{"id":21942,"date":"2026-10-23T11:43:13","date_gmt":"2026-10-23T09:43:13","guid":{"rendered":"https:\/\/webhosting.de\/?p=21942"},"modified":"2026-10-23T11:43:17","modified_gmt":"2026-10-23T09:43:17","slug":"php-vulnerabilita-2026-verificare-applicare-patch","status":"publish","type":"post","link":"https:\/\/webhosting.de\/it\/php-sicherheitsluecke-2026-pruefen-patchen\/","title":{"rendered":"Vulnerabilit\u00e0 PHP 2026: come verificare e correggere i servizi web a rischio"},"content":{"rendered":"<div class=\"wh-article\" data-wh-layout=\"2.1.2\" style=\"width:100%;max-width:820px;margin:0 auto;color:#263b4b;font-family:inherit;font-size:18px;line-height:1.8;text-align:start;overflow-wrap:break-word;box-sizing:border-box\"><p class=\"wh-lead\" style=\"font-size:20px;line-height:1.7;color:#233746;margin:0 0 1.1em\">No, non \u00e8 vero che \u201emet\u00e0 di Internet\u201c sia comprovatamente colpita. Tuttavia, i servizi web PHP privi di patch potrebbero essere a rischio a causa di due vulnerabilit\u00e0 critiche che consentono l\u2019accesso senza previa autenticazione. Verifica quindi innanzitutto il <strong style=\"font-weight:700;color:inherit\">tempo di esecuzione effettivo sul web<\/strong> Anzich\u00e9 limitarsi a eseguire il comando PHP nella shell, installa la patch di sicurezza rilasciata e riavvia in modo controllato i worker interessati. Particolarmente importanti sono i servizi accessibili pubblicamente, mod_php, nonch\u00e9 i container e i prodotti con PHP integrato. <\/p>\n<nav class=\"wh-toc\" aria-label=\"Contenuto di questo articolo\" style=\"display:block;margin:28px 0 38px;padding:22px;border:1px solid #d9e4e8;border-radius:14px;background:#f4f8f8\"><p class=\"wh-toc-title\" style=\"font-size:13px;font-weight:700;letter-spacing:.08em;color:#49656b;margin:0 0 14px\">Vai direttamente alla sezione<\/p><div class=\"wh-toc-grid\" style=\"display:grid;grid-template-columns:repeat(auto-fit,minmax(min(100%,280px),1fr));gap:10px\"><div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#alarmmeldung-richtig-einordnen\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Interpretare correttamente il messaggio di allarme<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#rce-und-betroffene-php-wege\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Cosa consentono tecnicamente le vulnerabilit\u00e0 di PHP<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#risiko-haengt-vom-betrieb-ab\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Perch\u00e9 non tutte le installazioni sono ugualmente a rischio<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#patchstaende-und-supportstatus\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Confronta lo stato di applicazione delle patch e lo stato dell'assistenza<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#web-laufzeit-zuverlaessig-pruefen\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Verificare il tempo di esecuzione effettivo sul web<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#updatewege-nach-betriebsart\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Pianificare i percorsi di aggiornamento in base alla modalit\u00e0 operativa<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#sofortmassnahmen-und-neustarts\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Misure immediate senza false rassicurazioni<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#betrieb-pruefen-und-auffaelligkeiten\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Dopo l'applicazione della patch, verificare il funzionamento e individuare eventuali anomalie<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#prioritaeten-fuer-alte-und-versteckte-installationen\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Dare priorit\u00e0 alle installazioni PHP obsolete e nascoste<\/a><\/div>\n<\/div><\/nav><section class=\"wh-section\" aria-labelledby=\"alarmmeldung-richtig-einordnen\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"alarmmeldung-richtig-einordnen\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Interpretare correttamente il messaggio di allarme<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">L\u2019affermazione secondo cui una vulnerabilit\u00e0 PHP potrebbe interessare \u201emet\u00e0 di Internet\u201c \u00e8 un\u2019esagerazione, ma non un dato quantificato. Non vi \u00e8 alcuna prova che la met\u00e0 di tutti i servizi Internet sia vulnerabile o sia gi\u00e0 stata compromessa. Il rischio effettivo \u00e8 comunque considerevole, poich\u00e9 PHP viene utilizzato come ambiente di esecuzione in molti siti web, negozi online, API e interfacce di amministrazione. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Ci\u00f2 che conta non \u00e8 se un sito web utilizzi PHP, ma quale versione di PHP elabori le sue richieste web. Gli aggiornamenti di sicurezza del 21 ottobre 2026 riguardano, in linea di principio, le installazioni non aggiornate dei rami supportati, a condizione che gestiscano richieste tramite un servizio web. Un'istanza locale di PHP utilizzata per attivit\u00e0 di sviluppo va quindi valutata in modo diverso rispetto a un portale clienti accessibile dall'esterno. