{"id":21942,"date":"2026-10-23T11:43:13","date_gmt":"2026-10-23T09:43:13","guid":{"rendered":"https:\/\/webhosting.de\/?p=21942"},"modified":"2026-10-23T11:43:17","modified_gmt":"2026-10-23T09:43:17","slug":"php-sikkerhedshul-2026-kontrollere-rette","status":"publish","type":"post","link":"https:\/\/webhosting.de\/da\/php-sicherheitsluecke-2026-pruefen-patchen\/","title":{"rendered":"PHP-sikkerhedshul 2026: S\u00e5dan kontrollerer og lapper du s\u00e5rbare webtjenester"},"content":{"rendered":"<div class=\"wh-article\" data-wh-layout=\"2.1.2\" style=\"width:100%;max-width:820px;margin:0 auto;color:#263b4b;font-family:inherit;font-size:18px;line-height:1.8;text-align:start;overflow-wrap:break-word;box-sizing:border-box\"><p class=\"wh-lead\" style=\"font-size:20px;line-height:1.7;color:#233746;margin:0 0 1.1em\">Nej, det er ikke \u201ehalvdelen af internettet\u201c, der beviseligt er ber\u00f8rt. Men PHP-webtjenester, der ikke er opdateret, kan v\u00e6re udsat for risiko p\u00e5 grund af to kritiske s\u00e5rbarheder, der kan udnyttes uden forudg\u00e5ende login. Kontroller derfor f\u00f8rst <strong style=\"font-weight:700;color:inherit\">faktisk driftstid p\u00e5 nettet<\/strong> I stedet for blot at k\u00f8re PHP i shellen skal du installere den udgivne sikkerhedsopdatering og genstarte de ber\u00f8rte worker-processer p\u00e5 en kontrolleret m\u00e5de. Det er is\u00e6r vigtigt for offentligt tilg\u00e6ngelige tjenester, mod_php samt containere og produkter med indbygget PHP. <\/p>\n<nav class=\"wh-toc\" aria-label=\"Indholdet af denne artikel\" style=\"display:block;margin:28px 0 38px;padding:22px;border:1px solid #d9e4e8;border-radius:14px;background:#f4f8f8\"><p class=\"wh-toc-title\" style=\"font-size:13px;font-weight:700;letter-spacing:.08em;color:#49656b;margin:0 0 14px\">G\u00e5 direkte til afsnittet<\/p><div class=\"wh-toc-grid\" style=\"display:grid;grid-template-columns:repeat(auto-fit,minmax(min(100%,280px),1fr));gap:10px\"><div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#alarmmeldung-richtig-einordnen\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">At vurdere alarmmeddelelsen korrekt<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#rce-und-betroffene-php-wege\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Hvad PHP-s\u00e5rbarhederne g\u00f8r det teknisk muligt at g\u00f8re<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#risiko-haengt-vom-betrieb-ab\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Hvorfor ikke alle installationer udg\u00f8r den samme risiko<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#patchstaende-und-supportstatus\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Sammenlign opdateringsstatus og supportstatus<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#web-laufzeit-zuverlaessig-pruefen\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Kontroller den faktiske driftstid p\u00e5 nettet<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#updatewege-nach-betriebsart\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Planl\u00e6gning af opdateringsveje efter driftsform<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#sofortmassnahmen-und-neustarts\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Hasteforanstaltninger uden falsk tryghed<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#betrieb-pruefen-und-auffaelligkeiten\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Efter opdateringen: Kontroller driften og eventuelle afvigelser<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#prioritaeten-fuer-alte-und-versteckte-installationen\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Prioriter gamle og skjulte PHP-installationer<\/a><\/div>\n<\/div><\/nav><section class=\"wh-section\" aria-labelledby=\"alarmmeldung-richtig-einordnen\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"alarmmeldung-richtig-einordnen\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">At vurdere alarmmeddelelsen korrekt<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">P\u00e5standen om, at en sikkerhedsfejl i PHP kan ber\u00f8re \u201ehalvdelen af internettet\u201c, er en dramatiseret vinkel, men ikke et dokumenteret omfang. Der er ingen beviser for, at halvdelen af alle internettjenester er s\u00e5rbare eller allerede er blevet kompromitteret. Den faktiske risiko er ikke desto mindre betydelig, da PHP anvendes som k\u00f8rselsmilj\u00f8 p\u00e5 mange hjemmesider, webshops, API'er og administrationsgr\u00e6nseflader. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Det afg\u00f8rende er ikke, om et websted bruger PHP, men hvilken PHP-version der behandler dets webforesp\u00f8rgsler. Sikkerhedsopdateringerne fra den 21. oktober 2026 vedr\u00f8rer generelt ikke-opdaterede installationer af de underst\u00f8ttede grene, forudsat at de behandler foresp\u00f8rgsler via en webservice. En lokal PHP-installation til udviklingsopgaver skal derfor vurderes anderledes end et kundeportal, der er tilg\u00e6ngeligt udefra. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Die <strong style=\"font-weight:700;color:inherit\">Synlighed p\u00e5 internettet<\/strong> Hvor presserende det er, spiller en afg\u00f8rende rolle. En offentligt tilg\u00e6ngelig webshop med formularer og upload-funktioner byder p\u00e5 flere mulige kontaktpunkter end en afsk\u00e6rmet intern tjeneste. Men heller ikke en intern tjeneste er automatisk sikker: VPN-adgang, kompromitterede konti eller andre systemer i netv\u00e6rket kan g\u00f8re den tilg\u00e6ngelig. R\u00e6kkevidde alene kan derfor ikke erstatte en teknisk risikovurdering.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Lige s\u00e5 vigtige er driftsform og <strong style=\"font-weight:700;color:inherit\">Patch-stativ<\/strong>. PHP kan f.eks. k\u00f8re via PHP-FPM, som et Apache-modul, via php-cgi eller integreret i et produkt. Flere dom\u00e6ner p\u00e5 samme server kan have forskellige versioner og opdateringsmetoder. En generel frifindelse af alle PHP-websteder ville v\u00e6re lige s\u00e5 forkert som antagelsen om, at hver installation er umiddelbart s\u00e5rbar. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"rce-und-betroffene-php-wege\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"rce-und-betroffene-php-wege\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Hvad PHP-s\u00e5rbarhederne g\u00f8r det teknisk muligt at g\u00f8re<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">En <strong style=\"font-weight:700;color:inherit\">Fjernk\u00f8rsel af kode<\/strong> (RCE) betyder, at en hacker under visse betingelser kan udf\u00f8re kode p\u00e5 et fjerntliggende system. If\u00f8lge sikkerhedsmeddelelsen kr\u00e6ver disse PHP-s\u00e5rbarheder ikke, at man f\u00f8rst logger ind. Koden vil i f\u00f8rste omgang blive udf\u00f8rt med webprocessens rettigheder og ikke automatisk med ubegr\u00e6nsede administratorrettigheder. De mulige konsekvenser afh\u00e6nger derfor i h\u00f8j grad af filrettigheder, adgangsdata og serverisolering. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">CVE-2026-109618 vedr\u00f8rer fejlveje i <strong style=\"font-weight:700;color:inherit\">Mangel p\u00e5 lagerplads<\/strong>. Hvis PHP afbryder en anmodning p\u00e5 grund af en \u00bbout-of-memory\u00ab-tilstand, kan interne datastrukturer forblive ufuldst\u00e6ndige. Hvis s\u00e5danne tilstande genbruges under oprydningen af anmodningen, kan der opst\u00e5 hukommelsesskader. Den officielle beskrivelse n\u00e6vner is\u00e6r multipart-anmodninger, filoverf\u00f8rsler og hukommelsesforbruget ved parsning af indlejrede indtastninger som relevante tekniske sammenh\u00e6nge. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">CVE-2026-109619 vedr\u00f8rer derimod en intern tilstand, der er knyttet til en foresp\u00f8rgsel, og hvis hukommelse allerede er blevet frigivet. Hvis en genbrugt worker derefter behandler en yderligere foresp\u00f8rgsel, kan PHP f\u00e5 adgang til denne for\u00e6ldede tilstand, inden den normale initialisering tr\u00e6der i kraft. Sikkerhedsmeddelelsen henviser blandt andet til upload-forl\u00f8bet for sessioner og fejlstier. Dette beskriver fejltypen og er ikke en vejledning i udnyttelse. <\/p>\n<ul class=\"wh-list\" role=\"list\" style=\"list-style:none;margin:24px 0;padding:0\"><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Dette kan ber\u00f8re webforesp\u00f8rgsler via PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP og LiteSpeed.<\/li><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Fejlene ligger i PHP-k\u00f8rselstiden, ikke prim\u00e6rt i WordPress, Joomla, Shopware, temaer eller enkelte plugins.<\/li><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">CMS og rammev\u00e6rker p\u00e5virker de funktioner, der er tilg\u00e6ngelige, s\u00e5som filoverf\u00f8rsler, men erstatter ikke en opdatering af fortolkeren.<\/li><\/ul><\/section><section class=\"wh-section\" aria-labelledby=\"risiko-haengt-vom-betrieb-ab\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"risiko-haengt-vom-betrieb-ab\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Hvorfor ikke alle installationer udg\u00f8r den samme risiko<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Om en tjeneste reelt er udsat for risiko, afh\u00e6nger af flere faktorer. F\u00f8rst og fremmest t\u00e6ller en PHP-web-runtime uden opdateringer og en tilg\u00e6ngelig webtjeneste. Dern\u00e6st t\u00e6ller driftsformen, genbrugte processer, funktioner til upload eller komplekse formularer samt rettighederne for webproceskontoen. En tjeneste med omfattende skriveadgang til webfiler eller adgang til andre tjenester kan have alvorligere konsekvenser end et strengt isoleret projekt. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">I Apache med <strong style=\"font-weight:700;color:inherit\">mod_php<\/strong> understreger PHP-projektet is\u00e6r risikoen: Et dokumenteret angreb kan udl\u00f8ses allerede inden den egentlige applikationskode udf\u00f8res. Selv et velvedligeholdt CMS beskytter i s\u00e5 fald ikke mod s\u00e5rbarheden under k\u00f8rsel. Det betyder ikke, at PHP-FPM, php-cgi, FrankenPHP eller LiteSpeed betragtes som ufarlige; de skal ligeledes prioriteres i kontrollen, hvis de ikke er opdateret. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Derudover kr\u00e6ver produkter med <strong style=\"font-weight:700;color:inherit\">indlejret PHP<\/strong>. Dette kan omfatte containerbilleder, apparater, NAS-administrationssystemer eller netv\u00e6rksprodukter, hvor brugergr\u00e6nsefladen internt anvender PHP. I s\u00e5danne tilf\u00e6lde viser en kommando p\u00e5 v\u00e6rten ofte ikke den faktisk anvendte runtime. En opdatering af operativsystemet l\u00f8ser heller ikke automatisk et s\u00e5rbart PHP-komponent i et billede eller et producentprodukt. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">En firewall, en webapplikationsfirewall eller strenge upload-begr\u00e6nsninger kan g\u00f8re det vanskeligere at sende enkelte foresp\u00f8rgsler og dermed begr\u00e6nse angrebsfladen. De er dog ikke en erstatning for selve rettelsen, da de ikke korrigerer den fejlbeh\u00e6ftede hukommelses- og tilstandsstyring i fortolkeren. Selv et fejlfrit CMS er afh\u00e6ngigt af et sikkert k\u00f8rselsmilj\u00f8. Det er derfor afg\u00f8rende at kontrollere og opdatere patch-status for den PHP-version, der rent faktisk behandler webforesp\u00f8rgslerne. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"patchstaende-und-supportstatus\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"patchstaende-und-supportstatus\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Sammenlign opdateringsstatus og supportstatus<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">For de to sikkerhedshuller er det f\u00f8rst og fremmest patch-status inden for den anvendte PHP-gren, der er afg\u00f8rende. PHP-projektet angiver konkrete rettede udgivelser for de underst\u00f8ttede serier. Tidligere opdateringsniveauer i samme serie betragtes som ber\u00f8rte; en opgradering til den angivne eller en nyere version af denne gren er den anbefalede fuldst\u00e6ndige l\u00f8sning. <\/p>\n<div class=\"wh-table-scroll\" tabindex=\"0\" role=\"region\" aria-label=\"PHP-grene: Status for opdateringer og support pr. 22. oktober 2026\" style=\"width:100%;max-width:100%;overflow-x:auto;margin:28px 0;border:1px solid #dce5e9;border-radius:14px;background:#fff;box-shadow:0 10px 28px -16px rgba(24,47,60,.32);box-sizing:border-box\"><table style=\"width:100%;min-width:580px;border-collapse:separate;border-spacing:0;border:0;margin:0;font-size:15px;line-height:1.6;background:#fff\"><caption style=\"padding:20px;text-align:start;font-size:17px;line-height:1.5;font-weight:700;color:#173246;background:#fff\">PHP-grene: Status for opdateringer og support pr. 22. oktober 2026<\/caption><thead><tr><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">PHP-gren<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Omfatter indtil og med<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Hent sikker version<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Supportstatus den 22. oktober 2026<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Anbefalet foranstaltning<\/th><\/tr><\/thead><tbody><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">PHP 8.2<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">8.2.34<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">8.2.35<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Kun sikkerhedsopdateringer indtil den 31. december 2026<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Opdater hurtigst muligt til mindst 8.2.35 og planl\u00e6g migreringen.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">PHP 8.3<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">8.3.35<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">8.3.36<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Kun sikkerhedsopdateringer indtil den 31. december 2027<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Opdater til mindst version 8.3.36.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">PHP 8.4<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">8.4.26<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">8.4.27<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Aktiv support indtil den 31. december 2026<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Opdater til mindst 8.4.27.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">PHP 8.5<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">8.5.11<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">8.5.12<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Aktiv support indtil den 31. december 2027<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Opdater til mindst version 8.5.12.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">PHP 8.1 og \u00e6ldre<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Ingen regul\u00e6r, aktuel upstream-udgivelse<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Ingen almindeligt tilg\u00e6ngelig, regelm\u00e6ssig fast udgivelse<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Underst\u00f8ttes ikke officielt af PHP-projektet<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Kontroller udbyderens backport eller migrer til en underst\u00f8ttet gren.<\/td><\/tr><\/tbody><\/table><\/div><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">En <strong style=\"font-weight:700;color:inherit\">Patch-opdatering<\/strong> forbliver inden for samme udviklingsserie, f.eks. fra 8.3.35 til 8.3.36. Den skal levere sikkerhedsrettelsen og har en sn\u00e6vrere kompatibilitetsramme end et skift fra 8.2 til 8.4. Sidstn\u00e6vnte er en migration: Afh\u00e6ngigheder, udvidelser, applikationskode og eventuelt implementeringen skal kontrolleres separat i den forbindelse. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">PHP 8.2 kan fortsat bruges til akut fejlretning, forudsat at der k\u00f8rer mindst version 8.2.35. Denne gren mister dog sin support den 31. december 2026. Derfor b\u00f8r driften ikke forblive p\u00e5 denne midlertidige version: Planl\u00e6g overgangen til en gren med l\u00e6ngere support, efter at applikationen er blevet testet for kompatibilitet i et passende milj\u00f8. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">I forbindelse med PHP 8.1 og \u00e6ldre versioner er der grund til s\u00e6rlig forsigtighed. PHP-projektet stiller ikke en regelm\u00e6ssig, opdateret udgave til r\u00e5dighed til dette form\u00e5l; minimale backports af kildekoden kan ikke sidestilles med en almindeligt tilg\u00e6ngelig, vedligeholdt pakke. En sikkerhedsbackport, der er dokumenteret af operativsystemudbyderen, kan v\u00e6re passende, men kr\u00e6ver dokumentation i en sikkerhedsmeddelelse eller i pakkens changelog. Mangler denne dokumentation, er en migrering n\u00f8dvendig i stedet for en ren versionsopdatering. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"web-laufzeit-zuverlaessig-pruefen\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"web-laufzeit-zuverlaessig-pruefen\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Kontroller den faktiske driftstid p\u00e5 nettet<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Versionskontrollen begynder med en statusopg\u00f8relse, men m\u00e5 ikke stoppe ved shell\u2019en. P\u00e5 en selvadministreret server viser f\u00f8lgende kommandoer versionen af den PHP-kommando, der kaldes der, samt de konfigurationsfiler, som dette kald finder. De \u00e6ndrer hverken pakker eller konfiguration og er derfor velegnede som et f\u00f8rste, risikofrit kontroltrin.