Kurz gesagt: Auf Servern mit CloudLinux laufen Websites häufig nicht mit dem Standard-PHP, sondern mit alt-php, eigenen Paketen je PHP-Version, die Kunden über den PHP Selector wählen. Gegen PHP2Shell muss der Serverbetreiber jede installierte alt-php-Version einzeln aktualisieren und alle PHP-Prozesse neu starten. Als Hosting-Kunde klären Sie, welche Version Ihr Konto nutzt, und lassen sich deren Patch-Stand schriftlich bestätigen.
Warum CloudLinux bei PHP2Shell eine eigene Frage ist
Viele Shared-Hosting-Anbieter setzen CloudLinux ein, ein Linux-Betriebssystem, das Tausende Kundenkonten auf einem Server voneinander trennt. Für Website-Betreiber ist das meist unsichtbar. Sichtbar wird es erst, wenn eine Lücke im PHP-Interpreter selbst auftaucht, wie bei PHP2Shell mit CVE-2026-109618 und CVE-2026-109619.
Der Grund: Auf solchen Servern gibt es oft mehrere PHP-Quellen nebeneinander. Neben dem PHP des Betriebssystems und, bei cPanel, den ea-php-Paketen stehen die alt-php-Pakete von CloudLinux. Jede Quelle hat einen eigenen Paketstand. Dass eine davon gepatcht ist, sagt nichts über die anderen.
Für Agenturen und Unternehmen mit mehreren Konten beim selben Hoster kommt ein zweiter Punkt hinzu: Jede Website kann eine andere Version nutzen, weil jemand sie vor Jahren im Kundenbereich umgestellt hat. Eine einzelne Rückfrage nach „dem PHP“ des Hosters greift deshalb zu kurz. Sinnvoll ist eine Liste aller Domains mit der jeweils gewählten Version.
Was alt-php und der PHP Selector sind
Laut CloudLinux-Dokumentation stellt der PHP Selector alternative PHP-Versionen bereit, die alt-php-Pakete. Sie liegen unter /opt/alt/phpXX/, etwa /opt/alt/php83/ für PHP 8.3, jeweils mit eigener php.ini. Die Dokumentation listet Versionen von 5.1 bis 8.5, abhängig von der CloudLinux-Version des Servers.
Kunden wählen ihre Version selbst, in cPanel meist über „Select PHP Version“. Technisch setzt das CageFS voraus, eine Art abgeschottetes Dateisystem je Konto. Laut Dokumentation arbeitet der Selector mit suPHP, mod_fcgid, CGI und LiteSpeed; Apache mit mod_php unterstützt CageFS nicht.
| Begriff | Bedeutung für Sie |
|---|---|
| CloudLinux | Betriebssystem des Hosters, trennt Kundenkonten |
| CageFS | eigenes, abgeschottetes Dateisystem je Konto |
| alt-php | PHP-Pakete von CloudLinux, eines je Version |
| PHP Selector | Auswahl der alt-php-Version und einzelner Optionen im Kundenbereich |
CloudLinux alt-php und PHP2Shell: Was belegt ist und was offen bleibt
Belegt ist: Behobene PHP-Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es vom PHP-Projekt keine offiziellen Updates mehr, nur minimale Quell-Backports für 7.4, 8.0 und 8.1. Laut Fachpresse sind nahezu alle Versionen bis PHP 5.4 betroffen.
Offen ist in den uns vorliegenden Quellen, für welche alt-php-Versionen CloudLinux bereits gepatchte Pakete ausliefert. Gerade bei alten Zweigen wie 5.6 oder 7.4, die der Selector weiter anbietet, zählt deshalb allein die Aussage des Anbieters. Backports können eingespielt sein, ohne dass sich die angezeigte Versionsnummer ändert.
Eine Besonderheit betrifft cPanel-Server mit kommerziellem Langzeitsupport: Laut cPanel-Dokumentation liefert TuxCare, eine Marke von CloudLinux, gepatchte Pakete für ausgelaufene PHP-Versionen als alt-php aus. Wer dort von ea-php74 auf alt-php74 umgestellt wurde, ist auf diesen Weg angewiesen. Mehr dazu im Beitrag Langzeitsupport für alte PHP-Versionen.
Diese Fragen sollten Sie Ihrem Hoster jetzt stellen
Als Kunde können Sie alt-php nicht selbst patchen. Sie können aber die richtigen Fragen stellen und die Antworten dokumentieren. Eine fertige Vorlage dafür bietet der Ratgeber Hoster nach dem Patch-Status fragen.
- Läuft mein Konto mit alt-php, ea-php oder dem PHP des Betriebssystems, und mit welcher Version genau?
- Ist genau dieses Paket gegen CVE-2026-109618 und CVE-2026-109619 gepatcht, und seit wann?
- Wurden danach alle PHP-Prozesse neu gestartet, auch lsphp- und php-cgi-Prozesse?
- Sind die Übergangswerte von php.net zentral gesetzt, insbesondere
session.upload_progress.enabled=0? - Welche alt-php-Versionen werden nicht mehr gepatcht, und bis wann muss ich wechseln?