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Il sito <strong style=\"font-weight:700;color:inherit\">Visibilit\u00e0 su Internet<\/strong> L'urgenza \u00e8 un fattore determinante. Un negozio accessibile al pubblico con moduli e funzioni di upload offre pi\u00f9 potenziali punti di contatto rispetto a un servizio interno isolato. Tuttavia, nemmeno un servizio interno \u00e8 automaticamente sicuro: accessi VPN, account compromessi o altri sistemi nella rete possono renderlo accessibile. La portata da sola non sostituisce quindi una valutazione tecnica dei rischi.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Altrettanto importanti sono la modalit\u00e0 di funzionamento e <strong style=\"font-weight:700;color:inherit\">Portabiciclette<\/strong>. PHP pu\u00f2 essere eseguito, ad esempio, tramite PHP-FPM, come modulo Apache, tramite php-cgi o integrato in un prodotto. Diversi domini sullo stesso server possono avere versioni e modalit\u00e0 di aggiornamento diverse. Dare un via libera generalizzato a tutti i siti web PHP sarebbe sbagliato tanto quanto supporre che ogni installazione sia immediatamente vulnerabile. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"rce-und-betroffene-php-wege\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"rce-und-betroffene-php-wege\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Cosa consentono tecnicamente le vulnerabilit\u00e0 di PHP<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">A <strong style=\"font-weight:700;color:inherit\">Esecuzione di codice da remoto<\/strong> (RCE) significa che, in determinate condizioni, un malintenzionato pu\u00f2 eseguire codice su un sistema remoto. Secondo la nota di sicurezza, per queste vulnerabilit\u00e0 PHP non \u00e8 necessario effettuare prima l\u2019accesso. Il codice verrebbe inizialmente eseguito con i privilegi del processo web, non automaticamente con diritti di amministratore illimitati. Le possibili conseguenze dipendono quindi in larga misura dai permessi dei file, dalle credenziali di accesso e dall\u2019isolamento del server. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">CVE-2026-109618 riguarda percorsi di errore in <strong style=\"font-weight:700;color:inherit\">Carenza di memoria<\/strong>. Se PHP interrompe una richiesta a causa di una condizione di esaurimento della memoria, le strutture dati interne potrebbero rimanere incomplete. Se tali condizioni vengono riutilizzate durante la pulizia della richiesta, si pu\u00f2 verificare un danneggiamento della memoria. La descrizione ufficiale cita in particolare le richieste multipart, i caricamenti di file e il consumo di memoria durante l\u2019analisi di input annidati come contesti tecnici rilevanti. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">CVE-2026-109619 riguarda invece uno stato interno legato a una richiesta, la cui memoria \u00e8 gi\u00e0 stata liberata. Se un worker riutilizzato elabora successivamente un\u2019altra richiesta, PHP pu\u00f2 accedere a questo stato obsoleto prima che abbia effetto la normale inizializzazione. La nota di sicurezza fa riferimento, tra l\u2019altro, all\u2019avanzamento del caricamento delle sessioni e ai percorsi di errore. Ci\u00f2 descrive la classe di errore, non costituisce una guida allo sfruttamento. <\/p>\n<ul class=\"wh-list\" role=\"list\" style=\"list-style:none;margin:24px 0;padding:0\"><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Possono essere interessate le richieste web tramite PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP e LiteSpeed.<\/li><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Gli errori risiedono nel runtime di PHP, non principalmente in WordPress, Joomla, Shopware, nei temi o nei singoli plugin.<\/li><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">I CMS e i framework influenzano le funzionalit\u00e0 disponibili, come il caricamento dei file, ma non sostituiscono un aggiornamento dell'interprete.<\/li><\/ul><\/section><section class=\"wh-section\" aria-labelledby=\"risiko-haengt-vom-betrieb-ab\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"risiko-haengt-vom-betrieb-ab\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Perch\u00e9 non tutte le installazioni sono ugualmente a rischio<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Il fatto che un servizio sia effettivamente a rischio dipende da diversi fattori. Tra questi, hanno la priorit\u00e0 un runtime web PHP non aggiornato e un servizio web accessibile. Seguono poi la modalit\u00e0 operativa, i processi riutilizzati, le funzioni per gli upload o i moduli complessi, nonch\u00e9 i diritti dell\u2019account del processo web. Un servizio con ampi diritti di scrittura sui file web o con accesso ad altri servizi pu\u00f2 avere conseguenze pi\u00f9 gravi rispetto a un progetto rigorosamente isolato. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">In Apache con <strong style=\"font-weight:700;color:inherit\">mod_php<\/strong> Il progetto PHP sottolinea in particolare il rischio: un attacco documentato pu\u00f2 essere sferrato gi\u00e0 prima dell\u2019esecuzione del codice effettivo dell\u2019applicazione. Un CMS ben mantenuto non protegge quindi dalla vulnerabilit\u00e0 in fase di esecuzione. Ci\u00f2 non significa che PHP-FPM, php-cgi, FrankenPHP o LiteSpeed siano considerati sicuri; anche questi devono essere controllati con priorit\u00e0 se non sono aggiornati con le patch. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Particolare attenzione va inoltre prestata ai prodotti con <strong style=\"font-weight:700;color:inherit\">PHP incorporato<\/strong>. Tra questi possono figurare immagini di container, appliance, sistemi di gestione NAS o prodotti di rete la cui interfaccia utilizza PHP internamente. In questi casi, un comando eseguito sull\u2019host spesso non mostra il runtime effettivamente in uso. Inoltre, l\u2019aggiornamento del sistema operativo non risolve automaticamente la vulnerabilit\u00e0 di un componente PHP presente in un\u2019immagine o in un prodotto del produttore. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Un firewall, un Web Application Firewall o limiti restrittivi di upload possono rendere pi\u00f9 difficili le singole richieste e limitare la superficie di attacco. Tuttavia, non sostituiscono la correzione, poich\u00e9 non risolvono la gestione errata della memoria e dello stato nell\u2019interprete. Anche un CMS privo di errori dipende comunque da un ambiente di esecuzione sicuro. \u00c8 quindi fondamentale verificare e aggiornare lo stato delle patch del PHP che elabora effettivamente le richieste web. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"patchstaende-und-supportstatus\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"patchstaende-und-supportstatus\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Confronta lo stato di applicazione delle patch e lo stato dell'assistenza<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Per entrambe le vulnerabilit\u00e0, ci\u00f2 che conta in primo luogo \u00e8 lo stato delle patch all\u2019interno del ramo PHP in uso. Il progetto PHP indica le versioni corrette specifiche per le serie supportate. I livelli di patch precedenti della stessa serie sono considerati a rischio; l\u2019aggiornamento alla versione indicata o a una versione pi\u00f9 recente di questo ramo costituisce la soluzione completa prevista. <\/p>\n<div class=\"wh-table-scroll\" tabindex=\"0\" role=\"region\" aria-label=\"Rami PHP: stato delle patch e situazione del supporto al 22 ottobre 2026\" style=\"width:100%;max-width:100%;overflow-x:auto;margin:28px 0;border:1px solid #dce5e9;border-radius:14px;background:#fff;box-shadow:0 10px 28px -16px rgba(24,47,60,.32);box-sizing:border-box\"><table style=\"width:100%;min-width:580px;border-collapse:separate;border-spacing:0;border:0;margin:0;font-size:15px;line-height:1.6;background:#fff\"><caption style=\"padding:20px;text-align:start;font-size:17px;line-height:1.5;font-weight:700;color:#173246;background:#fff\">Rami PHP: stato delle patch e situazione del supporto al 22 ottobre 2026<\/caption><thead><tr><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Ramo PHP<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Compreso<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Versione sicura a partire da<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Stato dell'assistenza al 22 ottobre 2026<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Misura raccomandata<\/th><\/tr><\/thead><tbody><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">PHP 8.2<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">8.2.34<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">8.2.35<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Solo aggiornamenti di sicurezza fino al 31 dicembre 2026<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Aggiornare al pi\u00f9 presto almeno alla versione 8.2.35 e pianificare la migrazione.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">PHP 8.3<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">8.3.35<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">8.3.36<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Solo aggiornamenti di sicurezza fino al 31 dicembre 2027<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Aggiornare almeno alla versione 8.3.36.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">PHP 8.4<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">8.4.26<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">8.4.27<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Assistenza attiva fino al 31 dicembre 2026<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Aggiornare almeno alla versione 8.4.27.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">PHP 8.5<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">8.5.11<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">8.5.12<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Assistenza attiva fino al 31 dicembre 2027<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Aggiornare almeno alla versione 8.5.12.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">PHP 8.1 e versioni precedenti<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Nessuna versione upstream regolare e aggiornata<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Nessuna versione fissa regolare disponibile al pubblico<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Non supportato ufficialmente dal progetto PHP<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Verificare il backport del fornitore oppure migrare verso un ramo supportato.