<\/p>\n<div class=\"wh-code-window\" data-wh-code style=\"margin:28px 0 34px;border:1px solid #2c4656;border-radius:12px;overflow:hidden;background:#132a3b;box-shadow:0 9px 25px -13px rgba(15,35,55,.2)\"><div class=\"wh-code-toolbar\" style=\"display:flex;flex-wrap:wrap;align-items:center;justify-content:space-between;gap:10px;padding:11px 16px;background:#223e50;color:#edf5fa;font-size:13px;line-height:1.5;font-weight:600\"><span>Terminal<\/span><button type=\"button\" class=\"wh-code-copy\" data-wh-copy hidden style=\"padding:6px 11px;border:1px solid #7893a1;border-radius:6px;background:transparent;color:#fff;font-size:12px;line-height:1.5;font-weight:600;cursor:pointer\">Kopier kode<\/button><span class=\"wh-copy-status\" aria-live=\"polite\"><\/span><span data-wh-copy-success hidden>Kopieret<\/span><span data-wh-copy-fallback hidden>Kode er markeret \u2013 kopier venligst<\/span><\/div><pre class=\"wh-code\" data-no-translation translate=\"no\" style=\"display:block;margin:0;padding:20px;max-width:100%;overflow-x:auto;color:#edf5fa;background:#132a3b;font:14px\/1.75 ui-monospace,SFMono-Regular,Menlo,Consolas,monospace;white-space:pre;direction:ltr;text-align:left\"><code class=\"language-bash\" style=\"font:inherit;color:inherit;background:transparent;padding:0;border:0;white-space:inherit\">php -v\nphp --ini<\/code><\/pre><\/div><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Udskriften beskriver kun den, der kaldes via denne shell-kommando <strong style=\"font-weight:700;color:inherit\">CLI-k\u00f8rselstid<\/strong>. En hjemmeside kan derimod k\u00f8re via PHP-FPM, Apache med mod_php, php-cgi eller en container. Dette web-runtime-milj\u00f8 kan anvende en anden PHP-version og andre konfigurationsfiler end kommandoen <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">php -v<\/code> p\u00e5 v\u00e6rten. Det er den proces, der behandler de faktiske HTTP-anmodninger, der er afg\u00f8rende for sikkerhedsvurderingen. <\/p>\n<figure class=\"wp-block-image size-large wh-figure\" aria-describedby=\"wh-caption-detail1\" style=\"display:block;float:none;clear:both;width:100%;max-width:760px;margin:34px auto 40px;border:1px solid #dae5e9;border-radius:14px;overflow:hidden;background:#f5f8fa;box-shadow:0 10px 28px -17px rgba(24,47,60,.28);box-sizing:border-box\"><div class=\"wh-figure-media\" style=\"display:block;background:#eef3f5;line-height:0\"><img loading=\"lazy\" width=\"800\" height=\"534\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/php-webdienst-server-pruefung-73623c2b-detail1-2473e62838-1024x683.webp\" class=\"wp-image-21949\" alt=\"Teknikrum med serverhardware som symbol p\u00e5 test af PHP-webtjenester.\" decoding=\"async\" srcset=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/php-webdienst-server-pruefung-73623c2b-detail1-2473e62838-1024x683.webp 1024w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/php-webdienst-server-pruefung-73623c2b-detail1-2473e62838-300x200.webp 300w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/php-webdienst-server-pruefung-73623c2b-detail1-2473e62838-768x512.webp 768w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/php-webdienst-server-pruefung-73623c2b-detail1-2473e62838-18x12.webp 18w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/php-webdienst-server-pruefung-73623c2b-detail1-2473e62838.webp 1536w\" sizes=\"auto, (max-width: 800px) 100vw, 800px\" ><\/div><figcaption class=\"wh-caption\" id=\"wh-caption-detail1\" style=\"display:block;margin:0;padding:12px 18px 15px;border-top:1px solid #dce5e9;color:#506575;background:#f5f8fa;font-size:14px;line-height:1.55;text-align:start\">AI-genereret illustrativt billede: PHP-versionen skal kontrolleres p\u00e5 den tjeneste, der behandler webforesp\u00f8rgsler.<\/figcaption><\/figure><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">I Managed Hosting skal du derfor i kundepanelet kontrollere den valgte PHP-version pr. projekt eller dom\u00e6ne og om n\u00f8dvendigt tjekke, om den leverede tjeneste er opdateret med den seneste patch. Ved flere dom\u00e6ner skal hver tildeling kontrolleres separat: Et hoveddom\u00e6ne kan allerede bruge den opdaterede version, mens en webshop, en staging-instans eller et underdom\u00e6ne stadig bruger en \u00e6ldre fortolker.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">P\u00e5 servere med PHP-FPM h\u00f8rer servicekonfiguration, pakkebestand og implementeringsdokumentation sammen. I containermilj\u00f8er skal du desuden kontrollere det faktisk implementerede image og ikke blot et lokalt build-manifest. Det afg\u00f8rende er, hvilken revision der modtager webforesp\u00f8rgsler i den k\u00f8rende pod eller container; et opdateret basisimage beskytter ikke en \u00e6ldre instans, der allerede k\u00f8rer. <\/p>\n<aside class=\"wh-callout wh-callout-warning\" style=\"display:block;margin:28px 0;padding:20px 23px;border:1px solid #d1e4dd;border-left:4px solid #187065;border-radius:11px;background:#f0f7f4\"><p class=\"wh-callout-title\" style=\"margin:0 0 8px;color:#1c5c53;font-size:16px;font-weight:700;line-height:1.5\">Ingen offentlig diagnoseside<\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">En offentligt tilg\u00e6ngelig <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">phpinfo()<\/code>-Siden er ikke en anbefalet standardkontrol. Den kan afsl\u00f8re oplysninger om version, modul, sti og konfiguration. Brug i stedet adgangsfunktionerne i hostingpanelet, serveradministrationen eller internt beskyttet driftsdokumentation.<\/p>\n<\/aside><\/section><section class=\"wh-section\" aria-labelledby=\"updatewege-nach-betriebsart\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"updatewege-nach-betriebsart\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Planl\u00e6gning af opdateringsveje efter driftsform<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Den rette opdateringsmetode afh\u00e6nger af, hvem der leverer fortolkeren, og hvor den k\u00f8rer. F\u00f8rst n\u00e5r dette ansvarsomr\u00e5de er afklaret, kan man p\u00e5lideligt afg\u00f8re, om der er behov for et panelskift, en pakkeopdatering, et nyt image eller en producentopdatering. Den f\u00f8lgende klassificering skelner mellem disse tilf\u00e6lde uden at sidestille driftsformerne med hensyn til deres risiko.<\/p>\n<div class=\"wh-table-scroll\" tabindex=\"0\" role=\"region\" aria-label=\"Versionskontrol og opdatering i henhold til PHP-driftstilstand\" style=\"width:100%;max-width:100%;overflow-x:auto;margin:28px 0;border:1px solid #dce5e9;border-radius:14px;background:#fff;box-shadow:0 10px 28px -16px rgba(24,47,60,.32);box-sizing:border-box\"><table style=\"width:100%;min-width:580px;border-collapse:separate;border-spacing:0;border:0;margin:0;font-size:15px;line-height:1.6;background:#fff\"><caption style=\"padding:20px;text-align:start;font-size:17px;line-height:1.5;font-weight:700;color:#173246;background:#fff\">Versionskontrol og opdatering i henhold til PHP-driftstilstand<\/caption><thead><tr><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Driftsform<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Hvor kan man kontrollere den aktuelle version?<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Hvem opdaterer?<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Typisk s\u00e6rtr\u00e6k<\/th><\/tr><\/thead><tbody><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">delt hosting<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Kundepanel pr. dom\u00e6ne eller projekt; oplysninger fra webhostingudbyderen<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Hostingudbyder eller kunde via godkendt udv\u00e6lgelse<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">PHP-tildelinger kan variere fra dom\u00e6ne til dom\u00e6ne.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">PHP-FPM p\u00e5 Linux<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">FPM-Pool, installerede pakker, tjeneste- og implementeringskonfiguration<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Serveradministration eller distribution<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Pakkeversionen kan indeholde en dokumenteret sikkerheds-backport.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Apache med mod_php<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Konfiguration af Apache-moduler og installerede pakker<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Serveradministration eller distribution<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Beskrevet af PHP-projektet med s\u00e6rligt fokus p\u00e5 risici.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Container<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">L\u00f8bende image, image-tag eller digest samt container-k\u00f8rselstid<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Team for build og implementering<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Host-opdateringer \u00e6ndrer ikke automatisk det indlejrede PHP i billedet.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Indbygget PHP i produktet<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Producentdokumentation, produktversion og sikkerhedsmeddelelse<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Produktproducent eller produktadministration<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">PHP kan indg\u00e5 i en appliance uden en separat synlig installation.<\/td><\/tr><\/tbody><\/table><\/div><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Ved shared hosting b\u00f8r udbyderen stille den sikre patch-status til r\u00e5dighed for den valgte PHP-serie; operat\u00f8ren kontrollerer derefter applikationen. Ved PHP-FPM eller mod_php opdaterer administrationen som regel pakkerne og genstarter derefter den faktisk relevante tjeneste p\u00e5 en kontrolleret m\u00e5de. En ren genstart uden installation af en rettelse erstatter ikke opdateringen. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Linux-distributioner leverer ofte sikkerhedsrettelser som <strong style=\"font-weight:700;color:inherit\">Backport<\/strong>. I s\u00e5 fald kan det synlige pakkeversionsnummer afvige fra udgivelserne p\u00e5 php.net, selvom rettelsen er inkluderet. Du b\u00f8r derfor ikke kun sammenligne tegnstrenge som \u201e8.4.26\u201c, men ogs\u00e5 l\u00e6se distribut\u00f8rens sikkerhedsmeddelelse og \u00e6ndringslog. PHP-projektet p\u00e5peger, at distributioner og LTS-udbydere kan modtage patches. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Containere kr\u00e6ver en s\u00e6rskilt proces: man skal enten opbygge et korrigeret image eller hente det fra udbyderen, implementere det og erstatte gamle instanser. N\u00e5r det g\u00e6lder NAS-gr\u00e6nseflader, netv\u00e6rksenheder eller f\u00e6rdige webapplikationer, ligger rettelsen derimod hos producentens produkt. En patch til v\u00e6rtsoperativsystemet n\u00e5r ikke n\u00f8dvendigvis den indlejrede fortolker; derfor er det stadig uundv\u00e6rligt at foretage en opg\u00f8relse og f\u00f8lge producentens anvisninger. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"sofortmassnahmen-und-neustarts\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"sofortmassnahmen-und-neustarts\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Hasteforanstaltninger uden falsk tryghed<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">P\u00e5 patch-dagen skal du f\u00f8rst og fremmest lave en oversigt over dine systemer: dom\u00e6ner, API\u2019er, administrationsgr\u00e6nseflader, containere og produkter, der muligvis indeholder indlejret PHP. Not\u00e9r for hver tjeneste, hvordan den k\u00f8rer p\u00e5 nettet, hvilken opdateringsvej der anvendes, og hvilken PHP-runtime der rent faktisk bruges. Derefter prioriteres alle offentligt tilg\u00e6ngelige eller forretningskritiske tjenester, ikke blot den server med det mest i\u00f8jnefaldende versionsnummer. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Installer derefter den sikkerhedsopdatering, der er frigivet af webhost, Linux-distribut\u00f8r, image- eller produktproducent. For de underst\u00f8ttede PHP-grene udg\u00f8r opdateringen til den korrigerede patch-status den fuldst\u00e6ndige l\u00f8sning; en WAF, upload-regler eller en genstart af webserveren kan ikke erstatte den. Planl\u00e6g processen s\u00e5ledes, at opdateringer af pakker, images eller fra producenten dokumenteres p\u00e5 en overskuelig m\u00e5de og kan spores tilbage i tilf\u00e6lde af problemer. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Efter opdateringen skal <strong style=\"font-weight:700;color:inherit\">alle tidligere medarbejdere<\/strong> afsluttes og erstattes af processer, der p\u00e5viseligt har indl\u00e6st den opdaterede runtime. Brug kun en genindl\u00e6sning, hvis den p\u00e5g\u00e6ldende tjenesteadministration sikrer denne fuldst\u00e6ndige udskiftning; ellers er en kontrolleret genstart n\u00f8dvendig. Kontroller derefter processtarttidspunkter, tjenestestatus eller den internt fastlagte web-k\u00f8rselstid, i stedet for blot at antage, at udskiftningen er gennemf\u00f8rt. Ved containere skal du rulle det korrigerede image ud og fjerne alle gamle instanser. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Kontroller derefter centrale anvendelsesveje s\u00e5som login, formularer, upload, checkout og API\u2019er. Testene viser, om applikationen og udvidelserne fungerer med den opdaterede patchstatus; de beviser dog hver for sig hverken, at alle arbejdsprocesser er udskiftet, eller at der ikke tidligere har v\u00e6ret tale om en sikkerhedsbrud. Disse punkter skal vurderes separat gennem drifts- og sikkerhedskontrol.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Hvis det ikke er muligt at installere en patch med kort varsel, kan enkelte indstillinger begr\u00e6nse kendte angrebsveje, men ikke sikre fuldst\u00e6ndig sikkerhed. Deaktivering af upload-statusindikatoren skal v\u00e6re aktiv, inden en anmodning parsers. Kontroller p\u00e5 forh\u00e5nd, om applikationer eller brugergr\u00e6nseflader har brug for denne fremskridtsindikator, og genstart derefter alle relevante PHP-workere. Kontroller derefter, at ingen gamle processer forts\u00e6tter med den tidligere indstilling. <\/p>\n<div class=\"wh-code-window\" data-wh-code style=\"margin:28px 0 34px;border:1px solid #2c4656;border-radius:12px;overflow:hidden;background:#132a3b;box-shadow:0 9px 25px -13px rgba(15,35,55,.2)\"><div class=\"wh-code-toolbar\" style=\"display:flex;flex-wrap:wrap;align-items:center;justify-content:space-between;gap:10px;padding:11px 16px;background:#223e50;color:#edf5fa;font-size:13px;line-height:1.5;font-weight:600\"><span>Kode<\/span><button type=\"button\" class=\"wh-code-copy\" data-wh-copy hidden style=\"padding:6px 11px;border:1px solid #7893a1;border-radius:6px;background:transparent;color:#fff;font-size:12px;line-height:1.5;font-weight:600;cursor:pointer\">Kopier kode<\/button><span class=\"wh-copy-status\" aria-live=\"polite\"><\/span><span data-wh-copy-success hidden>Kopieret<\/span><span data-wh-copy-fallback hidden>Kode er markeret \u2013 kopier venligst<\/span><\/div><pre class=\"wh-code\" data-no-translation translate=\"no\" style=\"display:block;margin:0;padding:20px;max-width:100%;overflow-x:auto;color:#edf5fa;background:#132a3b;font:14px\/1.75 ui-monospace,SFMono-Regular,Menlo,Consolas,monospace;white-space:pre;direction:ltr;text-align:left\"><code class=\"language-ini\" style=\"font:inherit;color:inherit;background:transparent;padding:0;border:0;white-space:inherit\">session.upload_progress.enabled = 0<\/code><\/pre><\/div><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Konservative gr\u00e6nser for POST-data og andre indstillinger, der er n\u00e6vnt i sikkerhedsmeddelelsen, kan ligeledes kun delvist reducere angrebsfladen. Senere l\u00e6ste <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">.user.ini<\/code>-filer eller en <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">ini_set()<\/code> Inden for selve applikationen er disse tiltag ikke tilstr\u00e6kkelige. Betragt s\u00e5danne foranstaltninger som en midlertidig risikoreduktion, og hold fast i sikkerhedsopdateringen som m\u00e5let. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Dette skal skelnes fra den almindelige administration af gemte m\u00f8der. Bidraget til <a href=\"https:\/\/webhosting.de\/da\/https-webhosting-de-php-session-garbage-collection-optimering-performance\/\">Garbage collection i PHP-sessioner<\/a> forklarer, hvordan oprydning, filadgang og worker-processer samvirker under normal drift. Denne driftsoptimering afhj\u00e6lper dog ikke de her omtalte s\u00e5rbarheder og erstatter hverken den korrigerede PHP-patchversion eller den efterf\u00f8lgende udskiftning af de k\u00f8rende processer.<\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"betrieb-pruefen-und-auffaelligkeiten\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"betrieb-pruefen-und-auffaelligkeiten\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Efter opdateringen: Kontroller driften og eventuelle afvigelser<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">En vellykket pakkeopdatering beviser i f\u00f8rste omgang kun, at filer eller pakker er blevet installeret. Den bekr\u00e6fter hverken, at webprocessen har indl\u00e6st den nye runtime, eller at applikationen fungerer fejlfrit med den. Kontroller derfor efter genstart den web-runtime, der er relevant for tjenesten, og dokumenter tidspunkt, version, den genstartede tjeneste samt resultatet af funktionskontrollen. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Funktionskontrollen b\u00f8r omfatte reelle kerneprocesser: vigtige offentlige sider, login og logout, afsendelse af formularer, filoverf\u00f8rsel, checkout eller booking samt API-endepunkter og baggrundsopgaver. Test kun de processer, du har adgang til, og brug om muligt testdata, der er beregnet til dette form\u00e5l, n\u00e5r du tester produktive webshops. Kontroller samtidig webserver-, PHP- og applikationslogfiler for nye fejl, gentagne nedbrud eller uventede statuskoder.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">En ny start er n\u00f8dvendig for at skabe b\u00e6redygtige processer og <strong style=\"font-weight:700;color:inherit\">Arbejder<\/strong> at indl\u00e6se med opdateret kode, men skaber ikke i sig selv en rettelse. Uden en installeret opdatering forbliver s\u00e5rbarheden. Ved h\u00f8j belastning b\u00f8r vedligeholdelsesvinduet v\u00e6lges s\u00e5ledes, at foresp\u00f8rgsler kan behandles i r\u00e6kkef\u00f8lge, og at virkningerne af en genstart af en worker forbliver synlige. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Hvor stor indflydelse en kontrolleret genstart har p\u00e5 gennemstr\u00f8mningen, afh\u00e6nger af antallet af PHP-processer og deres udnyttelsesgrad. I forbindelse med planl\u00e6gningen er det en fordel at tage h\u00f8jde for k\u00f8er, igangv\u00e6rende opgaver og kritiske transaktioner i stedet for at afslutte processer p\u00e5 en ukoordineret m\u00e5de. Vejledningen <a href=\"https:\/\/webhosting.de\/da\/php-workers-hosting-flaskehals-guide-balance\/\">At forst\u00e5 PHP-workers<\/a> forklarer disse processers rolle ved parallelle dynamiske foresp\u00f8rgsler.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Hvis der opst\u00e5r problemer efter patchen, skal du skelne mellem kompatibilitetsfejl i applikationen og en ufuldst\u00e6ndig udrulning. Sammenlign konfigurationen, de aktiverede udvidelser og web-runtime med tilstanden f\u00f8r vedligeholdelsen. En tilbagef\u00f8rsel m\u00e5 ikke medf\u00f8re, at en offentligt tilg\u00e6ngelig tjeneste forbliver permanent i en s\u00e5rbar tilstand; find i s\u00e5 fald hurtigt en kompatibel, patchet opdateringsvej.