Kostenlose Selbsttest-Tools für die Cyberkrise im Oktober 2026
Drei kritische Vorfälle in einer Woche: PHP2Shell, das manipulierte LiteLLM 1.107.0 und acht schwache eMudhra-CA-Schlüssel. Diese Skripte zeigen Ihnen in wenigen Minuten, ob ein Host betroffen ist. Sie laufen auf Ihrem Rechner, nur lesend, und senden nichts an niemanden, auch nicht an uns. So sollten Sicherheitstests funktionieren. Zero Hunt stellt sie kostenlos bereit, um allen Organisationen durch diese Krise zu helfen.
Läuft auf Ihrem Rechner
Kein Upload, kein Konto, kein Online-Scanner. Keine Information über Ihre Systeme verlässt Ihr Netzwerk.
Nur lesend
Die Skripte lesen Dateien und Versionen. Sie ändern keine Konfiguration, löschen keine Datei und nutzen nichts aus.
Open Source, MIT
Schlichtes Shell und Python, in fünf Minuten gelesen. Prüfen Sie vor dem Ausführen den SHA-256-Wert.
Auf geprüften Fakten aufgebaut
Jede Prüfung stammt aus unseren Remediation-Leitfäden, die sich auf die Herstellerhinweise stützen.
Die drei Prüfungen
PHP2Shell (CVE-2026-109618, CVE-2026-109619)
Findet jeden PHP-Build auf dem Host (System, PHP-FPM, cPanel, Plesk, LiteSpeed, Remi, Container mit --docker) und vergleicht ihn mit den korrigierten Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Zeigt, ob mod_php geladen ist, welche Übergangsmaßnahmen Ihre FPM-Pools setzen und welche PHP-Prozesse eine Shell oder ein Download-Tool gestartet haben.
Distributionspakete enthalten den Fix oft ohne geänderte Versionsnummer: Diese sind als CHECK markiert, bitte gleichen Sie sie mit dem Sicherheitshinweis Ihres Anbieters ab.
Herunterladen, prüfen, lesen, ausführen
curl -fsSLO https://zerohunt.ai/self-check/php2shell-check.sh
sha256sum php2shell-check.sh # must print 8603f15eec23b285…
less php2shell-check.sh # read it first
sudo sh php2shell-check.sh
Sucht nach den Payload-Dateien (cook.pth, cook.py, die bösartige sitecustomize.py), den Metadaten von 1.107.0, den Spuren von Stealer und Loader, zwischengespeicherten Wheels, dem kompromittierten Docker-Image-Digest, Kubernetes-Pods, die es ausführen, und, wenn Sie einen Ordner angeben, nach festgeschriebenen Versionen in Requirements- und Lock-Dateien. Python wird nie gestartet, denn auf einem infizierten Host führt jeder Python-Start den Stealer erneut aus.
Keine Spuren zu finden beweist nicht, dass Sie sicher waren: Container und die Bereinigung von /tmp löschen die Spuren. Prüfen Sie auch CI- und Egress-Logs.
Herunterladen, prüfen, lesen, ausführen
curl -fsSLO https://zerohunt.ai/self-check/litellm-check.sh
sha256sum litellm-check.sh # must print e06a1e019bcfc8f3…
less litellm-check.sh # read it first
sudo sh litellm-check.sh ~/src
eMudhra-CA-Schlüssel: Truststores von Python, pip, uv und Betriebssystem
Findet jedes CA-Bundle (certifi, die Kopie in pip, Betriebssystem-Stores, Dateien aus SSL_CERT_FILE und ähnlichen Variablen) und markiert die, die emSign ECC Root CA - G3 oder dem Sectigo-Cross-Sign-Pfad noch vertrauen, sowie certifi, pip und uv vor den korrigierten Versionen. Mit --scan prüfen Sie ein exportiertes Container-Dateisystem.
Liest keine Java-Keystores, nicht den Windows-Zertifikatspeicher und nicht den macOS-Schlüsselbund. Mit -S ausführen, damit Python .pth-Dateien überspringt.
Herunterladen, prüfen, lesen, ausführen
curl -fsSLO https://zerohunt.ai/self-check/trust_store_audit.py
sha256sum trust_store_audit.py # must print ff9aff85f05de454…
less trust_store_audit.py # read it first
python3 -S trust_store_audit.py
Ein Skript prüft einen Host. Angreifer prüfen Ihr ganzes Netzwerk.
Zu wissen, dass ein Server ein altes PHP verwendet, ist erst der Anfang. Die eigentlichen Fragen lauten: Welche Ihrer Systeme kann ein Angreifer erreichen, was öffnet ein gestohlener LiteLLM-Schlüssel, und hat ein Fix den Angriffspfad wirklich geschlossen? Zero Hunt beantwortet sie mit einem autonomen KI-Red-Team auf einer Appliance in Ihrem Netzwerk, mit eigenen Modellen, ohne dass etwas Ihren Perimeter verlässt.
Ja. Es sind MIT-lizenzierte Skripte ohne Konto, Registrierung oder Nutzungsgrenze. Nutzen, teilen und anpassen Sie sie.
Senden die Skripte Daten an Zero Hunt?
Nein. Sie bauen keinerlei Netzwerkverbindung auf. Sie lesen nur Dateien und Versionen auf dem Rechner, auf dem Sie sie ausführen, und geben das Ergebnis aus.
Kann ich sie gefahrlos auf Produktionsservern ausführen?
Sie arbeiten nur lesend und nutzen nichts aus. Wie bei jedem Skript gilt: vor dem Ausführen lesen und den SHA-256-Wert auf dieser Seite vergleichen.
Warum kein Online-Scanner?
Ein Online-Scanner sieht nur, was im Internet erreichbar ist, und verlangt, dass Sie einem Dritten eine Karte Ihrer Systeme geben. Eine lokale Prüfung sieht den Build, den Sie tatsächlich betreiben, auch auf internen Hosts und in Containern, und behält diese Karte in Ihrem Netzwerk.