<\/td><\/tr><\/tbody><\/table><\/div><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">A <strong style=\"font-weight:700;color:inherit\">Aggiornamento tramite patch<\/strong> rimane nella stessa serie di sviluppo, ad esempio dalla versione 8.3.35 alla 8.3.36. Ha lo scopo di fornire la correzione di sicurezza e presenta un ambito di compatibilit\u00e0 pi\u00f9 ristretto rispetto al passaggio dalla versione 8.2 alla 8.4. Quest\u2019ultimo \u00e8 una migrazione: dipendenze, estensioni, codice applicativo ed eventualmente l\u2019implementazione devono essere verificati separatamente. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">PHP 8.2 rimane utilizzabile per la risoluzione immediata dei problemi, a condizione che sia in esecuzione almeno la versione 8.2.35. Tuttavia, il ramo raggiunger\u00e0 la fine del supporto il 31 dicembre 2026. Pertanto, non \u00e8 consigliabile fermarsi a questa versione: pianifica il passaggio a un ramo con supporto pi\u00f9 lungo, dopo aver verificato la compatibilit\u00e0 dell'applicazione in un ambiente adeguato. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Con PHP 8.1 e versioni precedenti \u00e8 necessaria particolare cautela. Il progetto PHP non fornisce una versione regolare e aggiornata a tal fine; i backport minimi del codice sorgente non sono equiparabili a un pacchetto generalmente disponibile e mantenuto. Un backport di sicurezza documentato dal fornitore del sistema operativo pu\u00f2 essere adeguato, ma richiede una conferma nell\u2019avviso di sicurezza o nel changelog del pacchetto. In assenza di tale conferma, \u00e8 necessaria una migrazione anzich\u00e9 una semplice modifica estetica della versione. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"web-laufzeit-zuverlaessig-pruefen\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"web-laufzeit-zuverlaessig-pruefen\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Verificare il tempo di esecuzione effettivo sul web<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">La verifica della versione inizia con un'analisi dello stato attuale, ma non deve limitarsi alla shell. Su un server gestito autonomamente, i seguenti comandi mostrano la versione del comando PHP eseguito su quel server e i file di configurazione individuati da tale comando. Non modificano n\u00e9 i pacchetti n\u00e9 la configurazione e sono quindi adatti come primo passo di verifica a basso rischio.<\/p>\n<div class=\"wh-code-window\" data-wh-code style=\"margin:28px 0 34px;border:1px solid #2c4656;border-radius:12px;overflow:hidden;background:#132a3b;box-shadow:0 9px 25px -13px rgba(15,35,55,.2)\"><div class=\"wh-code-toolbar\" style=\"display:flex;flex-wrap:wrap;align-items:center;justify-content:space-between;gap:10px;padding:11px 16px;background:#223e50;color:#edf5fa;font-size:13px;line-height:1.5;font-weight:600\"><span>Terminale<\/span><button type=\"button\" class=\"wh-code-copy\" data-wh-copy hidden style=\"padding:6px 11px;border:1px solid #7893a1;border-radius:6px;background:transparent;color:#fff;font-size:12px;line-height:1.5;font-weight:600;cursor:pointer\">Copia il codice<\/button><span class=\"wh-copy-status\" aria-live=\"polite\"><\/span><span data-wh-copy-success hidden>Copiato<\/span><span data-wh-copy-fallback hidden>Codice evidenziato \u2013 copiare<\/span><\/div><pre class=\"wh-code\" data-no-translation translate=\"no\" style=\"display:block;margin:0;padding:20px;max-width:100%;overflow-x:auto;color:#edf5fa;background:#132a3b;font:14px\/1.75 ui-monospace,SFMono-Regular,Menlo,Consolas,monospace;white-space:pre;direction:ltr;text-align:left\"><code class=\"language-bash\" style=\"font:inherit;color:inherit;background:transparent;padding:0;border:0;white-space:inherit\">php -v\nphp --ini<\/code><\/pre><\/div><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">L'output descrive solo il comando richiamato tramite questo comando della shell <strong style=\"font-weight:700;color:inherit\">Runtime CLI<\/strong>. Un sito web pu\u00f2 invece essere gestito tramite PHP-FPM, Apache con mod_php, php-cgi o un container. Questo ambiente di esecuzione web pu\u00f2 utilizzare una versione di PHP e file di configurazione diversi rispetto al comando <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">php -v<\/code> sull'host. Ai fini della valutazione della sicurezza, \u00e8 determinante il processo che elabora le richieste HTTP effettive. <\/p>\n<figure class=\"wp-block-image size-large wh-figure\" aria-describedby=\"wh-caption-detail1\" style=\"display:block;float:none;clear:both;width:100%;max-width:760px;margin:34px auto 40px;border:1px solid #dae5e9;border-radius:14px;overflow:hidden;background:#f5f8fa;box-shadow:0 10px 28px -17px rgba(24,47,60,.28);box-sizing:border-box\"><div class=\"wh-figure-media\" style=\"display:block;background:#eef3f5;line-height:0\"><img loading=\"lazy\" width=\"800\" height=\"534\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/php-webdienst-server-pruefung-73623c2b-detail1-2473e62838-1024x683.webp\" class=\"wp-image-21949\" alt=\"Locale tecnico con hardware server come simbolo per il collaudo dei servizi web PHP.