<\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"prioritaeten-fuer-alte-und-versteckte-installationen\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"prioritaeten-fuer-alte-und-versteckte-installationen\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Prioriter gamle og skjulte PHP-installationer<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Der skal l\u00e6gges s\u00e6rlig v\u00e6gt p\u00e5 systemer, hvor PHP ikke er synligt som en bevidst installeret runtime: Docker-images, virtuelle apparater, NAS- og netv\u00e6rksgr\u00e6nseflader samt f\u00e6rdige softwareprodukter. En opdatering af v\u00e6rten opdaterer hverken automatisk et container-image eller den interne runtime, der f\u00f8lger med et producentprodukt. Sp\u00f8rg derfor producenten specifikt om deres vurdering og om en sikkerhedsopdatering til det konkrete produkt. <\/p>\n<figure class=\"wp-block-image size-large wh-figure\" aria-describedby=\"wh-caption-detail2\" style=\"display:block;float:none;clear:both;width:100%;max-width:760px;margin:34px auto 40px;border:1px solid #dae5e9;border-radius:14px;overflow:hidden;background:#f5f8fa;box-shadow:0 10px 28px -17px rgba(24,47,60,.28);box-sizing:border-box\"><div class=\"wh-figure-media\" style=\"display:block;background:#eef3f5;line-height:0\"><img loading=\"lazy\" width=\"800\" height=\"534\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/eingebettetes-php-appliance-herstellerhinweis-73623c2b-detail2-208e5385a5-1024x683.webp\" class=\"wp-image-21950\" alt=\"Administratoren gennemg\u00e5r producentoplysningerne om en netv\u00e6rksenhed med indbygget PHP.\" decoding=\"async\" srcset=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/eingebettetes-php-appliance-herstellerhinweis-73623c2b-detail2-208e5385a5-1024x683.webp 1024w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/eingebettetes-php-appliance-herstellerhinweis-73623c2b-detail2-208e5385a5-300x200.webp 300w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/eingebettetes-php-appliance-herstellerhinweis-73623c2b-detail2-208e5385a5-768x512.webp 768w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/eingebettetes-php-appliance-herstellerhinweis-73623c2b-detail2-208e5385a5-18x12.webp 18w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/eingebettetes-php-appliance-herstellerhinweis-73623c2b-detail2-208e5385a5.webp 1536w\" sizes=\"auto, (max-width: 800px) 100vw, 800px\" ><\/div><figcaption class=\"wh-caption\" id=\"wh-caption-detail2\" style=\"display:block;margin:0;padding:12px 18px 15px;border-top:1px solid #dce5e9;color:#506575;background:#f5f8fa;font-size:14px;line-height:1.55;text-align:start\">AI-genereret illustrativt billede: Ved apparater skal man kontrollere producentens anbefalinger og den produktspecifikke opdateringsmetode; billedet viser ikke en generel opdateringsproces.<\/figcaption><\/figure><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">N\u00e5r det g\u00e6lder gamle grene, skal der skelnes klart mellem tre tilf\u00e6lde. En PHP-udgave, der underst\u00f8ttes som standard, modtager de sikkerhedsopdateringer, der udgives af PHP-projektet. En backport fra en distribut\u00f8r eller udbyder kan indeholde rettelsen p\u00e5 trods af et afvigende synligt versionsnummer, men skal v\u00e6re dokumenteret via udbyderens sikkerhedsmeddelelse eller changelog. Selvvedligeholdt kildekode kr\u00e6ver derimod eget ansvar for kompilering, test og drift; den er ikke en fuldgyldig erstatning for en regul\u00e6r opdateringskanal. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">PHP 8.1 og \u00e6ldre grene modtager ikke l\u00e6ngere regelm\u00e6ssige upstream-udgivelser. Der findes ganske vist en korrigeret patch til PHP 8.2, men denne gren udl\u00f8ber ved udgangen af 2026. Brug en tilg\u00e6ngelig rettelse til den aktuelle situation, men planl\u00e6g desuden en testet <strong style=\"font-weight:700;color:inherit\">Migration<\/strong> til en gren, der underst\u00f8ttes i l\u00e6ngere tid. <\/p>\n<ol class=\"wh-list\" role=\"list\"><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Opdater f\u00f8rst offentligt tilg\u00e6ngelige tjenester med en PHP-runtime, der ikke er opdateret, is\u00e6r hvis der er adgang til upload- eller administrationsfunktioner.<\/li><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Apache med mod_php og forretningskritiske webshops, API\u2019er eller kundeportaler skal behandles umiddelbart derefter; den officielle sikkerhedsmeddelelse fremh\u00e6ver et s\u00e6rligt kritisk risikofokus for mod_php.<\/li><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Registrer containere, apparater og tredjepartsprodukter p\u00e5 baggrund af images, inventar og producentstatus; manglende synlige PHP-pakker er ikke et tegn p\u00e5, at alt er i orden.<\/li><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Isoler tjenester, der ikke underst\u00f8ttes eller ikke kan patchees rettidigt, og begr\u00e6ns adgangen til dem, samtidig med at der planl\u00e6gges en obligatorisk udskiftning, opgradering eller migrering.<\/li><\/ol><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Netv\u00e6rkssegmentering, obligatorisk brug af VPN eller restriktive adgangsregler kan give lidt ekstra tid, hvis administrationsgr\u00e6nsefladerne ikke kan opdateres med det samme. De er dog kun <strong style=\"font-weight:700;color:inherit\">Overgangsforanstaltninger<\/strong>, fordi interne brugerkonti, kompromitterede enheder og forkert konfigurerede delingsindstillinger fortsat kan udg\u00f8re angrebsveje. Hvis der ikke tilbydes en rettelse til et produkt, eller hvis PHP-grenen permanent er uden for support, er udskiftning eller migrering den mest p\u00e5lidelige l\u00f8sning. <\/p>\n<\/section><section class=\"wh-sources\" style=\"margin:40px 0 0;padding:24px 0 0;border-top:1px solid #dce5e9;color:#596b7b;font-size:14px;line-height:1.65\"><h2 style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Kilder og den aktuelle videnskabelige viden<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Status for unders\u00f8gelsen: <time datetime=\"2026-10-22\">2026-10-22<\/time><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Opdateringsstatus: 22. oktober 2026. Oplysninger om patch-versioner og support henviser til de tilg\u00e6ngelige PHP- og CERT-EU-kilder; for distributionspakker skal dokumenterede sikkerheds-backports kontrolleres separat.<\/p><div class=\"wh-source-urls\"><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/www.php.net\/archive\/2026.php<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/github.com\/php\/php-src\/security\/advisories\/GHSA-w8hw-w9fx-j79w<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/cert.europa.eu\/publications\/security-advisories\/2026-018\/<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/www.php.net\/supported-versions.php<\/span><\/p><\/div><\/section><\/div>","protected":false},"excerpt":{"rendered":"<p>Kritiske PHP-s\u00e5rbarheder kan udg\u00f8re en risiko for webtjenester, der ikke er opdateret. Find ud af, hvilke opdateringsniveauer der er n\u00f8dvendige, hvorfor webtjenestens driftstid er vigtig, og hvordan du planl\u00e6gger opdateringer p\u00e5 en sikker m\u00e5de.<\/p>","protected":false},"author":1,"featured_media":21948,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"inline_featured_image":false,"footnotes":""},"categories":[780],"tags":[],"class_list":["post-21942","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administration-anleitungen"],"acf":[],"_wp_attached_file":null,"_wp_attachment_metadata":null,"surfer_file_name":null,"surfer_file_original_url":null,"_wp_attachment_image_alt":null,"litespeed-optimize-set":null,"litespeed-optimize-size":null,"_oembed_b5e1eb923ad3b086e579b1befcd4075c":null,"_elementor_source_image_hash":null,"stockpack_author_name":null,"stockpack_author_url":null,"stockpack_provider":null,"stockpack_image_url":null,"stockpack_license":null,"stockpack_license_url":null,"stockpack_modification":null,"color":null,"original_id":null,"original_url":null,"original_link":null,"unsplash_location":null,"unsplash_sponsor":null,"unsplash_exif":null,"unsplash_attachment_metadata":null,"_elementor_is_screenshot":null,"_source_url":null,"_elementor_migrations_state_8b2d":null,"envato_tk_source_kit":null,"envato_tk_source_index":null,"envato_tk_manifest":null,"envato_tk_folder_name":null,"envato_tk_builder":null,"envato_elements_download_event":null,"_menu_item_type":null,"_menu_item_menu_item_parent":null,"_menu_item_object_id":null,"_menu_item_object":null,"_menu_item_target":null,"_menu_item_classes":null,"_menu_item_xfn":null,"_menu_item_url":null,"_trp_menu_languages":null,"rank_math_primary_category":"780","_wh_make_key":"wh_73623c2bee09ad78865933f53c9d4892","rank_math_internal_links_processed":"1","_wh_make_topic":"PHP Sicherheitsl\u00fccke - Wie das halbe Internet gehackt werden kann","_wh_make_input_keywords":["php-sicherheit","hacker","php","updates"],"_wh_make_config":{"research_model":"gpt-5.6-terra","writer_model":"gpt-5.6-terra","review_model":"gpt-5.6-sol","image_model":"gpt-image-2.5-flare","image_quality":"high","image_format":"webp","final_status":"draft","charts_enabled":true},"_wh_make_links":{"I1":{"id":"I1","post_id":16509,"url":"https:\/\/webhosting.de\/https-webhosting-de-php-session-garbage-collection-optimierung-performance\/","title":"PHP Session Garbage Collection: Hvorfor det kan blokere din hjemmeside","excerpt":"PHP Session GC kan blokere anmodninger, fordi den, n\u00e5r den rydder op i titusindvis af sessionsfiler, optager PHP-processen i lang tid, hvilket f\u00e5r andre anmodninger til at vente. Jeg viser, hvordan den probabilistiske oprydning, fill\u00e5se og langsom I\/O f\u00f8rer til m\u00e6rkbare forsinkelser, og hvordan jeg undg\u00e5r disse forsinkelser ved hj\u00e6lp af klare indstillinger, cron-jobs og RAM-lager, s\u00e5 hjemmesiden forbliver flydende. Hovedpunkter: \u00c5rsag til problemet: Probabilistisk GC, fil-I\/O og l\u00e5se f\u00f8rer til ventetider. Risikofaktor: Mange sessioner (f.eks. 170.000) forl\u00e6nger hvert GC-k\u00f8rsel. WordPress: Admin + Heartbeat forv\u00e6rrer forsinkelserne. Hosting: RAM, SSD og isolering mindsker GC-omkostningerne. L\u00f8sning: Cron-oprydning og Redis fremskynder anmodninger. PHP-session-garbage-collection kort forklaret: Sessioner gemmer statusdata mellem anmodninger, oftest som filer i filsystemet. Garbage collection fjerner for\u00e6ldede filer, hvis \u00e6ndringstidspunkt ligger l\u00e6ngere tilbage end session.gc_maxlifetime, ofte 1440 sekunder. Som standard starter PHP denne oprydning probabilistisk via session.gc_probability og session.gc_divisor, ofte som 1 ud af 1000 opkald. Det lyder harml\u00f8st, men ved stor trafik rammer det hele tiden nogen, der m\u00e5 udholde hele forl\u00f8bet. Jo flere filer der ligger i sessionsmappen, jo l\u00e6ngere blokerer oprydningen processen. Hvorfor blokerer oprydningen anmodninger? En GC-k\u00f8rsel skal gennemg\u00e5 sessionsmappen, kontrollere hver fil og slette gamle poster, hvilket hurtigt koster flere sekunder ved langsom I\/O. Hvis der er 170.000 filer, k\u00f8rer der mange systemkald efter hinanden, som belaster CPU, RAM og lagerplads. PHP-processer, der er startet parallelt, fors\u00f8ger undertiden at slette samtidigt og for\u00e5rsager yderligere fill\u00e5se. Det forv\u00e6rrer ventetiderne, fordi processerne bremser eller blokerer hinanden. Hvis man dykker dybere ned i session-locking, indser man, hvor st\u00e6rkt locking p\u00e5virker responstidsprofilen og \u00f8ger \u00bbTime-to-First-Byte\u00ab, is\u00e6r ved belastningsspidser, som jeg \u00f8nsker at undg\u00e5 ved at afkoble GC. WordPress: langsomme administrationssider p\u00e5 grund af sessioner Administrationsomr\u00e5det kr\u00e6ver mere CPU-kraft og flere databaseadgange end frontend, hvilket g\u00f8r enhver ekstra forsinkelse m\u00e6rkbar"},"I2":{"id":"I2","post_id":13013,"url":"https:\/\/webhosting.de\/php-workers-hosting-flaschenhals-ratgeber-balance\/","title":"Forst\u00e5else af PHP-arbejdere: Hvad de er, og hvorn\u00e5r de bliver en flaskehals","excerpt":"PHP-workere er selvst\u00e6ndige processer, der udf\u00f8rer PHP-kode og dermed behandler alle dynamiske foresp\u00f8rgsler p\u00e5 et websted. Hvis der samtidig kommer for mange ikke-cachelagrede foresp\u00f8rgsler ind p\u00e5 serveren, optager de tilg\u00e6ngelige workere alle pladserne, der opst\u00e5r en k\u00f8, og flaskehalsen f\u00f8rer til lange svartider, TTFB-spidsbelastninger og fejl. Vigtige punkter Jeg opsummerer nedenst\u00e5ende hovedpunkter kortfattet, s\u00e5 du hurtigt kan tr\u00e6ffe de rigtige beslutninger om ydeevne og kapacitet. Definition: PHP-workers behandler foresp\u00f8rgsler serielt, dvs. kun \u00e9n foresp\u00f8rgsel pr. worker ad gangen. Flaskehals: For f\u00e5 workers skaber k\u00f8er, TTFB stiger, og der er risiko for timeouts. Ressourcer: Workers kr\u00e6ver CPU-kerner; et forkert forhold for\u00e5rsager kontekstskift. Caching: Jo flere hits fra cachen, jo mindre belastning p\u00e5 workerne ved trafikspidser. Skalering: Tilpas antallet af workers til sideprofil, plugins og interaktioner. Hvad er PHP-workers i en hosting-sammenh\u00e6ng? Jeg opfatter PHP-workere som digitale tjenere, der behandler hver dynamisk foresp\u00f8rgsel enkeltvis. En worker l\u00e6ser PHP-scriptet, udf\u00f8rer databaseforesp\u00f8rgsler og opbygger ud fra dette HTML-koden til browseren. N\u00e5r en opgave k\u00f8rer, forbliver workeren bundet til den, indtil den er afsluttet, og st\u00e5r f\u00f8rst derefter til r\u00e5dighed igen; den arbejder ikke parallelt. I WordPress varetager arbejdere desuden tilbagevendende opgaver som cron-jobs, e-mail-udsendelse og sikkerhedskontroller. Netop derfor har antallet og kvaliteten af arbejderne en enorm indflydelse p\u00e5 den oplevede hastighed p\u00e5 et websted. Hvorn\u00e5r og hvorfor opst\u00e5r der en flaskehals blandt arbejderne? Der opst\u00e5r en flaskehals, s\u00e5 snart der ankommer flere ikke-cachelagrede foresp\u00f8rgsler samtidigt, end der er arbejdere til r\u00e5dighed. Hver yderligere foresp\u00f8rgsel havner derefter i en k\u00f8 og venter p\u00e5 en ledig plads. Det \u00f8ger \u00bbTime To First Byte\u00ab, forl\u00e6nger indl\u00e6sningstiderne og kan medf\u00f8re, at betalingsprocesser afbrydes. I webshops eller medlemsomr\u00e5der forv\u00e6rrer personaliseret indhold situationen, fordi cachen ikke kan levere mange svar, hvilket l\u00e6gger belastningen direkte p\u00e5 workerne. I denne situation opn\u00e5r jeg den st\u00f8rste effekt med fornuftig caching, optimerede plugins og et afbalanceret forhold mellem worker og CPU. Symptomer erk"},"I3":{"id":"I3","post_id":17876,"url":"https:\/\/webhosting.de\/wordpress-opcode-cache-performant-serverboost-perf\/","title":"Hvorfor WordPress n\u00e6ppe kan drives med h\u00f8j ydeevne uden en opcode-cache","excerpt":"OPcache i WordPress afg\u00f8r, om dit websted skal kompilere PHP p\u00e5 ny ved hvert bes\u00f8g, eller om det skal k\u00f8re direkte fra RAM\u2019en. Jeg viser, hvorfor manglende OPcache belaster CPU\u2019en, \u00f8ger TTFB og begr\u00e6nser skalerbarheden kraftigt. Hovedpunkter F\u00f8r jeg g\u00e5r i detaljer, vil jeg kort og klart opsummere de vigtigste konklusioner, s\u00e5 du straks kender de vigtigste faktorer, der p\u00e5virker ydeevnen. Uden OPcache kompilerer PHP p\u00e5 ny ved hver anmodning, hvilket spilder ventetid og ressourcer og g\u00f8r siderne tr\u00e6ge. N\u00e5r OPcache er aktiveret, k\u00f8rer bytecode og kodestier fra hukommelsen, hvilket g\u00f8r, at anmodninger returneres hurtigere, og belastningsspidser sj\u00e6ldnere eskalerer. I kombination med side- og objektcaching \u00f8ger OPcache effektiviteten og skaber den n\u00f8dvendige stabilitet i infrastrukturen. N\u00e5r OPcache er konfigureret korrekt, \u00f8ger det m\u00e6rkbart det antal brugere, der kan h\u00e5ndteres pr. serverkerne, og s\u00e6nker fejlprocenten ved spidsbelastninger. Disse punkter udg\u00f8r forskellen mellem et tr\u00e6gt system og en hurtig installation med p\u00e5lidelig ydeevne. OPcache sparer kompileringstid og stabiliserer TTFB. CPU-belastningen falder, mens kapaciteten pr. kerne stiger. Skalering lykkes, og spidsbelastninger forbliver h\u00e5ndterbare. PHP 8+ giver yderligere ydeevne. Overv\u00e5gning holder \u00f8je med hit-raten og hukommelsen. Hvorfor WordPress bliver langsommere uden opcode-cache: Hver gang en side \u00e5bnes, indl\u00e6ser WordPress mange PHP-filer, som uden OPcache hver gang skal parses, omdannes til et syntakstr\u00e6 og kompileres p\u00e5 ny til bytecode, hvilket un\u00f8digt forl\u00e6nger beregningstiden. I mine audits ser jeg regelm\u00e6ssigt, at eksekveringstiderne er dobbelt s\u00e5 lange eller endda tredobbelte, fordi de samme rutiner starter helt forfra for hver anmodning og dermed skaber varmebelastning p\u00e5 CPU\u2019en. Denne gentagelse blokerer FPM-workere, forsinker svarene og f\u00e5r TTFB til at stige kraftigt. Ved samtidige adgangsforesp\u00f8rgsler falder genneml\u00f8bshastigheden, mens fejlprocenten (502\/504) stiger kraftigt i spidsbelastninger. Jo flere plugins og ressourcekr\u00e6vende temaer der er involveret, desto tydeligere m\u00e6rker man omkostningerne ved hver enkelt uncache. S\u00e5dan fungerer OPcache i detaljer: OPcache gemmer den kompilerede PHP-bytecode i den f\u00e6lles hukommelse og leverer, hvis tidsstemplerne er u\u00e6ndrede, den samme kode direkte fra RAM'en, hvilket reducerer diskadgange og genkompilering."