Prüfen Sie parallel, welche Version Ihr Konto tatsächlich nutzt. Haben Sie SSH-Zugang, zeigt php -v die Version der Kommandozeile, die aber von der Website abweichen kann. Verlässlicher ist die Anzeige im PHP Selector für die betroffene Domain.
Antwortet der Hoster, dass Ihre gewählte Version nicht mehr gepatcht wird, ist der Wechsel auf einen unterstützten Zweig der saubere Weg. Prüfen Sie vorher in den Systemanforderungen Ihres CMS oder Shops, welche PHP-Versionen der Hersteller freigibt, und testen Sie den Wechsel möglichst an einer Kopie der Website. Ein Umschalten im Selector ist schnell erledigt, ein Fehler im Shop am Montagmorgen nicht.
PHP-Optionen im Selector: Vorsicht bei den Übergangswerten
Der PHP Selector erlaubt Kunden, einzelne php.ini-Werte selbst zu ändern, darunter häufig memory_limit. Welche Werte freigegeben sind, legt laut Dokumentation der Betreiber fest, in der Datei /etc/cl.selector/php.conf. Globale Werte für alle alt-php-Versionen stehen in /etc/cl.selector/global_php.ini.
Das ist für PHP2Shell wichtig. php.net empfiehlt als Übergang, memory_limit=-1 so zu setzen, dass Anwendungen den Wert nicht überschreiben können, und session.upload_progress.enabled=0 nicht über ini_set() oder .user.ini zu setzen. Ein Wert, den jedes Konto frei verstellen kann, erfüllt diese Bedingung nicht. Die Hintergründe stehen unter Sofortmaßnahmen ohne Patch.
Für Serverbetreiber ergibt sich daraus eine kurze Prüfliste. Die Befehle lesen nur:
# Welche PHP-Versionen bietet der Selector an, welche ist Standard?
selectorctl --summary
# Installierte alt-php-Pakete und ihr Stand
rpm -qa 'alt-php*' | sort
# Stehen die CVE-Nummern im Changelog eines Pakets? (Paketname als Beispiel)
rpm -q --changelog alt-php83 | grep -E "CVE-2026-10961[89]"
# Laufende PHP-Prozesse mit Startzeit, um den Neustart zu belegen
ps -eo pid,lstart,cmd | grep -E '[l]sphp|[p]hp-cgi|[p]hp-fpm'
Aktualisiert wird laut CloudLinux-Dokumentation mit yum groupupdate alt-php. Danach müssen alle PHP-Prozesse neu starten, sonst läuft der alte Code im Speicher weiter. Übergangswerte, die nicht überschrieben werden dürfen, gehören in die globale Konfiguration und nicht in die Liste der Kundenoptionen. Wie sich ea-php und alt-php auf cPanel-Servern zueinander verhalten, beschreibt cPanel und WHM: PHP absichern.
Ein Patch entfernt keine Schadsoftware, die vorher eingeschleust wurde. Lief Ihr Konto zwischen dem 17. und dem 21. Oktober mit einer verwundbaren Version, lohnt ein Blick auf neue PHP-Dateien und die Zugriffslogs ab dem 20. Oktober.
Wie hilft PHP SOS konkret?
- Stand klären: Wir ermitteln, mit welcher PHP-Quelle und Version jede Ihrer Websites läuft, und formulieren die Anfrage an den Hoster.
- Antwort bewerten: Wir prüfen die Bestätigung des Hosters auf Lücken, etwa fehlende Angaben zum Neustart oder zu alten alt-php-Zweigen.
- Wechsel begleiten: Läuft eine Website auf einer Version ohne Patch, planen wir den Umstieg und testen ihn vorab.
- Für Betreiber: Über den PHP-Patch-Service aktualisieren wir alt-php-, ea-php- und Systempakete, starten alle Prozesse neu und dokumentieren den Stand.
Häufige Fragen
Woran erkenne ich, ob mein Hoster CloudLinux und alt-php nutzt?
Ein typisches Zeichen ist die Funktion „Select PHP Version“ im cPanel-Kundenbereich, über die Sie selbst zwischen vielen PHP-Versionen wechseln können. Sicher wissen Sie es erst, wenn der Hoster es bestätigt.
Kann ich alt-php in meinem Konto selbst aktualisieren?
Nein. Die alt-php-Pakete liegen zentral auf dem Server und werden vom Betreiber gepflegt. Sie können nur zwischen den installierten Versionen wählen und sollten sich den Patch-Stand der gewählten Version bestätigen lassen.
Ist eine alte alt-php-Version wie 7.4 gegen PHP2Shell geschützt?
Das lässt sich ohne Aussage des Anbieters nicht sagen. Laut Fachpresse sind nahezu alle Versionen bis PHP 5.4 betroffen, und das PHP-Projekt liefert für 8.1 und älter keine offiziellen Updates. Ob ein Backport eingespielt ist, muss der Hoster für genau Ihre Version schriftlich bestätigen.
Darf ich memory_limit im PHP Selector selbst ändern?
Technisch oft ja, wenn der Betreiber die Einstellung freigegeben hat. php.net empfiehlt als Übergangsmaßnahme aber, memory_limit so zu setzen, dass Anwendungen den Wert nicht überschreiben können. Ändern Sie solche Werte deshalb nur nach Absprache mit dem Hoster.