\" decoding=\"async\" srcset=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/php-webdienst-server-pruefung-73623c2b-detail1-2473e62838-1024x683.webp 1024w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/php-webdienst-server-pruefung-73623c2b-detail1-2473e62838-300x200.webp 300w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/php-webdienst-server-pruefung-73623c2b-detail1-2473e62838-768x512.webp 768w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/php-webdienst-server-pruefung-73623c2b-detail1-2473e62838-18x12.webp 18w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/php-webdienst-server-pruefung-73623c2b-detail1-2473e62838.webp 1536w\" sizes=\"auto, (max-width: 800px) 100vw, 800px\" ><\/div><figcaption class=\"wh-caption\" id=\"wh-caption-detail1\" style=\"display:block;margin:0;padding:12px 18px 15px;border-top:1px solid #dce5e9;color:#506575;background:#f5f8fa;font-size:14px;line-height:1.55;text-align:start\">Immagine simbolica generata dall'IA: la versione di PHP deve essere verificata sul servizio che elabora le richieste web.<\/figcaption><\/figure><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Nel managed hosting, quindi, controlla nel pannello clienti la versione PHP selezionata per ogni progetto o dominio e, se necessario, verifica lo stato delle patch del servizio fornito. In caso di pi\u00f9 domini, \u00e8 necessario controllare singolarmente ogni assegnazione: un dominio principale potrebbe gi\u00e0 utilizzare il ramo aggiornato, mentre un negozio online, un\u2019istanza di staging o un sottodominio potrebbero ancora utilizzare un interprete pi\u00f9 vecchio.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Sui server con PHP-FPM, la configurazione del servizio, l'inventario dei pacchetti e la documentazione relativa alla distribuzione vanno considerati come un unico insieme. Negli ambienti containerizzati, devi inoltre verificare l'immagine effettivamente distribuita e non solo un manifesto di build locale. \u00c8 fondamentale stabilire quale revisione nel pod o nel container in esecuzione accetta le richieste web; un'immagine di base aggiornata non protegge un'istanza precedente gi\u00e0 in esecuzione. <\/p>\n<aside class=\"wh-callout wh-callout-warning\" style=\"display:block;margin:28px 0;padding:20px 23px;border:1px solid #d1e4dd;border-left:4px solid #187065;border-radius:11px;background:#f0f7f4\"><p class=\"wh-callout-title\" style=\"margin:0 0 8px;color:#1c5c53;font-size:16px;font-weight:700;line-height:1.5\">Nessuna pagina pubblica dedicata alle diagnosi<\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Una pagina accessibile al pubblico <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">phpinfo()<\/code>- Questa pagina non \u00e8 un metodo di verifica standard consigliabile. Potrebbe rivelare informazioni relative alla versione, ai moduli, ai percorsi e alla configurazione. Utilizza invece le opzioni disponibili nel pannello di controllo dell\u2019hosting, la gestione del server o la documentazione operativa protetta internamente.<\/p>\n<\/aside><\/section><section class=\"wh-section\" aria-labelledby=\"updatewege-nach-betriebsart\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"updatewege-nach-betriebsart\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Pianificare i percorsi di aggiornamento in base alla modalit\u00e0 operativa<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">La procedura di aggiornamento pi\u00f9 adeguata dipende da chi fornisce l\u2019interprete e da dove viene utilizzato. Solo una volta chiarita questa ambito di responsabilit\u00e0 \u00e8 possibile decidere in modo affidabile se sia necessario un cambio di pannello, un aggiornamento del pacchetto, una nuova immagine o un aggiornamento del produttore. La seguente classificazione distingue questi casi senza equiparare le modalit\u00e0 operative in termini di rischio.<\/p>\n<div class=\"wh-table-scroll\" tabindex=\"0\" role=\"region\" aria-label=\"Verifica della versione e aggiornamento in base alla modalit\u00e0 operativa di PHP\" style=\"width:100%;max-width:100%;overflow-x:auto;margin:28px 0;border:1px solid #dce5e9;border-radius:14px;background:#fff;box-shadow:0 10px 28px -16px rgba(24,47,60,.32);box-sizing:border-box\"><table style=\"width:100%;min-width:580px;border-collapse:separate;border-spacing:0;border:0;margin:0;font-size:15px;line-height:1.6;background:#fff\"><caption style=\"padding:20px;text-align:start;font-size:17px;line-height:1.5;font-weight:700;color:#173246;background:#fff\">Verifica della versione e aggiornamento in base alla modalit\u00e0 operativa di PHP<\/caption><thead><tr><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Modalit\u00e0 di funzionamento<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Dove posso verificare la versione effettiva?<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Chi effettua l'aggiornamento?<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Caratteristica tipica<\/th><\/tr><\/thead><tbody><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">hosting condiviso<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Gruppo di clienti per dominio o progetto; informazioni fornite dal provider di hosting<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Fornitore di hosting o cliente tramite selezione condivisa<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Le assegnazioni PHP possono variare da un dominio all'altro.