}},"_wh_make_stage":"entwurf","_wh_make_research_date":"2026-10-22","_wh_make_sitemap_info":{"index":"https:\/\/webhosting.de\/sitemap_index.xml","sitemaps":["https:\/\/webhosting.de\/post-sitemap1.xml","https:\/\/webhosting.de\/post-sitemap2.xml","https:\/\/webhosting.de\/post-sitemap3.xml","https:\/\/webhosting.de\/post-sitemap4.xml"],"url_count":3118,"fetched_at":"2026-10-22T06:00:26+00:00","selected_ids":[16509,13013,17876]},"_wh_make_draft_hash":"009ed5beba52019f0d3c8834a0ffd6c0a8479510491a398e7cc06f96ec23b4f9","_wh_make_work":{"version":"2.1","identity":{"sheet_ref":"1VMjxV8Q73i0Q1HO6s-u4jNHVRF0snliGCeg97intLPs","sheet_name":"Tabellenblatt1","external_id":"1414","topic":"PHP Sicherheitsl\u00fccke - Wie das halbe Internet gehackt werden kann","keywords":["php-sicherheit","hacker","php","updates"],"category_input":"780"},"config":{"research_model":"gpt-5.6-terra","writer_model":"gpt-5.6-terra","review_model":"gpt-5.6-sol","image_model":"gpt-image-2.5-flare","image_quality":"high","image_format":"webp","final_status":"draft","charts_enabled":true},"phase":"done","pending":null,"receipts":{"049326eb0022c51ec75705a9ab0dc91c":"dcc79ca91faca7756ca4d716471a59e4747bf925f7cde369ca67d4a153486550","efd206707ede9c95767952be2ce2da88":"d1bcc8bcda7f0b68aebaf5a275eb3eee174c844870cec340c011b5e5b9f4e9ad","2dd8dcbb862352557970aba0c9df0fa6":"78fc8155f6b4da415c54300caec6d6644eb93a266f724a111b6cd2ea1cf64e29","1b74d36fe89db4f706c0f5b108857581":"e41ad907ef95044a55135a0c4419badafce20fd2c7adaacafebed361f58a82ed","c5d5baec87d73f08bc250f5fdcc4ac0e":"61a2bdd3c107daa3dfc8c81b496c42584cbc63635911646fdadaa980b909d7f2","60101f5704ba397cc3dd7d1514aaa077":"2d717cd1892f86b40fc386d00cf9c6d584b2fb7710f605e7d25b1e779bf85020","1bee2c84a03102f115fa970ff41920e6":"54a861f0d7356b0f784b500b82cc76f9636fe984a63ee5938de021a8dc8d7866","a07463940f4a368f0c2e1c8a5345b1a6":"80cf6a6a56c06cee08e4bd2e684e4ffa92a43216b8f5eaa720ce228aeb7dc9b7","1c6673629e91389d8ed9a449e7e2fb04":"7db5f10f317f0ab2d1e87361fe60ac97e36376bd4d0716aebaea45450c09d320","93de3781567c1a226ece4aea06087f48":"c622f6d0b5eb8640a331dede243f0ed19c812bd0b174a05cb1a2afe0d0bcb565","bd80cd2fe1f3ee4b40afcae495694b4e":"cefc06f5082264c3670ec4d07794bbebbb6a8c4217d4aa6c44d1b1b3b59a1623","ce819983f5a310d651f9eb5333ef27a8":"81d8a1dbdee8507238481a7e8166ee19250ceace89862d57ec3553cdd8c6a751","cffabe60a69f05be258549a8fade2e03":"e7f1432b43925186f9702369d0ac13827e66395afe05321cf303738e9ac104ba","ede4208f30671e2313fd2812f5edc940":"cfaf3d2308600086faf3912ffde9f69b5274570dc89a0fc3bfbd65e9626082b0","6ba43b14832b1cb17e0aed6c0ee8137b":"77aa7f08d5834f9a5344e0985d5ab063b2f8e0807907bedf7ad3beb355cdfed8","f50504a055a4413970b9a679aae5f067":"a5461a6d46a60a79c47305053e6b0e21467df2ca5456e2ba6a45d4d5826cf055","4054bb35d1e1359e85dd1177e9712ad1":"97cc6b19dae82f00c0a0131d635a5448976a38e9a3977712bb874237c011e7d4","42247db709436940d2fea2e3672722cf":"d7df756a1843eb5ccd1a82571f37f9889cd9f2925e6f1e58166e5fb3cdc8acd9"},"parts":{"1":[{"id":"alarmmeldung-richtig-einordnen","heading":"Die Alarmmeldung richtig einordnen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Aussage, eine PHP-Sicherheitsl\u00fccke k\u00f6nne \u201edas halbe Internet\u201c betreffen, ist ein zugespitzter Aufh\u00e4nger, aber keine belegte Gr\u00f6\u00dfenordnung. Es gibt keinen Nachweis, dass die H\u00e4lfte aller Internetdienste verwundbar oder bereits kompromittiert ist. Das tats\u00e4chliche Risiko ist dennoch erheblich, weil PHP als Laufzeitumgebung in vielen Websites, Shops, APIs und Verwaltungsoberfl\u00e4chen eingesetzt wird.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Entscheidend ist nicht, ob eine Website PHP nutzt, sondern welche PHP-Version ihre Webanfragen verarbeitet. Die Sicherheitsupdates vom 21. Oktober 2026 betreffen grunds\u00e4tzlich ungepatchte Installationen der unterst\u00fctzten Zweige, sofern sie Anfragen \u00fcber einen Webdienst bedienen. Ein lokales PHP f\u00fcr Entwicklungsaufgaben ist daher anders zu bewerten als ein von au\u00dfen erreichbares Kundenportal.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die ","ref":""},{"kind":"strong","text":"Internet-Exponierung","ref":""},{"kind":"text","text":" bestimmt die Dringlichkeit wesentlich. Ein \u00f6ffentlich erreichbarer Shop mit Formularen und Uploads bietet mehr m\u00f6gliche Ber\u00fchrungspunkte als ein abgeschotteter interner Dienst. Auch ein interner Dienst ist aber nicht automatisch sicher: VPN-Zug\u00e4nge, kompromittierte Konten oder andere Systeme im Netzwerk k\u00f6nnen ihn erreichbar machen. Reichweite allein ersetzt deshalb keine technische Risikopr\u00fcfung.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ebenso wichtig sind Betriebsart und ","ref":""},{"kind":"strong","text":"Patchstand","ref":""},{"kind":"text","text":". PHP kann etwa \u00fcber PHP-FPM, als Apache-Modul, per php-cgi oder eingebettet in ein Produkt laufen. Mehrere Domains auf demselben Server k\u00f6nnen dabei unterschiedliche Versionen und Aktualisierungswege haben. Eine pauschale Entwarnung f\u00fcr alle PHP-Websites w\u00e4re ebenso falsch wie die Annahme, jede Installation sei unmittelbar angreifbar.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"rce-und-betroffene-php-wege","heading":"Was die PHP-Schwachstellen technisch erm\u00f6glichen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Eine ","ref":""},{"kind":"strong","text":"Remote Code Execution","ref":""},{"kind":"text","text":" (RCE) bedeutet, dass ein Angreifer unter bestimmten Bedingungen Code auf einem entfernten System ausf\u00fchren kann. Bei diesen PHP-Schwachstellen ist laut Sicherheitsmeldung keine vorherige Anmeldung erforderlich. Ausgef\u00fchrt w\u00fcrde der Code zun\u00e4chst mit den Rechten des Webprozesses, nicht automatisch mit uneingeschr\u00e4nkten Administratorrechten. Die m\u00f6glichen Folgen h\u00e4ngen daher stark von Dateirechten, Zugangsdaten und der Servertrennung ab.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"CVE-2026-109618 betrifft Fehlerpfade bei ","ref":""},{"kind":"strong","text":"Speicherknappheit","ref":""},{"kind":"text","text":". Bricht PHP eine Anfrage wegen eines Out-of-Memory-Zustands ab, k\u00f6nnen interne Datenstrukturen unvollst\u00e4ndig bleiben. Werden solche Zust\u00e4nde beim Aufr\u00e4umen der Anfrage weiterverwendet, kann Speicherbesch\u00e4digung entstehen. Die offizielle Beschreibung nennt insbesondere Multipart-Anfragen, Dateiuploads und den Speicherverbrauch beim Parsen verschachtelter Eingaben als relevante technische Kontexte.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"CVE-2026-109619 betrifft dagegen an eine Anfrage gebundenen internen Zustand, dessen Speicher bereits freigegeben wurde. Verarbeitet ein wiederverwendeter Worker danach eine weitere Anfrage, kann PHP auf diesen veralteten Zustand zugreifen, bevor die normale Initialisierung greift. Die Sicherheitsmeldung verweist dabei unter anderem auf den Upload-Fortschritt von Sessions und Fehlerpfade. Das beschreibt die Fehlerklasse, nicht eine Anleitung zur Ausnutzung.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"list","ordered":false,"items":["Betroffen sein k\u00f6nnen Webanfragen \u00fcber PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.","Die Fehler liegen in der PHP-Laufzeit, nicht prim\u00e4r in WordPress, Joomla, Shopware, Themes oder einzelnen Plugins.","CMS und Frameworks beeinflussen erreichbare Funktionen wie Uploads, ersetzen aber kein Update des Interpreters."],"source_ids":["S1","S2"]}]},{"id":"risiko-haengt-vom-betrieb-ab","heading":"Warum nicht jede Installation gleich gef\u00e4hrdet ist","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Ob ein Dienst praktisch gef\u00e4hrdet ist, ergibt sich aus mehreren Faktoren. Vorrang haben eine ungepatchte PHP-Web-Laufzeit und ein erreichbarer Webdienst. Danach z\u00e4hlen die Betriebsart, wiederverwendete Prozesse, Funktionen f\u00fcr Uploads oder komplexe Formulare sowie die Rechte des Webprozess-Kontos. Ein Dienst mit weitreichendem Schreibzugriff auf Webdateien oder Zugang zu weiteren Diensten kann schwerere Folgen haben als ein strikt isoliertes Projekt.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei Apache mit ","ref":""},{"kind":"strong","text":"mod_php","ref":""},{"kind":"text","text":" hebt das PHP-Projekt den Risikofokus besonders hervor: Ein dokumentierter Angriff kann bereits vor der Ausf\u00fchrung des eigentlichen Anwendungscodes ausgel\u00f6st werden. Ein sauber gepflegtes CMS sch\u00fctzt dann nicht vor der Schwachstelle in der Laufzeit. Das bedeutet nicht, dass PHP-FPM, php-cgi, FrankenPHP oder LiteSpeed als ungef\u00e4hrlich gelten; sie m\u00fcssen bei einem ungepatchten Stand ebenfalls priorisiert gepr\u00fcft werden.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Besondere Aufmerksamkeit brauchen au\u00dferdem Produkte mit ","ref":""},{"kind":"strong","text":"eingebettetem PHP","ref":""},{"kind":"text","text":". Dazu k\u00f6nnen Container-Images, Appliances, NAS-Verwaltungen oder Netzwerkprodukte geh\u00f6ren, deren Oberfl\u00e4che PHP intern verwendet. Dort zeigt ein Befehl auf dem Host oft nicht die tats\u00e4chlich eingesetzte Laufzeit. Das Update des Betriebssystems behebt auch nicht automatisch eine verwundbare PHP-Komponente in einem Image oder Herstellerprodukt.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Eine Firewall, Web Application Firewall oder restriktive Upload-Limits k\u00f6nnen einzelne Anfragen erschweren und die Angriffsfl\u00e4che begrenzen. Sie sind jedoch kein Ersatz f\u00fcr den Fix, weil sie nicht die fehlerhafte Speicher- und Zustandsverwaltung im Interpreter korrigieren. Auch ein fehlerfreies CMS bleibt auf eine sichere Laufzeit angewiesen. Ma\u00dfgeblich ist deshalb, den Patchstand des tats\u00e4chlich Webanfragen verarbeitenden PHP zu pr\u00fcfen und zu aktualisieren.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]}],"2":[{"id":"patchstaende-und-supportstatus","heading":"Sichere Patchst\u00e4nde und Supportstatus vergleichen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr die beiden Sicherheitsl\u00fccken z\u00e4hlt zun\u00e4chst der Patchstand innerhalb des eingesetzten PHP-Zweigs. Das PHP-Projekt nennt f\u00fcr die unterst\u00fctzten Reihen konkrete korrigierte Releases. Fr\u00fchere Patchst\u00e4nde derselben Reihe gelten als betroffen; ein Upgrade auf die angegebene oder eine neuere Version dieses Zweigs ist die vorgesehene vollst\u00e4ndige Abhilfe.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"table","caption":"PHP-Zweige: Patchst\u00e4nde und Supportlage am 22. Oktober 2026","headers":["PHP-Zweig","Betroffen bis einschlie\u00dflich","Sichere Version ab","Supportstatus am 22. Oktober 2026","Empfohlene Ma\u00dfnahme"],"rows":[["PHP 8.2","8.2.34","8.2.35","Sicherheits-Support, Ende am 31. Dezember 2026","Kurzfristig auf mindestens 8.2.35 aktualisieren und Migration planen."],["PHP 8.3","8.3.35","8.3.36","Sicherheits-Support","Auf mindestens 8.3.36 aktualisieren."],["PHP 8.4","8.4.26","8.4.27","Sicherheits-Support","Auf mindestens 8.4.27 aktualisieren."],["PHP 8.5","8.5.11","8.5.12","Sicherheits-Support","Auf mindestens 8.5.12 aktualisieren."],["PHP 8.1 und \u00e4lter","Kein regul\u00e4res aktuelles Upstream-Release","Kein allgemein verf\u00fcgbares regul\u00e4res Fix-Release","Nicht regul\u00e4r vom PHP-Projekt unterst\u00fctzt","Anbieter-Backport pr\u00fcfen oder auf einen unterst\u00fctzten Zweig migrieren."]],"source_ids":["S1","S4"]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein ","ref":""},{"kind":"strong","text":"Patch-Update","ref":""},{"kind":"text","text":" bleibt in derselben Entwicklungsreihe, etwa von 8.3.35 auf 8.3.36. Es soll den Sicherheitsfix bereitstellen und hat einen engeren Kompatibilit\u00e4tsrahmen als ein Wechsel von 8.2 auf 8.4. Letzterer ist eine Migration: Abh\u00e4ngigkeiten, Erweiterungen, Anwendungscode und gegebenenfalls das Deployment m\u00fcssen daf\u00fcr separat gepr\u00fcft werden.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"PHP 8.2 ist f\u00fcr die akute Behebung weiterhin nutzbar, sofern mindestens Version 8.2.35 l\u00e4uft. Der Zweig erreicht jedoch am 31. Dezember 2026 sein Supportende. Deshalb sollte ein Betrieb nicht bei diesem Sofortschritt stehen bleiben: Plane die Umstellung auf einen l\u00e4nger unterst\u00fctzten Zweig, nachdem die Anwendung in einer geeigneten Umgebung auf Kompatibilit\u00e4t gepr\u00fcft wurde.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei PHP 8.1 und \u00e4lter ist besondere Vorsicht n\u00f6tig. Das PHP-Projekt stellt daf\u00fcr kein regul\u00e4res aktuelles Release bereit; minimale Quellcode-Backports sind nicht mit einem allgemein verf\u00fcgbaren, gepflegten Paket gleichzusetzen. Ein vom Betriebssystemanbieter dokumentierter Sicherheits-Backport kann angemessen sein, erfordert aber einen Nachweis im Security Advisory oder Paket-Changelog. Fehlt er, ist eine Migration statt einer blo\u00dfen Versionskosmetik n\u00f6tig.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"web-laufzeit-zuverlaessig-pruefen","heading":"Die tats\u00e4chliche Web-Laufzeit pr\u00fcfen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Versionspr\u00fcfung beginnt mit einer Bestandsaufnahme, darf aber nicht bei der Shell enden. Auf einem selbst verwalteten Server zeigen die folgenden Befehle die installierte PHP-CLI und deren geladene Konfigurationsdateien. Sie ver\u00e4ndern weder Pakete noch Konfiguration und eignen sich daher als erster, risikoarmer Pr\u00fcfschritt.","ref":""}]},{"type":"code","language":"bash","code":"php -v\nphp --ini","source_ids":["S1"]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Ausgabe belegt ausschlie\u00dflich die ","ref":""},{"kind":"strong","text":"CLI-Laufzeit","ref":""},{"kind":"text","text":". Eine Website kann dagegen \u00fcber PHP-FPM, Apache mit mod_php, php-cgi oder einen Container bedient werden. Diese Web-Laufzeit kann eine andere PHP-Version und andere Konfigurationsdateien nutzen als der Befehl ","ref":""},{"kind":"code","text":"php -v","ref":""},{"kind":"text","text":" auf dem Host. F\u00fcr die Sicherheitsbewertung ist stets der Prozess ma\u00dfgeblich, der reale HTTP-Anfragen verarbeitet.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Im Managed Hosting pr\u00fcfst du deshalb im Kundenpanel die pro Projekt oder Domain ausgew\u00e4hlte PHP-Version und fragst bei Bedarf den Patchstand des bereitgestellten Dienstes ab. Bei mehreren Domains ist jede Zuweisung einzeln zu kontrollieren: Eine Hauptdomain kann bereits den gepatchten Zweig verwenden, w\u00e4hrend ein Shop, eine Staging-Instanz oder eine Subdomain noch einen \u00e4lteren Interpreter nutzt.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Auf Servern mit PHP-FPM geh\u00f6ren Service-Konfiguration, Paketbestand und Deployment-Unterlagen zusammen. In Container-Umgebungen pr\u00fcfst du zus\u00e4tzlich das tats\u00e4chlich ausgerollte Image und nicht nur ein lokales Build-Manifest. Entscheidend ist, welche Revision im laufenden Pod oder Container Webanfragen annimmt; ein aktualisiertes Basisimage sch\u00fctzt keine bereits laufende \u00e4ltere Instanz.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"callout","variant":"warning","title":"Keine \u00f6ffentliche Diagnose-Seite","runs":[{"kind":"text","text":"Eine \u00f6ffentlich erreichbare ","ref":""},{"kind":"code","text":"phpinfo()","ref":""},{"kind":"text","text":"-Seite ist keine empfehlenswerte Standardpr\u00fcfung. Sie kann Versions-, Modul-, Pfad- und Konfigurationsdaten offenlegen. Nutze stattdessen Zug\u00e4nge des Hosting-Panels, die Serververwaltung oder intern gesch\u00fctzte Betriebsdokumentation.","ref":""}]}]},{"id":"updatewege-nach-betriebsart","heading":"Updatewege nach Betriebsart planen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Der geeignete Updateweg richtet sich danach, wer den Interpreter ausliefert und wo er betrieben wird. Erst wenn dieser Verantwortungsbereich klar ist, l\u00e4sst sich zuverl\u00e4ssig entscheiden, ob ein Panel-Wechsel, ein Paketupdate, ein neues Image oder ein Herstellerupdate erforderlich ist. Die folgende Einordnung trennt diese F\u00e4lle, ohne die Betriebsarten hinsichtlich ihres Risikos gleichzusetzen.","ref":""}]},{"type":"table","caption":"Versionspr\u00fcfung und Aktualisierung nach PHP-Betriebsart","headers":["Betriebsart","Wo die tats\u00e4chliche Version pr\u00fcfen?","Wer aktualisiert?","Typische Besonderheit"],"rows":[["Shared Hosting","Kundenpanel je Domain oder Projekt; Auskunft des Hosters","Hosting-Anbieter oder Kunde \u00fcber freigegebene Auswahl","PHP-Zuweisungen k\u00f6nnen zwischen Domains abweichen."],["PHP-FPM auf Linux","FPM-Pool, installierte Pakete, Dienst- und Deployment-Konfiguration","Serveradministration oder Distribution","Paketversion kann einen dokumentierten Sicherheits-Backport enthalten."],["Apache mit mod_php","Apache-Modulkonfiguration und installierte Pakete","Serveradministration oder Distribution","Vom PHP-Projekt mit besonderem Risikofokus beschrieben."],["Container","Laufendes Image, Image-Tag oder Digest sowie Container-Laufzeit","Team f\u00fcr Build und Deployment","Host-Updates \u00e4ndern das eingebettete PHP im Image nicht automatisch."],["Eingebettetes PHP im Produkt","Herstellerdokumentation, Produktversion und Security Advisory","Produkthersteller oder Produktadministration","PHP kann ohne separat sichtbare Installation Teil einer Appliance sein."]],"source_ids":["S1","S3"]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei Shared Hosting sollte der Anbieter den sicheren Patchstand f\u00fcr die gew\u00e4hlte PHP-Reihe bereitstellen; der Betreiber pr\u00fcft anschlie\u00dfend die Anwendung. Bei PHP-FPM oder mod_php aktualisiert die Administration in der Regel die Pakete und startet danach den tats\u00e4chlich zust\u00e4ndigen Dienst kontrolliert neu. Ein reiner Neustart ohne eingespielten Fix ersetzt das Update nicht.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Linux-Distributionen liefern Sicherheitskorrekturen h\u00e4ufig als ","ref":""},{"kind":"strong","text":"Backport","ref":""},{"kind":"text","text":". Dann kann die sichtbare Paketversionsnummer von den Releases auf php.net abweichen, obwohl der Fix enthalten ist. Vergleiche daher nicht nur Zeichenketten wie \u201e8.4.26\u201c, sondern lies die Sicherheitsmitteilung und das Changelog des Distributors. Das PHP-Projekt weist darauf hin, dass Distributionen und LTS-Anbieter Patches erhalten k\u00f6nnen.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Container verlangen einen eigenen Ablauf: ein korrigiertes Image bauen oder vom Anbieter beziehen, dieses ausrollen und alte Instanzen ersetzen. Bei NAS-Oberfl\u00e4chen, Netzwerkger\u00e4ten oder fertigen Webanwendungen liegt die Korrektur dagegen beim Herstellerprodukt. Ein Patch des Hostbetriebssystems erreicht dort nicht zwangsl\u00e4ufig den eingebetteten Interpreter; Inventarisierung und Herstellerhinweise bleiben deshalb unverzichtbar.","ref":""},{"kind":"citation","text":"","ref":"S3"}]}]}],"3":[{"id":"sofortmassnahmen-und-neustarts","heading":"Sofortma\u00dfnahmen ohne falsche Sicherheit","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Am Patch-Tag verschaffst du dir zuerst ein belastbares Inventar: Domains, APIs, Verwaltungsoberfl\u00e4chen, Container und Produkte mit m\u00f6glichem eingebettetem PHP. Notiere je Dienst die Web-Betriebsart, den verantwortlichen Updateweg und die tats\u00e4chlich verwendete PHP-Laufzeit. Danach erh\u00e4lt jeder \u00f6ffentlich erreichbare oder gesch\u00e4ftskritische Dienst Vorrang, nicht lediglich der Server mit der auff\u00e4lligsten Versionsnummer.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Spiele anschlie\u00dfend das vom Hoster, Linux-Distributor, Image- oder Produkthersteller freigegebene Sicherheitsupdate ein. F\u00fcr die unterst\u00fctzten PHP-Zweige ist das Update auf den korrigierten Patchstand die vollst\u00e4ndige Abhilfe; eine WAF, Upload-Regeln oder ein Webserver-Neustart ersetzen es nicht. Plane den Vorgang so, dass Paket-, Image- oder Herstellerupdate nachvollziehbar dokumentiert und bei Problemen zur\u00fcckverfolgbar bleibt.