihre Optionen
1. Upgraden. Nur diese Option deckt auch die nächste Lücke ab. Wir empfehlen PHP 8.4, oder 8.3, falls ein Plugin oder eine Erweiterung noch nicht so weit ist. Von einem Wechsel auf 8.2 raten wir ab: Der Zweig endet am 31. Dezember 2026. Anleitungen: 7.4 auf 8.4, 8.1 auf 8.4, 8.2 auf 8.4. Siehe alle Upgrade-Anleitungen.
2. Den Backport der Distribution nutzen. Er ist kostenlos oder im Abo enthalten und hält, bis Ihr OS-Release ausläuft. Die Versionsnummer bleibt alt, prüfen Sie also das Changelog wie oben gezeigt.
3. Erweiterten Support eines Anbieters kaufen. Das ist für Code gedacht, der noch nicht umziehen kann. Wählen Sie einen Anbieter, der beide CVEs schriftlich bestätigt. Siehe Alte PHP-Versionen.
4. Den Hoster machen lassen. Bei Shared und Managed Hosting betreibt der Hoster PHP. Fragen Sie, welcher Build Ihre Website ausliefert und wann die Worker neu gestartet wurden: Die drei Fragen stehen in der Einschätzung und in der Anleitung für Shared Hosting. Bei vielen Hostern können Sie im Kundenmenü eine neuere PHP-Version wählen, das ist dort der schnellste Fix. Die Aussagen der einzelnen Hoster finden Sie unter Hoster.
Wenn für eine Website diese Woche nichts davon klappt, nehmen Sie sie vom öffentlichen Netz oder stellen Sie sie am Proxy hinter ein VPN oder eine Anmeldung. Das verkleinert die Angriffsfläche, behebt aber nichts. Die offiziellen Übergangseinstellungen stehen in der Anleitung Noch kein Upgrade möglich.
Ihren Zweig wählen
- PHP 8.3: behoben in 8.3.36, unterstützt bis 2027.
- PHP 8.2: behoben in 8.2.35, endet am 31. Dezember 2026.
- PHP 8.1: Quellcode-Backport, Ende am 31. Dezember 2025.
- PHP 7.4: Quellcode-Backport, Ende am 28. November 2022.
- PHP 5: nichts vom PHP-Projekt.
- Alte Versionen und erweiterter Support: 8.0, 7.x und Anbieter.
Zuletzt geprüft am 22. Oktober 2026.