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">PHP-FPM su Linux<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Pool FPM, pacchetti installati, configurazione dei servizi e dell'implementazione<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Amministrazione dei server o distribuzione<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">La versione del pacchetto pu\u00f2 contenere un backport di sicurezza documentato.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Apache con mod_php<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Configurazione dei moduli Apache e pacchetti installati<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Amministrazione dei server o distribuzione<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Descritto dal progetto PHP con particolare attenzione ai rischi.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Contenitore<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Immagine in esecuzione, tag immagine o digest, nonch\u00e9 runtime del contenitore<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Team per la creazione e la distribuzione<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Gli aggiornamenti dell'host non modificano automaticamente il codice PHP incorporato nell'immagine.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">PHP integrato nel prodotto<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Documentazione del produttore, versione del prodotto e avviso di sicurezza<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Produttori o gestione dei prodotti<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">PHP pu\u00f2 far parte di un'appliance senza che sia necessaria un'installazione visibile separatamente.<\/td><\/tr><\/tbody><\/table><\/div><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Nel caso dell\u2019hosting condiviso, il provider dovrebbe fornire il livello di patch di sicurezza per la versione PHP selezionata; l\u2019amministratore verifica poi l\u2019applicazione. Con PHP-FPM o mod_php, l\u2019amministratore di norma aggiorna i pacchetti e successivamente riavvia in modo controllato il servizio effettivamente interessato. Un semplice riavvio senza l\u2019applicazione della correzione non sostituisce l\u2019aggiornamento. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Le distribuzioni Linux forniscono spesso le correzioni di sicurezza sotto forma di <strong style=\"font-weight:700;color:inherit\">Backport<\/strong>. In tal caso, il numero di versione visibile del pacchetto potrebbe differire da quello delle versioni pubblicate su php.net, sebbene la correzione sia inclusa. Pertanto, non limitarti a confrontare stringhe come \u201e8.4.26\u201c, ma leggi l\u2019avviso di sicurezza e il changelog del distributore. Il progetto PHP sottolinea che le distribuzioni e i fornitori di versioni LTS possono ricevere le patch. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">I container richiedono una procedura specifica: creare un\u2019immagine corretta o scaricarla dal fornitore, distribuirla e sostituire le vecchie istanze. Nel caso delle interfacce NAS, dei dispositivi di rete o delle applicazioni web pronte all\u2019uso, la correzione spetta invece al produttore del prodotto. Una patch del sistema operativo host non raggiunge necessariamente l\u2019interprete integrato; l\u2019inventario e le indicazioni del produttore rimangono quindi indispensabili. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"sofortmassnahmen-und-neustarts\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"sofortmassnahmen-und-neustarts\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Misure immediate senza false rassicurazioni<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Il giorno dell\u2019aggiornamento, per prima cosa crea un inventario completo: domini, API, interfacce di gestione, container e prodotti che potrebbero contenere PHP integrato. Per ogni servizio, annota la modalit\u00e0 operativa web, il canale di aggiornamento responsabile e il runtime PHP effettivamente utilizzato. Successivamente, verr\u00e0 data priorit\u00e0 a ogni servizio accessibile pubblicamente o critico per l\u2019azienda, non solo al server con il numero di versione pi\u00f9 evidente. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Successivamente, installa l'aggiornamento di sicurezza rilasciato dal provider di hosting, dal distributore Linux, dal produttore dell'immagine o del prodotto. Per i rami PHP supportati, l'aggiornamento allo stato delle patch corrette costituisce la soluzione completa; un WAF, le regole di upload o il riavvio del server web non lo sostituiscono. Organizza la procedura in modo tale che l\u2019aggiornamento del pacchetto, dell\u2019immagine o del produttore sia documentato in modo tracciabile e possa essere risalito in caso di problemi. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Dopo l'aggiornamento \u00e8 necessario <strong style=\"font-weight:700;color:inherit\">tutti i vecchi lavoratori<\/strong> devono essere terminati e sostituiti da processi che abbiano comprovatamente caricato il runtime aggiornato. Utilizza un ricaricamento solo se la gestione specifica del servizio garantisce questa sostituzione completa; in caso contrario, \u00e8 necessario un riavvio controllato. Verifica quindi gli orari di avvio dei processi, lo stato dei servizi o il runtime web rilevato internamente, invece di limitarti a dare per scontata la sostituzione. Nel caso dei container, distribuisci l\u2019immagine corretta ed elimina tutte le vecchie istanze. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Verifica quindi i flussi applicativi principali quali la registrazione, i moduli, i caricamenti, il checkout e le API. I test dimostrano se l\u2019applicazione e le estensioni funzionano con le patch aggiornate; tuttavia, da soli non provano n\u00e9 la sostituzione completa dei worker n\u00e9 l\u2019assenza di una precedente compromissione. Questi aspetti devono essere valutati separatamente tramite verifiche operative e di sicurezza.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Se non \u00e8 possibile applicare una patch in tempi brevi, alcune impostazioni possono limitare le vie di attacco note, ma non garantiscono una sicurezza totale. La disattivazione dell\u2019indicatore di avanzamento del caricamento deve essere effettiva prima dell\u2019analisi di una richiesta. Verifica in anticipo se le applicazioni o le interfacce necessitano di questa barra di avanzamento, quindi riavvia ogni worker PHP interessato. Verifica infine che nessun processo precedente continui a funzionare con l\u2019impostazione precedente. <\/p>\n<div class=\"wh-code-window\" data-wh-code style=\"margin:28px 0 34px;border:1px solid #2c4656;border-radius:12px;overflow:hidden;background:#132a3b;box-shadow:0 9px 25px -13px rgba(15,35,55,.2)\"><div class=\"wh-code-toolbar\" style=\"display:flex;flex-wrap:wrap;align-items:center;justify-content:space-between;gap:10px;padding:11px 16px;background:#223e50;color:#edf5fa;font-size:13px;line-height:1.5;font-weight:600\"><span>Codice<\/span><button type=\"button\" class=\"wh-code-copy\" data-wh-copy hidden style=\"padding:6px 11px;border:1px solid #7893a1;border-radius:6px;background:transparent;color:#fff;font-size:12px;line-height:1.5;font-weight:600;cursor:pointer\">Copia il codice<\/button><span class=\"wh-copy-status\" aria-live=\"polite\"><\/span><span data-wh-copy-success hidden>Copiato<\/span><span data-wh-copy-fallback hidden>Codice evidenziato \u2013 copiare<\/span><\/div><pre class=\"wh-code\" data-no-translation translate=\"no\" style=\"display:block;margin:0;padding:20px;max-width:100%;overflow-x:auto;color:#edf5fa;background:#132a3b;font:14px\/1.75 ui-monospace,SFMono-Regular,Menlo,Consolas,monospace;white-space:pre;direction:ltr;text-align:left\"><code class=\"language-ini\" style=\"font:inherit;color:inherit;background:transparent;padding:0;border:0;white-space:inherit\">session.upload_progress.enabled = 0<\/code><\/pre><\/div><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Anche l'impostazione di limiti conservativi per i dati POST e altre opzioni indicate nel bollettino di sicurezza possono ridurre solo in parte la superficie di attacco. Letti in ritardo <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">.user.ini<\/code>-file o un <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">ini_set()<\/code> all\u2019interno dell\u2019applicazione non sono sufficienti per questa configurazione. Considera tali misure come una riduzione temporanea del rischio e mantieni l\u2019aggiornamento di sicurezza come obiettivo. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Da ci\u00f2 va distinta la normale gestione delle sessioni salvate. Il contributo alla <a href=\"https:\/\/webhosting.de\/it\/https-webhosting-de-php-sessione-garbage-collection-ottimizzazione-prestazioni\/\">Garbage collection delle sessioni PHP<\/a> spiega come la pulizia, gli accessi ai file e i worker interagiscano durante il normale funzionamento. Tuttavia, questa ottimizzazione operativa non risolve le vulnerabilit\u00e0 qui trattate e non sostituisce n\u00e9 la versione corretta della patch PHP n\u00e9 la successiva sostituzione dei processi in esecuzione.<\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"betrieb-pruefen-und-auffaelligkeiten\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"betrieb-pruefen-und-auffaelligkeiten\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Dopo l'applicazione della patch, verificare il funzionamento e individuare eventuali anomalie<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Un aggiornamento dei pacchetti completato con successo dimostra, in un primo momento, solo che sono stati installati dei file o dei pacchetti. Non conferma n\u00e9 che il processo web abbia caricato il nuovo runtime, n\u00e9 che l\u2019applicazione funzioni correttamente con esso. Verifica quindi, dopo il riavvio, il runtime web rilevante per il servizio e documenta l'ora, la versione, il servizio riavviato e il risultato del controllo di funzionamento. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Il test funzionale dovrebbe coprire i processi chiave reali: pagine pubbliche importanti, accesso e disconnessione, invio di moduli, caricamento di file, checkout o prenotazione, nonch\u00e9 endpoint API e attivit\u00e0 in background. Testa solo le operazioni per le quali disponi delle autorizzazioni necessarie e, nel caso di negozi online in produzione, utilizza, per quanto possibile, i dati di test previsti a tale scopo. Controlla contemporaneamente i log del server web, di PHP e dell\u2019applicazione per individuare eventuali nuovi errori, arresti anomali ricorrenti o codici di stato inattesi.