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Nach der Aktualisierung musst du den Dienst kontrolliert neu laden, der Webanfragen tats\u00e4chlich verarbeitet, etwa PHP-FPM, Apache mit geladenem PHP-Modul oder den betroffenen Container. Dadurch \u00fcbernehmen bereits laufende Worker die neue Laufzeit. Pr\u00fcfe danach zentrale Anwendungswege; insbesondere Uploads verdienen Aufmerksamkeit, weil sie bei vielen Anwendungen Sessions, Gr\u00f6\u00dfenlimits und Hintergrundverarbeitung ber\u00fchren. Der Beitrag zu ","ref":""},{"kind":"internal_link","text":"PHP Session Garbage Collection","ref":"I1"},{"kind":"text","text":" erl\u00e4utert erg\u00e4nzend, weshalb Session-Verarbeitung auch den laufenden Betrieb beeinflussen kann.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Falls ein Patch kurzfristig nicht m\u00f6glich ist, k\u00f6nnen einzelne Einstellungen bekannte Angriffspfade begrenzen, aber keine vollst\u00e4ndige Sicherheit herstellen. Das Abschalten des Upload-Fortschritts muss vor dem Parsen einer Anfrage wirksam sein. Pr\u00fcfe vorab, ob Anwendungen oder Oberfl\u00e4chen diese Fortschrittsanzeige ben\u00f6tigen, und starte die zust\u00e4ndigen PHP-Worker danach kontrolliert neu.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"code","language":"ini","code":"session.upload_progress.enabled = 0","source_ids":["S1"]},{"type":"paragraph","runs":[{"kind":"text","text":"Konservative Grenzen f\u00fcr POST-Daten und weitere in der Sicherheitsmeldung genannte Optionen k\u00f6nnen die Angriffsfl\u00e4che ebenfalls nur teilweise reduzieren. Sp\u00e4t gelesene ","ref":""},{"kind":"code","text":".user.ini","ref":""},{"kind":"text","text":"-Dateien oder ein ","ref":""},{"kind":"code","text":"ini_set()","ref":""},{"kind":"text","text":" innerhalb der Anwendung reichen f\u00fcr diese Einstellung nicht aus. Behandle solche Ma\u00dfnahmen als befristete Risikoreduktion und halte am Sicherheitsupdate als Ziel fest.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"betrieb-pruefen-und-auffaelligkeiten","heading":"Nach dem Patch Betrieb und Auff\u00e4lligkeiten pr\u00fcfen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Ein erfolgreich abgeschlossenes Paketupdate belegt zun\u00e4chst nur, dass Dateien oder Pakete installiert wurden. Es best\u00e4tigt weder, dass der Webprozess die neue Laufzeit geladen hat, noch dass die Anwendung damit fehlerfrei arbeitet. Pr\u00fcfe deshalb nach dem Neustart die f\u00fcr den Dienst ma\u00dfgebliche Web-Laufzeit und dokumentiere Zeitpunkt, Version, neu gestarteten Dienst sowie das Ergebnis der Funktionskontrolle.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Funktionspr\u00fcfung sollte reale Kernabl\u00e4ufe abdecken: wichtige \u00f6ffentliche Seiten, Anmeldung und Abmeldung, Formularversand, Datei-Upload, Checkout oder Buchung sowie API-Endpunkte und Hintergrundaufgaben. Teste nur Vorg\u00e4nge, f\u00fcr die du berechtigt bist, und nutze bei produktiven Shops m\u00f6glichst daf\u00fcr vorgesehene Testdaten. Kontrolliere parallel Webserver-, PHP- und Anwendungsprotokolle auf neue Fehler, wiederholte Abst\u00fcrze oder unerwartete Statuscodes.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein Neustart ist notwendig, um langlebige Prozesse und ","ref":""},{"kind":"strong","text":"Worker","ref":""},{"kind":"text","text":" mit aktualisiertem Code zu laden, erzeugt aber selbst keinen Fix. Ohne eingespieltes Update bleibt die Schwachstelle bestehen. Bei hoher Auslastung sollte das Wartungsfenster so gew\u00e4hlt werden, dass Anfragen geordnet abflie\u00dfen k\u00f6nnen und die Auswirkungen eines Worker-Neustarts beobachtbar bleiben.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Wie stark ein kontrollierter Neustart den Durchsatz beeinflusst, h\u00e4ngt von Zahl und Auslastung der PHP-Prozesse ab. F\u00fcr die Planung hilft es, Warteschlangen, laufende Jobs und kritische Transaktionen zu ber\u00fccksichtigen, statt Prozesse unkoordiniert zu beenden. Der Leitfaden ","ref":""},{"kind":"internal_link","text":"PHP Workers verstehen","ref":"I2"},{"kind":"text","text":" erkl\u00e4rt die Rolle dieser Prozesse bei parallelen dynamischen Anfragen.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Treten nach dem Patch Auff\u00e4lligkeiten auf, unterscheide zwischen Kompatibilit\u00e4tsfehlern der Anwendung und einem unvollst\u00e4ndigen Rollout. Vergleiche Konfiguration, aktivierte Erweiterungen und die Web-Laufzeit mit dem Stand vor der Wartung. Ein Rollback darf nicht dazu f\u00fchren, dass ein \u00f6ffentlich erreichbarer Dienst dauerhaft auf dem verwundbaren Stand verbleibt; kl\u00e4re dann z\u00fcgig einen kompatiblen, gepatchten Updatepfad.","ref":""}]}]},{"id":"prioritaeten-fuer-alte-und-versteckte-installationen","heading":"Alte und versteckte PHP-Installationen priorisieren","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Besondere Aufmerksamkeit ben\u00f6tigen Systeme, auf denen PHP nicht als bewusst installierte Laufzeit sichtbar ist: Docker-Images, virtuelle Appliances, NAS- und Netzwerkoberfl\u00e4chen sowie fertige Softwareprodukte. Ein Update des Hosts aktualisiert weder automatisch ein Container-Image noch die intern mitgelieferte Laufzeit eines Herstellerprodukts. Frage deshalb Hersteller gezielt nach ihrer Bewertung und nach einem Sicherheitsupdate f\u00fcr das konkrete Produkt.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei alten Zweigen sind drei F\u00e4lle sauber zu trennen. Ein regul\u00e4r unterst\u00fctzter PHP-Release erh\u00e4lt die vom PHP-Projekt ver\u00f6ffentlichten Sicherheitsupdates. Ein Distributions- oder Anbieter-Backport kann den Fix trotz abweichender sichtbarer Versionsnummer enthalten, muss aber durch die Sicherheitsmeldung oder das Changelog dieses Anbieters belegt sein. Selbst gepflegter Quellcode verlangt dagegen eigene Build-, Test- und Betriebsverantwortung; er ist kein gleichwertiger Ersatz f\u00fcr einen regul\u00e4ren Updatekanal.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"PHP 8.1 und \u00e4ltere Zweige erhalten keine regul\u00e4ren Upstream-Releases mehr. F\u00fcr PHP 8.2 steht zwar ein korrigierter Patchstand bereit, der Zweig erreicht jedoch Ende 2026 sein Supportende. Nutze einen verf\u00fcgbaren Fix f\u00fcr die akute Lage, plane bei alten oder auslaufenden Versionen aber zus\u00e4tzlich eine getestete ","ref":""},{"kind":"strong","text":"Migration","ref":""},{"kind":"text","text":" auf einen l\u00e4nger unterst\u00fctzten Zweig.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"list","ordered":true,"items":["\u00d6ffentlich erreichbare Dienste mit ungepatchter PHP-Laufzeit zuerst aktualisieren, besonders wenn Uploads oder Verwaltungsfunktionen erreichbar sind.","Apache mit mod_php und gesch\u00e4ftskritische Shops, APIs oder Kundenportale unmittelbar danach behandeln; die offizielle Sicherheitsmeldung hebt f\u00fcr mod_php einen besonders kritischen Risikofokus hervor.","Container, Appliances und Drittprodukte anhand von Images, Inventar und Herstellerstatus erfassen; fehlende sichtbare PHP-Pakete sind kein Entwarnungssignal.","Nicht unterst\u00fctzte oder nicht zeitnah patchbare Dienste isolieren und Zugriffe einschr\u00e4nken, parallel aber verbindlich Ersatz, Upgrade oder Migration planen."],"source_ids":["S1","S3"]},{"type":"paragraph","runs":[{"kind":"text","text":"Netzsegmentierung, VPN-Pflicht oder restriktive Zugriffsregeln k\u00f6nnen bei nicht sofort patchbaren Verwaltungsoberfl\u00e4chen Zeit gewinnen. Sie sind jedoch nur ","ref":""},{"kind":"strong","text":"\u00dcbergangsma\u00dfnahmen","ref":""},{"kind":"text","text":", weil interne Nutzerkonten, kompromittierte Ger\u00e4te und falsch konfigurierte Freigaben weiterhin Angriffswege schaffen k\u00f6nnen. Wird f\u00fcr ein Produkt kein Fix angeboten oder ist der PHP-Zweig dauerhaft au\u00dferhalb des Supports, ist Ersatz oder Migration die belastbare Entscheidung.","ref":""},{"kind":"citation","text":"","ref":"S3"}]}]}]},"plan":{"reader_question":"Betrifft die aktuelle PHP-Sicherheitsl\u00fccke tats\u00e4chlich \u201edas halbe Internet\u201c, welche Systeme sind konkret gef\u00e4hrdet und welche Schritte m\u00fcssen Betreiber von Websites, Onlineshops, APIs und Servern jetzt priorisieren?","sections":[{"id":"alarmmeldung-richtig-einordnen","heading":"Die Alarmmeldung richtig einordnen","part":1,"target_words":270,"purpose":"Den zugespitzten Aufh\u00e4nger sachlich aufl\u00f6sen: Es gibt keinen Beleg f\u00fcr \u201edas halbe Internet\u201c, wohl aber ein erhebliches Risiko durch eine weit verbreitete Laufzeitumgebung. In klar getrennten Abs\u00e4tzen erkl\u00e4ren, warum Reichweite, Internet-Exponierung, Betriebsart und Patchstand wichtiger sind als pauschale Aussagen \u00fcber alle PHP-Websites.","source_ids":["S1"],"internal_link_ids":[]},{"id":"rce-und-betroffene-php-wege","heading":"Was die PHP-Schwachstellen technisch erm\u00f6glichen","part":1,"target_words":270,"purpose":"Remote Code Execution ohne vorherige Anmeldung verst\u00e4ndlich definieren und die Folgen im Kontext des Webprozess-Kontos einordnen. Anschlie\u00dfend CVE-2026-109618 und CVE-2026-109619 getrennt, ohne Exploit-Anleitung erkl\u00e4ren; Multipart-Anfragen, Uploads, Speicherknappheit und wiederverwendete Worker-Zust\u00e4nde als technische Kontexte nennen. Eine kurze Liste grenzt PHP-FPM, mod_php, php-cgi, FrankenPHP und LiteSpeed von einzelnen CMS-Fehlern ab.","source_ids":["S1","S2"],"internal_link_ids":[]},{"id":"risiko-haengt-vom-betrieb-ab","heading":"Warum nicht jede Installation gleich gef\u00e4hrdet ist","part":1,"target_words":270,"purpose":"Die Risikofaktoren anhand konkreter Konstellationen ordnen: erreichbarer Webdienst, ungepatchte Laufzeit, wiederverwendete Worker, Upload-Funktionen, Berechtigungen und eingebettetes PHP. Besonders den h\u00f6heren Risikofokus bei Apache mod_php herausstellen, ohne andere SAPIs zu verharmlosen. Abschlie\u00dfend sauber erkl\u00e4ren, warum ein fehlerfreies CMS oder eine Firewall keinen ungepatchten PHP-Interpreter ersetzt.","source_ids":["S1","S3"],"internal_link_ids":[]},{"id":"patchstaende-und-supportstatus","heading":"Sichere Patchst\u00e4nde und Supportstatus vergleichen","part":2,"target_words":270,"purpose":"Mit einer zentralen informativen Tabelle die Zweige PHP 8.2, 8.3, 8.4, 8.5 sowie 8.1 und \u00e4lter vergleichen. Tabellenspalten: betroffen bis einschlie\u00dflich, sichere Version ab, Supportstatus am 22. Oktober 2026 und empfohlene Ma\u00dfnahme. Danach erl\u00e4utern, warum ein Update innerhalb desselben Zweigs etwas anderes ist als eine Migration auf einen neueren Zweig und weshalb PHP 8.2 trotz verf\u00fcgbarem Fix mittelfristig abgel\u00f6st werden sollte.","source_ids":["S1","S4"],"internal_link_ids":[]},{"id":"web-laufzeit-zuverlaessig-pruefen","heading":"Die tats\u00e4chliche Web-Laufzeit pr\u00fcfen","part":2,"target_words":270,"purpose":"Einen sicheren Pr\u00fcfablauf f\u00fcr Managed Hosting und selbst verwaltete Systeme formulieren. Die unver\u00e4ndernden Befehle php -v und php --ini als CLI-Bestandsaufnahme einordnen, dann deren Grenze gegen\u00fcber PHP-FPM, Apache-Modul und Containern deutlich machen. Geeignete Struktur: kurzer Pr\u00fcfpfad, Praxisbeispiel mit mehreren Domains und abschlie\u00dfender Warnhinweis gegen \u00f6ffentlich erreichbare phpinfo()-Seiten.","source_ids":["S1"],"internal_link_ids":[]},{"id":"updatewege-nach-betriebsart","heading":"Updatewege nach Betriebsart planen","part":2,"target_words":270,"purpose":"Eine zweite Tabelle stellt Shared Hosting, PHP-FPM auf Linux, Apache mit mod_php, Container und eingebettetes PHP gegen\u00fcber: Ort der Versionspr\u00fcfung, zust\u00e4ndige Stelle f\u00fcr Updates und typische Besonderheit. Danach die Aktualisierung in Paketen, Images und Herstellerprodukten unterscheiden. Bei Linux-Distributionen erl\u00e4utern, weshalb Sicherheits-Backports und Paket-Changelogs ma\u00dfgeblich sein k\u00f6nnen, auch wenn die sichtbare Versionsnummer von php.net abweicht.","source_ids":["S1","S3"],"internal_link_ids":[]},{"id":"sofortmassnahmen-und-neustarts","heading":"Sofortma\u00dfnahmen ohne falsche Sicherheit","part":3,"target_words":270,"purpose":"Eine priorisierte Praxisanleitung f\u00fcr den Patch-Tag liefern: Inventarisieren, freigegebenes Sicherheitsupdate einspielen, den tats\u00e4chlich zust\u00e4ndigen Dienst kontrolliert neu starten und die Anwendung pr\u00fcfen. Tempor\u00e4re Ma\u00dfnahmen wie session.upload_progress.enabled = 0, konservative POST-Grenzen und weitere in der Sicherheitsmeldung genannte Optionen klar als begrenzte Risikoreduktion behandeln. Nebenwirkungen bei Upload-Fortschrittsanzeigen und die unzureichende Wirkung sp\u00e4ter gelesener Einstellungen erkl\u00e4ren.","source_ids":["S1"],"internal_link_ids":["I1"]},{"id":"betrieb-pruefen-und-auffaelligkeiten","heading":"Nach dem Patch Betrieb und Auff\u00e4lligkeiten pr\u00fcfen","part":3,"target_words":270,"purpose":"Beschreiben, welche Funktionspr\u00fcfungen nach dem Update sinnvoll sind: zentrale Seiten, Login, Upload, Checkout, API-Endpunkte und Fehlerprotokolle. Den Unterschied zwischen erfolgreichem Paketupdate, geladenem Webprozess und best\u00e4tigter Anwendungskompatibilit\u00e4t herausarbeiten. Ein eigener Absatz erkl\u00e4rt, dass Neustarts die Worker neu laden k\u00f6nnen, aber kein Ersatz f\u00fcr das Einspielen eines Fixes sind; bei hoher Last den Zusammenhang zwischen Worker-Auslastung und kontrollierten Wartungsfenstern einordnen.","source_ids":["S1"],"internal_link_ids":["I2"]},{"id":"prioritaeten-fuer-alte-und-versteckte-installationen","heading":"Alte und versteckte PHP-Installationen priorisieren","part":3,"target_words":270,"purpose":"Zum Abschluss eine Entscheidungslogik f\u00fcr nicht unterst\u00fctzte Zweige, Appliances, NAS-Oberfl\u00e4chen, Docker-Images und Drittprodukte geben. Anbieter-Backport, selbst gepflegten Quellcode und regul\u00e4r unterst\u00fctzte PHP-Releases deutlich voneinander abgrenzen. Eine kompakte Priorit\u00e4tenliste ordnet \u00f6ffentlich erreichbare, mod_php-basierte und gesch\u00e4ftskritische Dienste zuerst ein; zugleich erl\u00e4utern, wann Isolation oder Zugriffsbeschr\u00e4nkungen nur \u00dcbergangsma\u00dfnahmen sind und wann eine Migration notwendig wird.","source_ids":["S1","S3","S4"],"internal_link_ids":[]}]},"repairs":4,"reviews":4,"issues":[],"guard":{"content_md5":"45697999985ad1df40c2a1e13cb5b256","title":"PHP-sikkerhedshul 2026: S\u00e5dan kontrollerer og lapper du s\u00e5rbare webtjenester","slug":"php-sikkerhedshul-2026-kontrollere-rette","excerpt":"Kritiske PHP-s\u00e5rbarheder kan udg\u00f8re en risiko for webtjenester, der ikke er opdateret. Find ud af, hvilke opdateringsniveauer der er n\u00f8dvendige, hvorfor webtjenestens driftstid er vigtig, og hvordan du planl\u00e6gger opdateringer p\u00e5 en sikker m\u00e5de.","status":"draft","featured_media":21948},"verify":{"content_md5":"45697999985ad1df40c2a1e13cb5b256","title":"PHP-sikkerhedshul 2026: S\u00e5dan kontrollerer og lapper du s\u00e5rbare webtjenester","slug":"php-sikkerhedshul-2026-kontrollere-rette","excerpt":"Kritiske PHP-s\u00e5rbarheder kan udg\u00f8re en risiko for webtjenester, der ikke er opdateret. Find ud af, hvilke opdateringsniveauer der er n\u00f8dvendige, hvorfor webtjenestens driftstid er vigtig, og hvordan du planl\u00e6gger opdateringer p\u00e5 en sikker m\u00e5de.","status":"draft","featured_media":21948},"row_number":1908,"created_at":"2026-10-22T11:59:48+00:00","editorial_policy":{"version":"2.1.6","max_repairs":4,"review_model_from_attempt":2},"updated_at":"2026-10-22T12:07:09+00:00","verified_at":"2026-10-22T12:06:56+00:00"},"_wh_make_research":"Recherche-Briefing zum Thema \u201ePHP-Sicherheitsl\u00fccke \u2013 Wie das halbe Internet gehackt werden kann\u201c\n\nRecherche-Stand: 22. Oktober 2026\n\nLeserfrage und redaktioneller Kern\n\nDer sp\u00e4tere Artikel sollte eine zugespitzte, aber sachlich korrekte Frage beantworten: Betrifft die aktuelle PHP-Sicherheitsl\u00fccke tats\u00e4chlich \u201edas halbe Internet\u201c \u2013 und was m\u00fcssen Betreiber von Websites, Onlineshops, APIs und Servern jetzt konkret tun?\n\nDie Antwort lautet: Die Formulierung eignet sich als aufmerksamkeitsstarker Aufh\u00e4nger, darf aber nicht als belegte Gr\u00f6\u00dfenordnung erscheinen. Es gibt keinen belastbaren Nachweis daf\u00fcr, dass \u201edie H\u00e4lfte des Internets\u201c kompromittierbar sei. Gesichert ist jedoch: Die am 21. Oktober 2026 ver\u00f6ffentlichten Schwachstellen CVE-2026-109618 und CVE-2026-109619 betreffen grunds\u00e4tzlich PHP-Installationen, die Webanfragen bedienen. Dazu z\u00e4hlen PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Beide Fehler k\u00f6nnen laut PHP-Projekt eine nicht authentifizierte Remote Code Execution erm\u00f6glichen \u2013 also die Ausf\u00fchrung von Code unter dem Konto des Webprozesses, ohne dass ein Angreifer vorab ein Benutzerkonto ben\u00f6tigt. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nDer Artikel sollte deshalb weder \u201ePHP ist unsicher\u201c noch \u201ejede PHP-Website ist bereits gehackt\u201c behaupten. Seine Kernbotschaft lautet besser: Eine kritische Schwachstelle in einer sehr weit verbreiteten Laufzeitumgebung kann viele Dienste gleichzeitig gef\u00e4hrden. Entscheidend sind eingesetzte PHP-Version, Betriebsart, Erreichbarkeit aus dem Internet, Patch-Status und die Frage, ob PHP direkt oder eingebettet in Drittprodukte l\u00e4uft.\n\nGesicherte Fakten und empfohlene Einordnung\n\nDas PHP-Projekt ver\u00f6ffentlichte am 21. Oktober 2026 Sicherheitsupdates f\u00fcr die stabilen, unterst\u00fctzten Versionszweige PHP 8.2, 8.3, 8.4 und 8.5. Die behobenen Versionen sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Fr\u00fchere Patchst\u00e4nde innerhalb dieser Zweige sind betroffen. Das Projekt bezeichnet die Updates ausdr\u00fccklich als einzige vollst\u00e4ndige Abhilfe. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nDie beiden CVEs m\u00fcssen voneinander getrennt erkl\u00e4rt werden:\n\nCVE-2026-109618 betrifft die Behandlung von Speicherknappheit, also Out-of-Memory-Fehlern. PHP kann eine Anfrage abbrechen, w\u00e4hrend interne Datenstrukturen noch nicht vollst\u00e4ndig initialisiert sind. Beim anschlie\u00dfenden Aufr\u00e4umen der Anfrage k\u00f6nnen diese unvollst\u00e4ndigen Zust\u00e4nde weiterverwendet werden. Daraus kann Speicherbesch\u00e4digung und letztlich Codeausf\u00fchrung entstehen. Die offizielle Sicherheitsmeldung nennt unter anderem Multipart-Anfragen, Dateiuploads und Speicherverbrauch beim Parsen verschachtelter Eingaben als relevante Kontexte. ([github.com](https:\/\/github.com\/php\/php-src\/security\/advisories\/GHSA-w8hw-w9fx-j79w))\n\nCVE-2026-109619 betrifft internen, an eine Anfrage gebundenen Zustand, der nach der Freigabe seines Speichers erhalten bleiben kann. Verarbeitet derselbe Worker sp\u00e4ter eine weitere Anfrage, kann er auf diesen veralteten Zustand zugreifen, bevor die normale Initialisierung ihn zur\u00fccksetzt. Die offiziell dokumentierten Gegenma\u00dfnahmen beziehen sich unter anderem auf den Upload-Fortschritt von PHP-Sessions und auf Fehlerpfade. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nF\u00fcr die technische Erkl\u00e4rung ist wichtig: Es handelt sich nicht prim\u00e4r um einen Fehler in einem einzelnen CMS, Theme oder Plugin. Die Schwachstellen liegen in PHP selbst. Anwendungen und Hosting-Setups beeinflussen allerdings, welche Angriffspfade erreichbar sind und wie hoch das praktische Risiko ausf\u00e4llt.\n\nVoraussetzungen f\u00fcr Leser und Zielgruppen\n\nDer Beitrag sollte zwei Leserebenen verbinden:\n\nErstens Website-Betreiber im Managed Hosting. Sie ben\u00f6tigen in der Regel keine Exploit-Details, sondern eine Entscheidungshilfe: Welche PHP-Version ist f\u00fcr das jeweilige Projekt aktiv? Stellt der Hoster ein Sicherheitsupdate bereit? Kann die Anwendung nach dem Wechsel auf einen gepatchten Patchstand gepr\u00fcft werden? Bei mehreren Domains ist jede PHP-Zuweisung einzeln zu kontrollieren.\n\nZweitens Administratoren von VPS, Dedicated Servern und Containern. Sie ben\u00f6tigen einen klaren Ablauf aus Inventarisierung, Paket- oder Image-Update, Neustart der PHP-Worker und Funktionspr\u00fcfung. Dabei ist zwischen der PHP-Version im Terminal und dem tats\u00e4chlich Webanfragen verarbeitenden PHP zu unterscheiden. Ein `php -v` im Terminal kann nur die CLI-Version anzeigen; PHP-FPM, Apache-Modul oder ein Container-Image k\u00f6nnen davon abweichen.\n\nSichere Beispiele f\u00fcr den sp\u00e4teren Praxisabschnitt\n\nTerminalbefehl zur reinen Bestandsaufnahme:\n\nphp -v\n\nTerminalbefehl zur Anzeige der geladenen Konfigurationsdateien der CLI:\n\nphp --ini\n\nDiese Befehle \u00e4ndern nichts am System. Der Text muss aber klarstellen, dass sie nur die lokale CLI-Installation pr\u00fcfen. F\u00fcr einen produktiven Webdienst braucht es zus\u00e4tzlich eine Pr\u00fcfung im Hosting-Panel, in der Paketverwaltung, im Deployment-Manifest oder anhand der Laufzeitkonfiguration des jeweiligen Web-SAPI. Eine \u00f6ffentlich erreichbare `phpinfo()`-Seite sollte nicht als Standardpr\u00fcfung empfohlen werden, weil sie sensible Umgebungs- und Konfigurationsinformationen preisgeben kann.\n\nRelevante Praxisf\u00e4lle\n\nPraxisfall 1: Klassisches Shared Hosting mit CMS\n\nEine WordPress-, Joomla-, Shopware- oder individuelle PHP-Seite nutzt eine im Kundenpanel ausgew\u00e4hlte PHP-Version. Der Betreiber kann m\u00f6glicherweise keine Systempakete aktualisieren. Der Artikel sollte erkl\u00e4ren: Erst die PHP-Version je Projekt pr\u00fcfen, dann beim Hoster den Patch-Stand beziehungsweise den verf\u00fcgbaren sicheren Patchstand ermitteln. Ein Wechsel von PHP 8.3.35 auf PHP 8.3.36 ist eine Sicherheitsaktualisierung im selben Entwicklungszweig; ein Wechsel von PHP 8.2 auf 8.4 ist dagegen ein Major-\/Minor-Migrationsschritt mit m\u00f6glicher Kompatibilit\u00e4tspr\u00fcfung. Diese Ma\u00dfnahmen d\u00fcrfen nicht vermischt werden.\n\nPraxisfall 2: Linux-Server mit PHP-FPM und Reverse Proxy\n\nHier aktualisiert die Distribution h\u00e4ufig nicht auf die von php.net ver\u00f6ffentlichte Versionsnummer, sondern liefert einen Backport: Die Distributionsversion kann anders aussehen, obwohl der Sicherheitsfix enthalten ist. Deshalb ist \u201eVersionsnummer kleiner als 8.4.27\u201c bei Paketversionen allein kein endg\u00fcltiger Beweis f\u00fcr Verwundbarkeit. Der Artikel sollte zur Pr\u00fcfung der Sicherheitsmitteilung des Linux-Distributors und der Paket-Changelogs anleiten. Das PHP-Projekt weist ausdr\u00fccklich darauf hin, dass Linux-Distributionen und LTS-Anbieter die Patches vorab erhalten haben k\u00f6nnen. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nPraxisfall 3: Apache mit mod_php\n\nDieser Fall verdient eine hervorgehobene Risikoeinordnung. Das PHP-Projekt bewertet mod_php als besonders kritisch, weil ein dokumentierter Angriff bereits vor dem Ausf\u00fchren des eigentlichen Anwendungscodes ausgel\u00f6st werden kann. Das bedeutet: Ein sauber programmiertes CMS oder Framework allein sch\u00fctzt nicht, wenn die PHP-Laufzeit ungepatcht ist. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nPraxisfall 4: Container, Appliances und Softwareprodukte mit eingebettetem PHP\n\nNicht nur klassische Websites sind relevant. PHP kann Bestandteil eines Docker-Images, einer Verwaltungsoberfl\u00e4che, eines NAS, eines Netzwerkprodukts oder einer fertigen Webanwendung sein. Ein Update des Hostsystems repariert nicht automatisch das PHP in einem Image oder Appliance-Produkt. Der Artikel sollte daher eine Inventarisierung aller Images, Helm-Charts, virtuellen Appliances und Herstellerprodukte empfehlen. CERT-EU weist ausdr\u00fccklich auf Produkte hin, die PHP intern nutzen, ohne eine direkt sichtbare PHP-Installation bereitzustellen. ([cert.europa.eu](https:\/\/cert.europa.eu\/publications\/security-advisories\/2026-018\/))\n\nEntscheidungsalternativen und Priorisierung\n\nF\u00fcr unterst\u00fctzte PHP-Zweige ist ein Sicherheitsupdate innerhalb desselben Zweigs der bevorzugte Weg. Wer PHP 8.5 nutzt, aktualisiert auf mindestens 8.5.12; bei PHP 8.4 ist mindestens 8.4.27 erforderlich, bei 8.3 mindestens 8.3.36 und bei 8.2 mindestens 8.2.35. Diese Patchst\u00e4nde sind die gesicherten Fix-Versionen. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nPHP 8.1 und \u00e4ltere Zweige erhalten keine regul\u00e4ren Updates mehr vom PHP-Projekt. Zwar wurden f\u00fcr PHP 7.4, 8.0 und 8.1 minimale Quellcode-Backports bereitgestellt, doch diese sind kein Ersatz f\u00fcr einen allgemein verf\u00fcgbaren stabilen Release-Zweig und setzen eigenst\u00e4ndiges Bauen beziehungsweise eine gepflegte Anbieterbasis voraus. Im Artikel sollte klar zwischen einem vom Betriebssystemanbieter gelieferten Backport und selbst kompiliertem Quellcode unterschieden werden. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nPHP 8.2 ist am 22. Oktober 2026 noch im Sicherheits-Support, erreicht aber am 31. Dezember 2026 sein End of Life. F\u00fcr akute Abhilfe ist 8.2.35 zul\u00e4ssig; f\u00fcr die mittelfristige Planung ist eine Migration auf einen l\u00e4nger unterst\u00fctzten Zweig sinnvoll. PHP 8.3, 8.4 und 8.5 haben l\u00e4ngere Sicherheitszeitr\u00e4ume. ([php.net](https:\/\/www.php.net\/supported-versions.php))\n\nGrenzen tempor\u00e4rer Ma\u00dfnahmen\n\nTempor\u00e4re Konfigurationen d\u00fcrfen nicht als Patch verkauft werden. Das PHP-Projekt nennt Ma\u00dfnahmen, die bestimmte bekannte Pfade erschweren: administrativ erzwungenes `memory_limit=-1`, konservative Grenzen f\u00fcr POST-Daten, das Abschalten von `session.upload_progress.enabled` sowie auf PHP 8.5 das Deaktivieren von `fatal_error_backtraces`. Diese Ma\u00dfnahmen reduzieren jedoch nur Teile der Angriffsfl\u00e4che. Die offizielle Aussage bleibt: Vollst\u00e4ndig beheben l\u00e4sst sich das Risiko nur durch ein Update. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nEin sicherer Dateikonfigurations-Ausschnitt f\u00fcr den Artikel kann so aussehen:\n\nDateikonfiguration, tempor\u00e4re Risikoreduktion:\n\nsession.upload_progress.enabled = 0\n\nDabei muss direkt stehen: Nur nach Freigabe durch Verantwortliche einsetzen, die Auswirkungen auf Upload-Fortschrittsanzeigen pr\u00fcfen und anschlie\u00dfend alle PHP-Worker kontrolliert neu starten. `ini_set()` innerhalb einer Anwendung oder eine sp\u00e4t gelesene `.user.ini` reichen laut Sicherheitsmeldung nicht aus, weil die Einstellung vor dem Parsen der Anfrage gelten muss. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nTypische Fehler, die der Artikel verhindern sollte\n\nErstens: Nur den Webserver neu starten und annehmen, damit sei das Update erfolgt. Ein Neustart l\u00e4dt keine ungepatchten Pakete auf magische Weise nach.\n\nZweitens: Nur `php -v` pr\u00fcfen und die Web-Laufzeit \u00fcbersehen.\n\nDrittens: Einen Update-Stand mit einem Versionswechsel verwechseln. Patch-Update und Migration haben unterschiedliche Risiken.\n\nViertens: Alte PHP-Versionen als \u201esicher, weil hinter einer Firewall\u201c einordnen. Interne Verwaltungsoberfl\u00e4chen, VPN-Zug\u00e4nge und Drittprodukte bleiben relevante Angriffsfl\u00e4chen.\n\nF\u00fcnftens: Eine WAF oder Upload-Limits als vollst\u00e4ndige L\u00f6sung darstellen. Sie k\u00f6nnen Anfragen begrenzen, ersetzen den Sicherheitsfix aber nicht.\n\nTabellenempfehlungen f\u00fcr den fertigen Artikel\n\nEine zentrale Tabelle sollte folgende Spalten enthalten: PHP-Zweig; betroffen bis einschlie\u00dflich; sichere Version ab; Supportstatus am 22. Oktober 2026; empfohlene Ma\u00dfnahme. Die vier sicheren Versionen sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12. F\u00fcr PHP 8.1 und \u00e4lter sollte die Tabelle nicht pauschal \u201egepatcht\u201c vermerken, sondern \u201ekein regul\u00e4res Upstream-Release; Anbieter-Backport pr\u00fcfen oder migrieren\u201c. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nEine zweite Tabelle kann Betriebsarten gegen\u00fcberstellen: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed, eingebettetes PHP im Produkt. Spalten: Wo wird die tats\u00e4chliche Version gepr\u00fcft? Wer aktualisiert? Besonderheit. F\u00fcr mod_php ist der offiziell beschriebene h\u00f6here Risikofokus zu nennen; bei PHP-FPM sollte nicht behauptet werden, es sei ungef\u00e4hrlich. ([php.net](https:\/\/www.php.net\/archive\/2026.php))","_wh_make_sources":{"S1":{"id":"S1","url":"https:\/\/www.php.net\/archive\/2026.php","title":"PHP: Nyhedsarkiv \u2013 2026"},"S2":{"id":"S2","url":"https:\/\/github.com\/php\/php-src\/security\/advisories\/GHSA-w8hw-w9fx-j79w","title":"RCE via OOM-korruption \u00b7 Sikkerhedsmeddelelse \u00b7 php\/php-src \u00b7 GitHub"},"S3":{"id":"S3","url":"https:\/\/cert.europa.eu\/publications\/security-advisories\/2026-018\/","title":"CERT-EU \u2013 Kritiske s\u00e5rbarheder i PHP"},"S4":{"id":"S4","url":"https:\/\/www.php.net\/supported-versions.php","title":"PHP: Underst\u00f8ttede versioner"}},"_wh_make_usage":{"research":{"input_tokens":46591,"output_tokens":3736,"response_id":"resp_065523da3776091a016ad9fad975a087d1ada66a12fbd8fd64","model":"gpt-5.6-terra","search_calls":6},"plan_efd206707ede9c95767952be2ce2da88":{"input_tokens":5456,"output_tokens":1483,"response_id":"resp_03276ce21bf0527b016ad9fb1eedcc87d184f7667277621fef","model":"gpt-5.6-terra","search_calls":0},"part1_2dd8dcbb862352557970aba0c9df0fa6":{"input_tokens":8121,"output_tokens":1651,"response_id":"resp_0a1131273a78ac43016ad9fb33e56887d1ad5c487cdddcbcd4","model":"gpt-5.6-terra","search_calls":0},"part2_1b74d36fe89db4f706c0f5b108857581":{"input_tokens":8175,"output_tokens":2260,"response_id":"resp_0beea63d02658196016ad9fb4989bc87d19b544b0bfa9fce8a","model":"gpt-5.6-terra","search_calls":0},"part3_c5d5baec87d73f08bc250f5fdcc4ac0e":{"input_tokens":8228,"output_tokens":2131,"response_id":"resp_03892bc237d7ddc1016ad9fb65006487d1bead9c909f626dd9","model":"gpt-5.6-terra","search_calls":0},"package_60101f5704ba397cc3dd7d1514aaa077":{"input_tokens":13499,"output_tokens":1490,"response_id":"resp_08c1d55729994c63016ad9fb8285bc87d18dd3ea55df7f7040","model":"gpt-5.6-terra","search_calls":0},"review_1bee2c84a03102f115fa970ff41920e6":{"input_tokens":25677,"output_tokens":902,"response_id":"resp_006d602c3957e9e7016ad9fb97dc8887d1abcb63ff33d61196","model":"gpt-5.6-sol","search_calls":1},"repair_a07463940f4a368f0c2e1c8a5345b1a6":{"input_tokens":27228,"output_tokens":1057,"response_id":"resp_0bd1d341b1878934016ad9fba5840887d19009c41c1265fd5e","model":"gpt-5.6-terra","search_calls":1},"review_1c6673629e91389d8ed9a449e7e2fb04":{"input_tokens":25683,"output_tokens":1007,"response_id":"resp_0bdc7c18c22906b5016ad9fbb0aa7887d1a545eb58d37e247e","model":"gpt-5.6-sol","search_calls":1},"repair_93de3781567c1a226ece4aea06087f48":{"input_tokens":29331,"output_tokens":1254,"response_id":"resp_0f060a6a65017543016ad9fbc405cc87d199fa150f0fc685c3","model":"gpt-5.6-sol","search_calls":1},"review_bd80cd2fe1f3ee4b40afcae495694b4e":{"input_tokens":25763,"output_tokens":1027,"response_id":"resp_0742cbb41fa1ec3a016ad9fbd0687c87d1b10222503780b7f3","model":"gpt-5.6-sol","search_calls":1},"repair_ce819983f5a310d651f9eb5333ef27a8":{"input_tokens":29700,"output_tokens":1819,"response_id":"resp_02475cdc3574b768016ad9fbe1887087d19218b06b216f2e84","model":"gpt-5.6-sol","search_calls":1},"repair_cffabe60a69f05be258549a8fade2e03":{"input_tokens":25345,"output_tokens":1395,"response_id":"resp_0363d17d82f5e541016ad9fbf1c79087d1a2e54fafe325c092","model":"gpt-5.6-sol","search_calls":1},"review_ede4208f30671e2313fd2812f5edc940":{"input_tokens":25991,"output_tokens":630,"response_id":"resp_0197b45a878634d0016ad9fbffca1487d195cfaa13d36a4348","model":"gpt-5.6-sol","search_calls":1},"image_hero":{"input_tokens":185,"output_tokens":1372,"response_id":"","model":"gpt-image-2.5-flare","search_calls":0},"image_detail1":{"input_tokens":173,"output_tokens":1372,"response_id":"","model":"gpt-image-2.5-flare","search_calls":0},"image_detail2":{"input_tokens":222,"output_tokens":1372,"response_id":"","model":"gpt-image-2.5-flare","search_calls":0}},"_wh_make_last_error":"Nur ein angehaltener, unver\u00e4nderter Entwurf mit zwei verbrauchten Korrekturen und ohne offene Antwort kann \u00fcbernommen werden.","_wh_make_write_intent":{"before":{"content_md5":"8034b5a753bee2dd18763248c1278b7b","title":"PHP-sikkerhedshul 2026: S\u00e5dan kontrollerer og lapper du s\u00e5rbare webtjenester","slug":"php-sikkerhedshul-2026-kontrollere-rette","excerpt":"Kritiske PHP-s\u00e5rbarheder kan udg\u00f8re en risiko for webtjenester, der ikke er opdateret. Find ud af, hvilke opdateringsniveauer der er n\u00f8dvendige, hvorfor webtjenestens driftstid er vigtig, og hvordan du planl\u00e6gger opdateringer p\u00e5 en sikker m\u00e5de.","status":"draft","featured_media":0},"expected":{"content_md5":"45697999985ad1df40c2a1e13cb5b256","title":"PHP-sikkerhedshul 2026: S\u00e5dan kontrollerer og lapper du s\u00e5rbare webtjenester","slug":"php-sikkerhedshul-2026-kontrollere-rette","excerpt":"Kritiske PHP-s\u00e5rbarheder kan udg\u00f8re en risiko for webtjenester, der ikke er opdateret. Find ud af, hvilke opdateringsniveauer der er n\u00f8dvendige, hvorfor webtjenestens driftstid er vigtig, og hvordan du planl\u00e6gger opdateringer p\u00e5 en sikker m\u00e5de.","status":"draft","featured_media":21948},"at":"2026-10-22T12:06:45+00:00"},"_wh_make_design_version":"2.1.18","rank_math_title":"PHP-Sicherheitsl\u00fccke 2026 richtig patchen","_wh_make_doc":{"title":"PHP-sikkerhedshul 2026: S\u00e5dan kontrollerer og lapper du s\u00e5rbare webtjenester","slug":"php-sikkerhedshul-2026-kontrollere-rette","excerpt":"Kritiske PHP-s\u00e5rbarheder kan udg\u00f8re en risiko for webtjenester, der ikke er opdateret. Find ud af, hvilke opdateringsniveauer der er n\u00f8dvendige, hvorfor webtjenestens driftstid er vigtig, og hvordan du planl\u00e6gger opdateringer p\u00e5 en sikker m\u00e5de.","seo":{"title":"S\u00e5dan lappes PHP-sikkerhedshullet fra 2026 korrekt","description":"Kontroller kritiske PHP-s\u00e5rbarheder: sikre versioner, identificer web-k\u00f8rselstid, planl\u00e6g opdateringer efter driftsform og genstart tjenesterne p\u00e5 en kontrolleret m\u00e5de.","focus_keyword":"PHP Sicherheitsl\u00fccke patchen"},"lead":[{"kind":"text","text":"Nein, nicht \u201edas halbe Internet\u201c ist nachweislich betroffen. Doch ungepatchte PHP-Webdienste k\u00f6nnen durch zwei kritische Schwachstellen ohne vorherige Anmeldung gef\u00e4hrdet sein. Pr\u00fcfe daher zuerst die ","ref":""},{"kind":"strong","text":"tats\u00e4chliche Web-Laufzeit","ref":""},{"kind":"text","text":" statt nur PHP in der Shell, installiere den freigegebenen Sicherheitsfix und starte die betroffenen Worker kontrolliert neu. Besonders wichtig sind \u00f6ffentlich erreichbare Dienste, mod_php sowie Container und Produkte mit eingebettetem PHP.","ref":""},{"kind":"citation","text":"","ref":"S1"}],"images":{"hero":{"prompt":"Fotorealistisches redaktionelles Smartphonefoto, ungestellte Alltagsszene in einem leicht genutzten kleinen B\u00fcro bei Tageslicht: Eine individuell wirkende Frau Anfang 50 mit hellem Hautton, schulterlangen dunklen engen Locken, ovalem Gesicht und durchschnittlichem K\u00f6rperbau sitzt seitlich an einem einfachen Schreibtisch und pr\u00fcft konzentriert ein Hosting-Kundenpanel auf einem Monitor, Bildschirm ohne lesbaren Text oder Logos. Im Vordergrund ein Notizblock und eine Kaffeetasse, normale Kabel und Gebrauchsspuren, neutraler Bildausschnitt, nat\u00fcrliche Farben, leichte K\u00f6rnung, echte Hautstruktur, kein Stockfoto- oder Hochglanzlook.","alt":"Betreiberin pr\u00fcft an einem Arbeitsplatz die PHP-Einstellung eines Webprojekts.","caption":"KI-generiertes Symbolbild: Die aktive PHP-Laufzeit wird je Webprojekt und Betriebsart gepr\u00fcft.","filename_base":"php-sicherheitsluecke-web-laufzeit-pruefen","section_id":"","after_block":0},"detail1":{"prompt":"Fotorealistisches Smartphonefoto, sachliche Nahaufnahme ohne Menschen in einem normalen Technikraum: ein gebrauchter 19-Zoll-Serverschrank mit wenigen aktiven Ger\u00e4ten und sauber gef\u00fchrten Netzwerkleitungen, im Fokus eine kleine Beschriftungsfreie Statusanzeige und ein angeschlossener Verwaltungsrechner am Rand ohne lesbare Oberfl\u00e4che. Vorhandenes warmes Raumlicht, glaubw\u00fcrdige Staubspuren und leichte Gebrauchsspuren an Metall und Kunststoff, mittlere Sch\u00e4rfentiefe, leicht unperfekter Ausschnitt, nat\u00fcrliche Farben, keine Logos, kein Text, kein futuristischer CGI-Look.","alt":"Technikraum mit Serverhardware als Symbol f\u00fcr die Pr\u00fcfung von PHP-Webdiensten.","caption":"KI-generiertes Symbolbild: Die PHP-Version muss am Dienst gepr\u00fcft werden, der Webanfragen verarbeitet.","filename_base":"php-webdienst-server-pruefung","section_id":"web-laufzeit-zuverlaessig-pruefen","after_block":3},"detail2":{"prompt":"Glaubw\u00fcrdiges ungestelltes Smartphonefoto in einer kleinen, normal genutzten Werkstatt-Ecke eines B\u00fcros bei vorhandenem Deckenlicht: Ein individuell wirkender Mann Ende 40 mit hellem Hautton, kurzem rotbraunem Haar, kantigem Gesicht, kr\u00e4ftiger Statur und rechteckiger Brille pr\u00fcft konzentriert auf einem Tablet eine gesch\u00fctzte Herstellerinformation zu einer kompakten, unbeschrifteten Netzwerk-Appliance im Regal; Display nur als undeutliche Oberfl\u00e4che ohne lesbaren Text oder Logos. Daneben liegen ein handschriftlicher Inventarzettel und ein Stift. Plausible Anschl\u00fcsse, leichte Gebrauchsspuren, echte Hautstruktur, nat\u00fcrliche Farben, normale Sch\u00e4rfentiefe, leicht unperfekter Ausschnitt und geringe Bildk\u00f6rnung, kein Studio-, Werbe- oder CGI-Look.","alt":"Administrator pr\u00fcft Herstellerinformationen zu einer Netzwerk-Appliance mit eingebettetem PHP.","caption":"KI-generiertes Symbolbild: Bei Appliances sind Herstellerbewertung und produktspezifischer Updateweg zu pr\u00fcfen; dargestellt ist kein allgemeiner Updatevorgang.","filename_base":"eingebettetes-php-appliance-herstellerhinweis","section_id":"prioritaeten-fuer-alte-und-versteckte-installationen","after_block":1}},"chart":null,"social":{"facebook":"Kritische PHP-L\u00fccken betreffen nicht automatisch jede Website \u2013 aber ungepatchte Web-Laufzeiten k\u00f6nnen ein erhebliches Risiko sein. Der Leitfaden zeigt Patchst\u00e4nde, Pr\u00fcfwege und Priorit\u00e4ten f\u00fcr Hosting, Server und Container.","instagram":"PHP-Update nicht aufschieben: Entscheidend ist die PHP-Version, die echte Webanfragen verarbeitet. Pr\u00fcfe Domains, FPM, Container und eingebettete Produkte getrennt. #PHPSicherheit #Webhosting #Updates","tiktok":"PHP in der Shell ist nicht zwingend PHP im Webdienst. Warum du FPM, Container und Hosting-Panel separat pr\u00fcfen musst \u2013 plus sichere Patchst\u00e4nde im \u00dcberblick.","youtube":"PHP-Sicherheitsl\u00fccke 2026: Welche Dienste betroffen sein k\u00f6nnen, wie du die tats\u00e4chliche Web-Laufzeit pr\u00fcfst und warum Patchen wichtiger ist als ein blo\u00dfer Neustart.","threads":"\u201eDas halbe Internet\u201c ist keine belegte Zahl. Trotzdem sind kritische PHP-L\u00fccken ein Anlass, den tats\u00e4chlichen Web-Interpreter, Patchstand und Updateweg je Dienst sofort zu pr\u00fcfen.","x":"Kritische PHP-L\u00fccken: Nicht jede PHP-Website ist automatisch betroffen, aber ungepatchte Web-Laufzeiten m\u00fcssen priorisiert werden. Pr\u00fcfe FPM, mod_php, Container und eingebettete Produkte \u2013 nicht nur `php -v`."},"avatar_script":"Die Schlagzeile klingt gro\u00df, aber die richtige Frage ist konkreter: Welche PHP-Laufzeit verarbeitet deine Webanfragen wirklich? Zwei kritische Schwachstellen betreffen ungepatchte PHP-Webdienste und k\u00f6nnen unter bestimmten Bedingungen Codeausf\u00fchrung erm\u00f6glichen. Pr\u00fcfe deshalb nicht nur die Ausgabe von php -v in der Shell. Entscheidend sind auch PHP-FPM, Apache mit mod_php, Container und Produkte, in denen PHP versteckt eingebettet ist. Installiere den vom Hoster, Distributor oder Hersteller bereitgestellten Fix, starte anschlie\u00dfend den zust\u00e4ndigen Dienst kontrolliert neu und teste wichtige Abl\u00e4ufe wie Login, Formulare, Uploads und APIs. Eine WAF oder ein Neustart ohne Update sind keine vollst\u00e4ndige L\u00f6sung.","version_note":"Recherche-Stand: 22. Oktober 2026. Patchst\u00e4nde und Supportangaben beziehen sich auf die bereitgestellten PHP- und CERT-EU-Quellen; bei Distributionspaketen sind dokumentierte Sicherheits-Backports gesondert zu pr\u00fcfen.","sections":[{"id":"alarmmeldung-richtig-einordnen","heading":"Die Alarmmeldung richtig einordnen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Aussage, eine PHP-Sicherheitsl\u00fccke k\u00f6nne \u201edas halbe Internet\u201c betreffen, ist ein zugespitzter Aufh\u00e4nger, aber keine belegte Gr\u00f6\u00dfenordnung. Es gibt keinen Nachweis, dass die H\u00e4lfte aller Internetdienste verwundbar oder bereits kompromittiert ist. Das tats\u00e4chliche Risiko ist dennoch erheblich, weil PHP als Laufzeitumgebung in vielen Websites, Shops, APIs und Verwaltungsoberfl\u00e4chen eingesetzt wird.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Entscheidend ist nicht, ob eine Website PHP nutzt, sondern welche PHP-Version ihre Webanfragen verarbeitet. Die Sicherheitsupdates vom 21. Oktober 2026 betreffen grunds\u00e4tzlich ungepatchte Installationen der unterst\u00fctzten Zweige, sofern sie Anfragen \u00fcber einen Webdienst bedienen. Ein lokales PHP f\u00fcr Entwicklungsaufgaben ist daher anders zu bewerten als ein von au\u00dfen erreichbares Kundenportal.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die ","ref":""},{"kind":"strong","text":"Internet-Exponierung","ref":""},{"kind":"text","text":" bestimmt die Dringlichkeit wesentlich. Ein \u00f6ffentlich erreichbarer Shop mit Formularen und Uploads bietet mehr m\u00f6gliche Ber\u00fchrungspunkte als ein abgeschotteter interner Dienst. Auch ein interner Dienst ist aber nicht automatisch sicher: VPN-Zug\u00e4nge, kompromittierte Konten oder andere Systeme im Netzwerk k\u00f6nnen ihn erreichbar machen. Reichweite allein ersetzt deshalb keine technische Risikopr\u00fcfung.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ebenso wichtig sind Betriebsart und ","ref":""},{"kind":"strong","text":"Patchstand","ref":""},{"kind":"text","text":". PHP kann etwa \u00fcber PHP-FPM, als Apache-Modul, per php-cgi oder eingebettet in ein Produkt laufen. Mehrere Domains auf demselben Server k\u00f6nnen dabei unterschiedliche Versionen und Aktualisierungswege haben. Eine pauschale Entwarnung f\u00fcr alle PHP-Websites w\u00e4re ebenso falsch wie die Annahme, jede Installation sei unmittelbar angreifbar.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"rce-und-betroffene-php-wege","heading":"Was die PHP-Schwachstellen technisch erm\u00f6glichen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Eine ","ref":""},{"kind":"strong","text":"Remote Code Execution","ref":""},{"kind":"text","text":" (RCE) bedeutet, dass ein Angreifer unter bestimmten Bedingungen Code auf einem entfernten System ausf\u00fchren kann. Bei diesen PHP-Schwachstellen ist laut Sicherheitsmeldung keine vorherige Anmeldung erforderlich. Ausgef\u00fchrt w\u00fcrde der Code zun\u00e4chst mit den Rechten des Webprozesses, nicht automatisch mit uneingeschr\u00e4nkten Administratorrechten. Die m\u00f6glichen Folgen h\u00e4ngen daher stark von Dateirechten, Zugangsdaten und der Servertrennung ab.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"CVE-2026-109618 betrifft Fehlerpfade bei ","ref":""},{"kind":"strong","text":"Speicherknappheit","ref":""},{"kind":"text","text":". Bricht PHP eine Anfrage wegen eines Out-of-Memory-Zustands ab, k\u00f6nnen interne Datenstrukturen unvollst\u00e4ndig bleiben. Werden solche Zust\u00e4nde beim Aufr\u00e4umen der Anfrage weiterverwendet, kann Speicherbesch\u00e4digung entstehen. Die offizielle Beschreibung nennt insbesondere Multipart-Anfragen, Dateiuploads und den Speicherverbrauch beim Parsen verschachtelter Eingaben als relevante technische Kontexte.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"CVE-2026-109619 betrifft dagegen an eine Anfrage gebundenen internen Zustand, dessen Speicher bereits freigegeben wurde. Verarbeitet ein wiederverwendeter Worker danach eine weitere Anfrage, kann PHP auf diesen veralteten Zustand zugreifen, bevor die normale Initialisierung greift. Die Sicherheitsmeldung verweist dabei unter anderem auf den Upload-Fortschritt von Sessions und Fehlerpfade. Das beschreibt die Fehlerklasse, nicht eine Anleitung zur Ausnutzung.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"list","ordered":false,"items":["Betroffen sein k\u00f6nnen Webanfragen \u00fcber PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.","Die Fehler liegen in der PHP-Laufzeit, nicht prim\u00e4r in WordPress, Joomla, Shopware, Themes oder einzelnen Plugins.","CMS und Frameworks beeinflussen erreichbare Funktionen wie Uploads, ersetzen aber kein Update des Interpreters."],"source_ids":["S1","S2"]}]},{"id":"risiko-haengt-vom-betrieb-ab","heading":"Warum nicht jede Installation gleich gef\u00e4hrdet ist","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Ob ein Dienst praktisch gef\u00e4hrdet ist, ergibt sich aus mehreren Faktoren. Vorrang haben eine ungepatchte PHP-Web-Laufzeit und ein erreichbarer Webdienst. Danach z\u00e4hlen die Betriebsart, wiederverwendete Prozesse, Funktionen f\u00fcr Uploads oder komplexe Formulare sowie die Rechte des Webprozess-Kontos. Ein Dienst mit weitreichendem Schreibzugriff auf Webdateien oder Zugang zu weiteren Diensten kann schwerere Folgen haben als ein strikt isoliertes Projekt.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei Apache mit ","ref":""},{"kind":"strong","text":"mod_php","ref":""},{"kind":"text","text":" hebt das PHP-Projekt den Risikofokus besonders hervor: Ein dokumentierter Angriff kann bereits vor der Ausf\u00fchrung des eigentlichen Anwendungscodes ausgel\u00f6st werden. Ein sauber gepflegtes CMS sch\u00fctzt dann nicht vor der Schwachstelle in der Laufzeit. Das bedeutet nicht, dass PHP-FPM, php-cgi, FrankenPHP oder LiteSpeed als ungef\u00e4hrlich gelten; sie m\u00fcssen bei einem ungepatchten Stand ebenfalls priorisiert gepr\u00fcft werden.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Besondere Aufmerksamkeit brauchen au\u00dferdem Produkte mit ","ref":""},{"kind":"strong","text":"eingebettetem PHP","ref":""},{"kind":"text","text":". Dazu k\u00f6nnen Container-Images, Appliances, NAS-Verwaltungen oder Netzwerkprodukte geh\u00f6ren, deren Oberfl\u00e4che PHP intern verwendet. Dort zeigt ein Befehl auf dem Host oft nicht die tats\u00e4chlich eingesetzte Laufzeit. Das Update des Betriebssystems behebt auch nicht automatisch eine verwundbare PHP-Komponente in einem Image oder Herstellerprodukt.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Eine Firewall, Web Application Firewall oder restriktive Upload-Limits k\u00f6nnen einzelne Anfragen erschweren und die Angriffsfl\u00e4che begrenzen. Sie sind jedoch kein Ersatz f\u00fcr den Fix, weil sie nicht die fehlerhafte Speicher- und Zustandsverwaltung im Interpreter korrigieren. Auch ein fehlerfreies CMS bleibt auf eine sichere Laufzeit angewiesen. Ma\u00dfgeblich ist deshalb, den Patchstand des tats\u00e4chlich Webanfragen verarbeitenden PHP zu pr\u00fcfen und zu aktualisieren.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"patchstaende-und-supportstatus","heading":"Sichere Patchst\u00e4nde und Supportstatus vergleichen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr die beiden Sicherheitsl\u00fccken z\u00e4hlt zun\u00e4chst der Patchstand innerhalb des eingesetzten PHP-Zweigs. Das PHP-Projekt nennt f\u00fcr die unterst\u00fctzten Reihen konkrete korrigierte Releases. Fr\u00fchere Patchst\u00e4nde derselben Reihe gelten als betroffen; ein Upgrade auf die angegebene oder eine neuere Version dieses Zweigs ist die vorgesehene vollst\u00e4ndige Abhilfe.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"table","caption":"PHP-Zweige: Patchst\u00e4nde und Supportlage am 22. Oktober 2026","headers":["PHP-Zweig","Betroffen bis einschlie\u00dflich","Sichere Version ab","Supportstatus am 22. Oktober 2026","Empfohlene Ma\u00dfnahme"],"rows":[["PHP 8.2","8.2.34","8.2.35","Nur Sicherheitsupdates bis 31. Dezember 2026","Kurzfristig auf mindestens 8.2.35 aktualisieren und Migration planen."],["PHP 8.3","8.3.35","8.3.36","Nur Sicherheitsupdates bis 31. Dezember 2027","Auf mindestens 8.3.36 aktualisieren."],["PHP 8.4","8.4.26","8.4.27","Aktiver Support bis 31. Dezember 2026","Auf mindestens 8.4.27 aktualisieren."],["PHP 8.5","8.5.11","8.5.12","Aktiver Support bis 31. Dezember 2027","Auf mindestens 8.5.12 aktualisieren."],["PHP 8.1 und \u00e4lter","Kein regul\u00e4res aktuelles Upstream-Release","Kein allgemein verf\u00fcgbares regul\u00e4res Fix-Release","Nicht regul\u00e4r vom PHP-Projekt unterst\u00fctzt","Anbieter-Backport pr\u00fcfen oder auf einen unterst\u00fctzten Zweig migrieren."]],"source_ids":["S1","S4"]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein ","ref":""},{"kind":"strong","text":"Patch-Update","ref":""},{"kind":"text","text":" bleibt in derselben Entwicklungsreihe, etwa von 8.3.35 auf 8.3.36. Es soll den Sicherheitsfix bereitstellen und hat einen engeren Kompatibilit\u00e4tsrahmen als ein Wechsel von 8.2 auf 8.4. Letzterer ist eine Migration: Abh\u00e4ngigkeiten, Erweiterungen, Anwendungscode und gegebenenfalls das Deployment m\u00fcssen daf\u00fcr separat gepr\u00fcft werden.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"PHP 8.2 ist f\u00fcr die akute Behebung weiterhin nutzbar, sofern mindestens Version 8.2.35 l\u00e4uft. Der Zweig erreicht jedoch am 31. Dezember 2026 sein Supportende. Deshalb sollte ein Betrieb nicht bei diesem Sofortschritt stehen bleiben: Plane die Umstellung auf einen l\u00e4nger unterst\u00fctzten Zweig, nachdem die Anwendung in einer geeigneten Umgebung auf Kompatibilit\u00e4t gepr\u00fcft wurde.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei PHP 8.1 und \u00e4lter ist besondere Vorsicht n\u00f6tig. Das PHP-Projekt stellt daf\u00fcr kein regul\u00e4res aktuelles Release bereit; minimale Quellcode-Backports sind nicht mit einem allgemein verf\u00fcgbaren, gepflegten Paket gleichzusetzen. Ein vom Betriebssystemanbieter dokumentierter Sicherheits-Backport kann angemessen sein, erfordert aber einen Nachweis im Security Advisory oder Paket-Changelog. Fehlt er, ist eine Migration statt einer blo\u00dfen Versionskosmetik n\u00f6tig.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"web-laufzeit-zuverlaessig-pruefen","heading":"Die tats\u00e4chliche Web-Laufzeit pr\u00fcfen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Versionspr\u00fcfung beginnt mit einer Bestandsaufnahme, darf aber nicht bei der Shell enden. Auf einem selbst verwalteten Server zeigen die folgenden Befehle die Version des dort aufgerufenen PHP-Befehls und die von diesem Aufruf gefundenen Konfigurationsdateien. Sie ver\u00e4ndern weder Pakete noch Konfiguration und eignen sich daher als erster, risikoarmer Pr\u00fcfschritt.","ref":""}]},{"type":"code","language":"bash","code":"php -v\nphp --ini","source_ids":[]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Ausgabe beschreibt nur die \u00fcber diesen Shell-Befehl aufgerufene ","ref":""},{"kind":"strong","text":"CLI-Laufzeit","ref":""},{"kind":"text","text":". Eine Website kann dagegen \u00fcber PHP-FPM, Apache mit mod_php, php-cgi oder einen Container bedient werden. Diese Web-Laufzeit kann eine andere PHP-Version und andere Konfigurationsdateien nutzen als der Befehl ","ref":""},{"kind":"code","text":"php -v","ref":""},{"kind":"text","text":" auf dem Host. F\u00fcr die Sicherheitsbewertung ist der Prozess ma\u00dfgeblich, der reale HTTP-Anfragen verarbeitet.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Im Managed Hosting pr\u00fcfst du deshalb im Kundenpanel die pro Projekt oder Domain ausgew\u00e4hlte PHP-Version und fragst bei Bedarf den Patchstand des bereitgestellten Dienstes ab. Bei mehreren Domains ist jede Zuweisung einzeln zu kontrollieren: Eine Hauptdomain kann bereits den gepatchten Zweig verwenden, w\u00e4hrend ein Shop, eine Staging-Instanz oder eine Subdomain noch einen \u00e4lteren Interpreter nutzt.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Auf Servern mit PHP-FPM geh\u00f6ren Service-Konfiguration, Paketbestand und Deployment-Unterlagen zusammen. In Container-Umgebungen pr\u00fcfst du zus\u00e4tzlich das tats\u00e4chlich ausgerollte Image und nicht nur ein lokales Build-Manifest. Entscheidend ist, welche Revision im laufenden Pod oder Container Webanfragen annimmt; ein aktualisiertes Basisimage sch\u00fctzt keine bereits laufende \u00e4ltere Instanz.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"callout","variant":"warning","title":"Keine \u00f6ffentliche Diagnose-Seite","runs":[{"kind":"text","text":"Eine \u00f6ffentlich erreichbare ","ref":""},{"kind":"code","text":"phpinfo()","ref":""},{"kind":"text","text":"-Seite ist keine empfehlenswerte Standardpr\u00fcfung. Sie kann Versions-, Modul-, Pfad- und Konfigurationsdaten offenlegen. Nutze stattdessen Zug\u00e4nge des Hosting-Panels, die Serververwaltung oder intern gesch\u00fctzte Betriebsdokumentation.","ref":""}]}]},{"id":"updatewege-nach-betriebsart","heading":"Updatewege nach Betriebsart planen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Der geeignete Updateweg richtet sich danach, wer den Interpreter ausliefert und wo er betrieben wird. Erst wenn dieser Verantwortungsbereich klar ist, l\u00e4sst sich zuverl\u00e4ssig entscheiden, ob ein Panel-Wechsel, ein Paketupdate, ein neues Image oder ein Herstellerupdate erforderlich ist. Die folgende Einordnung trennt diese F\u00e4lle, ohne die Betriebsarten hinsichtlich ihres Risikos gleichzusetzen.","ref":""}]},{"type":"table","caption":"Versionspr\u00fcfung und Aktualisierung nach PHP-Betriebsart","headers":["Betriebsart","Wo die tats\u00e4chliche Version pr\u00fcfen?","Wer aktualisiert?","Typische Besonderheit"],"rows":[["Shared Hosting","Kundenpanel je Domain oder Projekt; Auskunft des Hosters","Hosting-Anbieter oder Kunde \u00fcber freigegebene Auswahl","PHP-Zuweisungen k\u00f6nnen zwischen Domains abweichen."],["PHP-FPM auf Linux","FPM-Pool, installierte Pakete, Dienst- und Deployment-Konfiguration","Serveradministration oder Distribution","Paketversion kann einen dokumentierten Sicherheits-Backport enthalten."],["Apache mit mod_php","Apache-Modulkonfiguration und installierte Pakete","Serveradministration oder Distribution","Vom PHP-Projekt mit besonderem Risikofokus beschrieben."],["Container","Laufendes Image, Image-Tag oder Digest sowie Container-Laufzeit","Team f\u00fcr Build und Deployment","Host-Updates \u00e4ndern das eingebettete PHP im Image nicht automatisch."],["Eingebettetes PHP im Produkt","Herstellerdokumentation, Produktversion und Security Advisory","Produkthersteller oder Produktadministration","PHP kann ohne separat sichtbare Installation Teil einer Appliance sein."]],"source_ids":["S1","S3"]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei Shared Hosting sollte der Anbieter den sicheren Patchstand f\u00fcr die gew\u00e4hlte PHP-Reihe bereitstellen; der Betreiber pr\u00fcft anschlie\u00dfend die Anwendung. Bei PHP-FPM oder mod_php aktualisiert die Administration in der Regel die Pakete und startet danach den tats\u00e4chlich zust\u00e4ndigen Dienst kontrolliert neu. Ein reiner Neustart ohne eingespielten Fix ersetzt das Update nicht.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Linux-Distributionen liefern Sicherheitskorrekturen h\u00e4ufig als ","ref":""},{"kind":"strong","text":"Backport","ref":""},{"kind":"text","text":". Dann kann die sichtbare Paketversionsnummer von den Releases auf php.net abweichen, obwohl der Fix enthalten ist. Vergleiche daher nicht nur Zeichenketten wie \u201e8.4.26\u201c, sondern lies die Sicherheitsmitteilung und das Changelog des Distributors. Das PHP-Projekt weist darauf hin, dass Distributionen und LTS-Anbieter Patches erhalten k\u00f6nnen.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Container verlangen einen eigenen Ablauf: ein korrigiertes Image bauen oder vom Anbieter beziehen, dieses ausrollen und alte Instanzen ersetzen. Bei NAS-Oberfl\u00e4chen, Netzwerkger\u00e4ten oder fertigen Webanwendungen liegt die Korrektur dagegen beim Herstellerprodukt. Ein Patch des Hostbetriebssystems erreicht dort nicht zwangsl\u00e4ufig den eingebetteten Interpreter; Inventarisierung und Herstellerhinweise bleiben deshalb unverzichtbar.","ref":""},{"kind":"citation","text":"","ref":"S3"}]}]},{"id":"sofortmassnahmen-und-neustarts","heading":"Sofortma\u00dfnahmen ohne falsche Sicherheit","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Am Patch-Tag verschaffst du dir zuerst ein belastbares Inventar: Domains, APIs, Verwaltungsoberfl\u00e4chen, Container und Produkte mit m\u00f6glichem eingebettetem PHP. Notiere je Dienst die Web-Betriebsart, den verantwortlichen Updateweg und die tats\u00e4chlich verwendete PHP-Laufzeit. Danach erh\u00e4lt jeder \u00f6ffentlich erreichbare oder gesch\u00e4ftskritische Dienst Vorrang, nicht lediglich der Server mit der auff\u00e4lligsten Versionsnummer.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Spiele anschlie\u00dfend das vom Hoster, Linux-Distributor, Image- oder Produkthersteller freigegebene Sicherheitsupdate ein. F\u00fcr die unterst\u00fctzten PHP-Zweige ist das Update auf den korrigierten Patchstand die vollst\u00e4ndige Abhilfe; eine WAF, Upload-Regeln oder ein Webserver-Neustart ersetzen es nicht. Plane den Vorgang so, dass Paket-, Image- oder Herstellerupdate nachvollziehbar dokumentiert und bei Problemen zur\u00fcckverfolgt werden kann.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Nach der Aktualisierung m\u00fcssen ","ref":""},{"kind":"strong","text":"alle alten Worker","ref":""},{"kind":"text","text":" beendet und durch Prozesse ersetzt werden, die nachweislich die gepatchte Laufzeit geladen haben. Verwende einen Reload nur, wenn die konkrete Dienstverwaltung diesen vollst\u00e4ndigen Austausch sicherstellt; andernfalls ist ein kontrollierter Neustart erforderlich. Pr\u00fcfe anschlie\u00dfend Prozessstartzeiten, Dienststatus oder die intern ermittelte Web-Laufzeit, statt den Austausch lediglich anzunehmen. Bei Containern rollst du das korrigierte Image aus und entfernst s\u00e4mtliche alten Instanzen.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Kontrolliere danach zentrale Anwendungswege wie Anmeldung, Formulare, Uploads, Checkout und APIs. Die Tests zeigen, ob Anwendung und Erweiterungen mit dem aktualisierten Patchstand funktionieren; sie belegen allein jedoch weder den vollst\u00e4ndigen Worker-Austausch noch die Abwesenheit einer fr\u00fcheren Kompromittierung. Diese Punkte m\u00fcssen \u00fcber Betriebs- und Sicherheitspr\u00fcfungen getrennt bewertet werden.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Falls ein Patch kurzfristig nicht m\u00f6glich ist, k\u00f6nnen einzelne Einstellungen bekannte Angriffspfade begrenzen, aber keine vollst\u00e4ndige Sicherheit herstellen. Das Abschalten des Upload-Fortschritts muss vor dem Parsen einer Anfrage wirksam sein. Pr\u00fcfe vorab, ob Anwendungen oder Oberfl\u00e4chen diese Fortschrittsanzeige ben\u00f6tigen, und starte danach jeden zust\u00e4ndigen PHP-Worker neu. Verifiziere anschlie\u00dfend, dass kein alter Prozess mit der vorherigen Einstellung weiterarbeitet.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"code","language":"ini","code":"session.upload_progress.enabled = 0","source_ids":["S1"]},{"type":"paragraph","runs":[{"kind":"text","text":"Konservative Grenzen f\u00fcr POST-Daten und weitere in der Sicherheitsmeldung genannte Optionen k\u00f6nnen die Angriffsfl\u00e4che ebenfalls nur teilweise reduzieren. Sp\u00e4t gelesene ","ref":""},{"kind":"code","text":".user.ini","ref":""},{"kind":"text","text":"-Dateien oder ein ","ref":""},{"kind":"code","text":"ini_set()","ref":""},{"kind":"text","text":" innerhalb der Anwendung reichen f\u00fcr diese Einstellung nicht aus. Behandle solche Ma\u00dfnahmen als befristete Risikoreduktion und halte am Sicherheitsupdate als Ziel fest.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Davon zu unterscheiden ist die regul\u00e4re Verwaltung gespeicherter Sitzungen. Der Beitrag zur ","ref":""},{"kind":"internal_link","text":"PHP Session Garbage Collection","ref":"I1"},{"kind":"text","text":" erkl\u00e4rt, wie Bereinigung, Dateizugriffe und Worker im normalen Betrieb zusammenspielen. Diese Betriebsoptimierung behebt die hier behandelten Schwachstellen jedoch nicht und ersetzt weder den korrigierten PHP-Patchstand noch den anschlie\u00dfenden Austausch der laufenden Prozesse.","ref":""}]}]},{"id":"betrieb-pruefen-und-auffaelligkeiten","heading":"Nach dem Patch Betrieb und Auff\u00e4lligkeiten pr\u00fcfen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Ein erfolgreich abgeschlossenes Paketupdate belegt zun\u00e4chst nur, dass Dateien oder Pakete installiert wurden. Es best\u00e4tigt weder, dass der Webprozess die neue Laufzeit geladen hat, noch dass die Anwendung damit fehlerfrei arbeitet. Pr\u00fcfe deshalb nach dem Neustart die f\u00fcr den Dienst ma\u00dfgebliche Web-Laufzeit und dokumentiere Zeitpunkt, Version, neu gestarteten Dienst sowie das Ergebnis der Funktionskontrolle.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Funktionspr\u00fcfung sollte reale Kernabl\u00e4ufe abdecken: wichtige \u00f6ffentliche Seiten, Anmeldung und Abmeldung, Formularversand, Datei-Upload, Checkout oder Buchung sowie API-Endpunkte und Hintergrundaufgaben. Teste nur Vorg\u00e4nge, f\u00fcr die du berechtigt bist, und nutze bei produktiven Shops m\u00f6glichst daf\u00fcr vorgesehene Testdaten. Kontrolliere parallel Webserver-, PHP- und Anwendungsprotokolle auf neue Fehler, wiederholte Abst\u00fcrze oder unerwartete Statuscodes.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein Neustart ist notwendig, um langlebige Prozesse und ","ref":""},{"kind":"strong","text":"Worker","ref":""},{"kind":"text","text":" mit aktualisiertem Code zu laden, erzeugt aber selbst keinen Fix. Ohne eingespieltes Update bleibt die Schwachstelle bestehen. Bei hoher Auslastung sollte das Wartungsfenster so gew\u00e4hlt werden, dass Anfragen geordnet abflie\u00dfen k\u00f6nnen und die Auswirkungen eines Worker-Neustarts beobachtbar bleiben.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Wie stark ein kontrollierter Neustart den Durchsatz beeinflusst, h\u00e4ngt von Zahl und Auslastung der PHP-Prozesse ab. F\u00fcr die Planung hilft es, Warteschlangen, laufende Jobs und kritische Transaktionen zu ber\u00fccksichtigen, statt Prozesse unkoordiniert zu beenden. Der Leitfaden ","ref":""},{"kind":"internal_link","text":"PHP Workers verstehen","ref":"I2"},{"kind":"text","text":" erkl\u00e4rt die Rolle dieser Prozesse bei parallelen dynamischen Anfragen.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Treten nach dem Patch Auff\u00e4lligkeiten auf, unterscheide zwischen Kompatibilit\u00e4tsfehlern der Anwendung und einem unvollst\u00e4ndigen Rollout. Vergleiche Konfiguration, aktivierte Erweiterungen und die Web-Laufzeit mit dem Stand vor der Wartung. Ein Rollback darf nicht dazu f\u00fchren, dass ein \u00f6ffentlich erreichbarer Dienst dauerhaft auf dem verwundbaren Stand verbleibt; kl\u00e4re dann z\u00fcgig einen kompatiblen, gepatchten Updatepfad.","ref":""}]}]},{"id":"prioritaeten-fuer-alte-und-versteckte-installationen","heading":"Alte und versteckte PHP-Installationen priorisieren","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Besondere Aufmerksamkeit ben\u00f6tigen Systeme, auf denen PHP nicht als bewusst installierte Laufzeit sichtbar ist: Docker-Images, virtuelle Appliances, NAS- und Netzwerkoberfl\u00e4chen sowie fertige Softwareprodukte. Ein Update des Hosts aktualisiert weder automatisch ein Container-Image noch die intern mitgelieferte Laufzeit eines Herstellerprodukts. Frage deshalb Hersteller gezielt nach ihrer Bewertung und nach einem Sicherheitsupdate f\u00fcr das konkrete Produkt.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei alten Zweigen sind drei F\u00e4lle sauber zu trennen. Ein regul\u00e4r unterst\u00fctzter PHP-Release erh\u00e4lt die vom PHP-Projekt ver\u00f6ffentlichten Sicherheitsupdates. Ein Distributions- oder Anbieter-Backport kann den Fix trotz abweichender sichtbarer Versionsnummer enthalten, muss aber durch die Sicherheitsmeldung oder das Changelog dieses Anbieters belegt sein. Selbst gepflegter Quellcode verlangt dagegen eigene Build-, Test- und Betriebsverantwortung; er ist kein gleichwertiger Ersatz f\u00fcr einen regul\u00e4ren Updatekanal.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"PHP 8.1 und \u00e4ltere Zweige erhalten keine regul\u00e4ren Upstream-Releases mehr. F\u00fcr PHP 8.2 steht zwar ein korrigierter Patchstand bereit, der Zweig erreicht jedoch Ende 2026 sein Supportende. Nutze einen verf\u00fcgbaren Fix f\u00fcr die akute Lage, plane bei alten oder auslaufenden Versionen aber zus\u00e4tzlich eine getestete ","ref":""},{"kind":"strong","text":"Migration","ref":""},{"kind":"text","text":" auf einen l\u00e4nger unterst\u00fctzten Zweig.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"list","ordered":true,"items":["\u00d6ffentlich erreichbare Dienste mit ungepatchter PHP-Laufzeit zuerst aktualisieren, besonders wenn Uploads oder Verwaltungsfunktionen erreichbar sind.","Apache mit mod_php und gesch\u00e4ftskritische Shops, APIs oder Kundenportale unmittelbar danach behandeln; die offizielle Sicherheitsmeldung hebt f\u00fcr mod_php einen besonders kritischen Risikofokus hervor.","Container, Appliances und Drittprodukte anhand von Images, Inventar und Herstellerstatus erfassen; fehlende sichtbare PHP-Pakete sind kein Entwarnungssignal.","Nicht unterst\u00fctzte oder nicht zeitnah patchbare Dienste isolieren und Zugriffe einschr\u00e4nken, parallel aber verbindlich Ersatz, Upgrade oder Migration planen."],"source_ids":["S1","S3"]},{"type":"paragraph","runs":[{"kind":"text","text":"Netzsegmentierung, VPN-Pflicht oder restriktive Zugriffsregeln k\u00f6nnen bei nicht sofort patchbaren Verwaltungsoberfl\u00e4chen Zeit gewinnen. Sie sind jedoch nur ","ref":""},{"kind":"strong","text":"\u00dcbergangsma\u00dfnahmen","ref":""},{"kind":"text","text":", weil interne Nutzerkonten, kompromittierte Ger\u00e4te und falsch konfigurierte Freigaben weiterhin Angriffswege schaffen k\u00f6nnen. Wird f\u00fcr ein Produkt kein Fix angeboten oder ist der PHP-Zweig dauerhaft au\u00dferhalb des Supports, ist Ersatz oder Migration die belastbare Entscheidung.","ref":""},{"kind":"citation","text":"","ref":"S3"}]}]}]},"_wh_make_word_report":{"words":2498,"min":2000,"max":3000,"target":2500,"ok":true,"missing":0,"excess":0,"lead_words":58,"section_words":{"alarmmeldung-richtig-einordnen":205,"rce-und-betroffene-php-wege":208,"risiko-haengt-vom-betrieb-ab":234,"patchstaende-und-supportstatus":311,"web-laufzeit-zuverlaessig-pruefen":237,"updatewege-nach-betriebsart":318,"sofortmassnahmen-und-neustarts":368,"betrieb-pruefen-und-auffaelligkeiten":260,"prioritaeten-fuer-alte-und-versteckte-installationen":299}},"_wh_make_review":{"verdict":"pass","issues":[],"checked_source_ids":["S1","S2","S3","S4"],"summary":"Der Artikel ist fachlich schl\u00fcssig und wird von den gepr\u00fcften Quellen getragen. CVE-Trennung, betroffene Web-SAPIs, korrigierte Patchst\u00e4nde, Supportzeitr\u00e4ume und die besondere Risikoeinordnung von mod_php sind korrekt dargestellt. Patch-Updates, Migrationen und dokumentierte Anbieter-Backports werden sauber unterschieden. Die Hinweise zu CLI- und Web-Laufzeit, Worker-Neustarts, Containern, eingebettetem PHP und begrenzten \u00dcbergangsma\u00dfnahmen vermeiden falsche Sicherheit. Codebeispiele werden nicht als vollst\u00e4ndige L\u00f6sung ausgegeben. Die Bildkonzepte sind als KI-generierte Symbolbilder gekennzeichnet und zeigen keine irref\u00fchrende technische Topologie oder vorget\u00e4uschte Tests."},"_wh_make_review_doc_hash":"9382f3bb3677c50d12c325a888a5177ebc10a4f76dc51c28425f9d46a32d85e4","_yoast_wpseo_primary_category":null,"rank_math_schema_blogposting":null,"rank_math_schema_videoobject":null,"_oembed_049c719bc4a9f89deaead66a7da9fddc":null,"_oembed_time_049c719bc4a9f89deaead66a7da9fddc":null,"_yoast_wpseo_focuskw":null,"inline_featured_image":null,"_yoast_wpseo_linkdex":null,"_eael_widget_elements":null,"_oembed_c3b0f6959478faf92a1f343d8f96b19e":null,"_oembed_27e3473bf8bec795fbeb3a9d38489348":null,"_trp_translated_slug_en_us":null,"_yoast_wpseo_title":null,"tldname":null,"tldpreis":null,"tldrubrik":null,"tldpolicylink":null,"tldsize":null,"tldregistrierungsdauer":null,"tldtransfer":null,"tldwhoisprivacy":null,"tldregistrarchange":null,"tldregistrantchange":null,"tldwhoisupdate":null,"tldnameserverupdate":null,"tlddeletesofort":null,"tlddeleteexpire":null,"tldumlaute":null,"tldrestore":null,"tldsubcategory":null,"tldbildname":null,"tldbildurl":null,"tldclean":null,"tldcategory":null,"tldpolicy":null,"tldbesonderheiten":null,"tld_bedeutung":null,"_oembed_d167040d816d8f94c072940c8009f5f8":null,"_oembed_b0a0fa59ef14f8870da2c63f2027d064":null,"_oembed_4792fa4dfb2a8f09ab950a73b7f313ba":null,"_oembed_33ceb1fe54a8ab775d9410abf699878d":null,"_oembed_fd7014d14d919b45ec004937c0db9335":null,"_oembed_21a029d076783ec3e8042698c351bd7e":null,"_oembed_be5ea8a0c7b18e658f08cc571a909452":null,"_oembed_a9ca7a298b19f9b48ec5914e010294d2":null,"_oembed_f8db6b27d08a2bb1f920e7647808899a":null,"_oembed_168ebde5096e77d8a89326519af9e022":null,"_oembed_cdb76f1b345b42743edfe25481b6f98f":null,"_oembed_87b0613611ae54e86e8864265404b0a1":null,"_oembed_27aa0e5cf3f1bb4bc416a4641a5ac273":null,"_oembed_time_27aa0e5cf3f1bb4bc416a4641a5ac273":null,"_tldname":null,"_tldclean":null,"_tldpreis":null,"_tldcategory":null,"_tldsubcategory":null,"_tldpolicy":null,"_tldpolicylink":null,"_tldsize":null,"_tldregistrierungsdauer":null,"_tldtransfer":null,"_tldwhoisprivacy":null,"_tldregistrarchange":null,"_tldregistrantchange":null,"_tldwhoisupdate":null,"_tldnameserverupdate":null,"_tlddeletesofort":null,"_tlddeleteexpire":null,"_tldumlaute":null,"_tldrestore":null,"_tldbildname":null,"_tldbildurl":null,"_tld_bedeutung":null,"_tldbesonderheiten":null,"_oembed_8357e2b8a2575c74ed5978f262a10126":null,"_oembed_ad96e4112edb9f8ffa35731d4098bc6b":null,"_oembed_3d5fea5103dd0d22ec5d6a33eff7f863":null,"_oembed_819a879e7da16dd629cfd15a97334c8a":null,"_oembed_time_819a879e7da16dd629cfd15a97334c8a":null,"_wh_make_writer_raw":null,"_wh_make_design_backup_204":null,"_wp_desired_post_slug":null,"_oembed_0d8a206f09633e3d62b95a15a4dd0487":null,"_oembed_time_0d8a206f09633e3d62b95a15a4dd0487":null,"_aioseo_description":null,"_eb_attr":null,"_eb_data_table":null,"_acf_changed":null,"_wpcode_auto_insert":null,"_edit_last":"1","_edit_lock":"1792748654:1","_oembed_e7b913c6c84084ed9702cb4feb012ddd":null,"_oembed_bfde9e10f59a17b85fc8917fa7edf782":null,"_oembed_time_bfde9e10f59a17b85fc8917fa7edf782":null,"_oembed_03514b67990db061d7c4672de26dc514":null,"_oembed_time_03514b67990db061d7c4672de26dc514":null,"rank_math_news_sitemap_robots":null,"rank_math_robots":null,"_eael_post_view_count":"114","_trp_automatically_translated_slug_ru_ru":null,"_trp_automatically_translated_slug_et":null,"_trp_automatically_translated_slug_lv":null,"_trp_automatically_translated_slug_fr_fr":null,"_trp_automatically_translated_slug_en_us":null,"_wp_old_slug":null,"_trp_automatically_translated_slug_da_dk":null,"_trp_automatically_translated_slug_pl_pl":null,"_trp_automatically_translated_slug_es_es":null,"_trp_automatically_translated_slug_hu_hu":null,"_trp_automatically_translated_slug_fi":null,"_trp_automatically_translated_slug_ja":null,"_trp_automatically_translated_slug_lt_lt":null,"_elementor_edit_mode":null,"_elementor_template_type":null,"_elementor_version":null,"_elementor_pro_version":null,"_wp_page_template":null,"_elementor_page_settings":null,"_elementor_data":null,"_elementor_css":null,"_elementor_conditions":null,"_happyaddons_elements_cache":null,"_oembed_75446120c39305f0da0ccd147f6de9cb":null,"_oembed_time_75446120c39305f0da0ccd147f6de9cb":null,"_oembed_3efb2c3e76a18143e7207993a2a6939a":null,"_oembed_time_3efb2c3e76a18143e7207993a2a6939a":null,"_oembed_59808117857ddf57e478a31d79f76e4d":null,"_oembed_time_59808117857ddf57e478a31d79f76e4d":null,"_oembed_965c5b49aa8d22ce37dfb3bde0268600":null,"_oembed_time_965c5b49aa8d22ce37dfb3bde0268600":null,"_oembed_81002f7ee3604f645db4ebcfd1912acf":null,"_oembed_time_81002f7ee3604f645db4ebcfd1912acf":null,"_elementor_screenshot":null,"_oembed_7ea3429961cf98fa85da9747683af827":null,"_oembed_time_7ea3429961cf98fa85da9747683af827":null,"_elementor_controls_usage":null,"_elementor_page_assets":[],"_elementor_screenshot_failed":null,"theplus_transient_widgets":null,"_eael_custom_js":null,"_wp_old_date":"2026-10-22","_trp_automatically_translated_slug_it_it":null,"_trp_automatically_translated_slug_pt_pt":null,"_trp_automatically_translated_slug_zh_cn":null,"_trp_automatically_translated_slug_nl_nl":null,"_trp_automatically_translated_slug_pt_br":null,"_trp_automatically_translated_slug_sv_se":null,"rank_math_analytic_object_id":null,"_trp_automatically_translated_slug_ro_ro":null,"_trp_automatically_translated_slug_sk_sk":null,"_trp_automatically_translated_slug_bg_bg":null,"_trp_automatically_translated_slug_sl_si":null,"litespeed_vpi_list":null,"litespeed_vpi_list_mobile":null,"rank_math_seo_score":"25","rank_math_contentai_score":null,"ilj_limitincominglinks":"","ilj_maxincominglinks":"1","ilj_limitoutgoinglinks":"","ilj_maxoutgoinglinks":"1","ilj_limitlinksperparagraph":"","ilj_linksperparagraph":"1","ilj_blacklistdefinition":[],"ilj_linkdefinition":[],"_eb_reusable_block_ids":null,"rank_math_focus_keyword":"PHP Sicherheitsl\u00fccke patchen","rank_math_og_content_image":null,"surfer_last_post_update":null,"surfer_last_post_update_direction":null,"surfer_keywords":null,"surfer_location":null,"surfer_draft_id":null,"surfer_permalink_hash":null,"surfer_scrape_ready":null,"_thumbnail_id":"21948","_yoast_wpseo_metadesc":null,"_yoast_wpseo_content_score":null,"_yoast_wpseo_focuskeywords":null,"_yoast_wpseo_keywordsynonyms":null,"_yoast_wpseo_estimated-reading-time-minutes":null,"rank_math_description":"Kritische PHP-L\u00fccken pr\u00fcfen: sichere Versionen, Web-Laufzeit erkennen, Updates nach Betriebsart planen und Dienste kontrolliert neu starten.","footnotes":null,"_links":{"self":[{"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/posts\/21942","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/comments?post=21942"}],"version-history":[{"count":6,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/posts\/21942\/revisions"}],"predecessor-version":[{"id":21951,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/posts\/21942\/revisions\/21951"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/media\/21948"}],"wp:attachment":[{"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/media?parent=21942"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/categories?post=21942"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/webhosting.de\/da\/wp-json\/wp\/v2\/tags?post=21942"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}