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">\u00c8 necessario un nuovo inizio per creare processi duraturi e <strong style=\"font-weight:700;color:inherit\">Lavoratore<\/strong> caricare il codice aggiornato, ma non genera di per s\u00e9 una correzione. Senza l\u2019aggiornamento installato, la vulnerabilit\u00e0 rimane. In caso di carico elevato, la finestra di manutenzione dovrebbe essere scelta in modo tale che le richieste possano essere elaborate in modo ordinato e che gli effetti del riavvio di un worker rimangano osservabili. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">L'impatto di un riavvio controllato sulla velocit\u00e0 di elaborazione dipende dal numero e dal carico dei processi PHP. Ai fini della pianificazione, \u00e8 utile tenere conto delle code, dei lavori in corso e delle transazioni critiche, anzich\u00e9 terminare i processi in modo non coordinato. La guida <a href=\"https:\/\/webhosting.de\/it\/php-workers-hosting-collo-di-bottiglia-guida-allequilibrio\/\">Capire i worker PHP<\/a> spiega il ruolo di questi processi nelle richieste dinamiche parallele.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Se dopo l'applicazione della patch si verificano anomalie, distinguere tra errori di compatibilit\u00e0 dell'applicazione e un'implementazione incompleta. Confrontare la configurazione, le estensioni attivate e il runtime web con lo stato precedente alla manutenzione. Un rollback non deve comportare che un servizio accessibile pubblicamente rimanga permanentemente in uno stato vulnerabile; in tal caso, definire rapidamente un percorso di aggiornamento compatibile e corretto.<\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"prioritaeten-fuer-alte-und-versteckte-installationen\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"prioritaeten-fuer-alte-und-versteckte-installationen\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Dare priorit\u00e0 alle installazioni PHP obsolete e nascoste<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">\u00c8 necessario prestare particolare attenzione ai sistemi in cui PHP non \u00e8 visibile come runtime installato intenzionalmente: immagini Docker, appliance virtuali, NAS e interfacce di rete, nonch\u00e9 prodotti software gi\u00e0 pronti. Un aggiornamento dell\u2019host non aggiorna automaticamente n\u00e9 un\u2019immagine container n\u00e9 il runtime integrato in un prodotto del produttore. \u00c8 quindi opportuno chiedere specificatamente al produttore una valutazione e un aggiornamento di sicurezza per il prodotto in questione. <\/p>\n<figure class=\"wp-block-image size-large wh-figure\" aria-describedby=\"wh-caption-detail2\" style=\"display:block;float:none;clear:both;width:100%;max-width:760px;margin:34px auto 40px;border:1px solid #dae5e9;border-radius:14px;overflow:hidden;background:#f5f8fa;box-shadow:0 10px 28px -17px rgba(24,47,60,.28);box-sizing:border-box\"><div class=\"wh-figure-media\" style=\"display:block;background:#eef3f5;line-height:0\"><img loading=\"lazy\" width=\"800\" height=\"534\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/eingebettetes-php-appliance-herstellerhinweis-73623c2b-detail2-208e5385a5-1024x683.webp\" class=\"wp-image-21950\" alt=\"L&#039;amministratore verifica le informazioni fornite dal produttore relative a un dispositivo di rete con PHP integrato.\" decoding=\"async\" srcset=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/eingebettetes-php-appliance-herstellerhinweis-73623c2b-detail2-208e5385a5-1024x683.webp 1024w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/eingebettetes-php-appliance-herstellerhinweis-73623c2b-detail2-208e5385a5-300x200.webp 300w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/eingebettetes-php-appliance-herstellerhinweis-73623c2b-detail2-208e5385a5-768x512.webp 768w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/eingebettetes-php-appliance-herstellerhinweis-73623c2b-detail2-208e5385a5-18x12.webp 18w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/eingebettetes-php-appliance-herstellerhinweis-73623c2b-detail2-208e5385a5.webp 1536w\" sizes=\"auto, (max-width: 800px) 100vw, 800px\" ><\/div><figcaption class=\"wh-caption\" id=\"wh-caption-detail2\" style=\"display:block;margin:0;padding:12px 18px 15px;border-top:1px solid #dce5e9;color:#506575;background:#f5f8fa;font-size:14px;line-height:1.55;text-align:start\">Immagine simbolica generata dall'IA: nel caso delle appliance, \u00e8 necessario verificare la valutazione del produttore e la procedura di aggiornamento specifica per il prodotto; l'immagine non illustra una procedura di aggiornamento generica.<\/figcaption><\/figure><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Per i rami obsoleti occorre distinguere chiaramente tre casi. Una versione di PHP con supporto regolare riceve gli aggiornamenti di sicurezza pubblicati dal progetto PHP. Un backport di distribuzione o di un fornitore pu\u00f2 contenere la correzione nonostante il numero di versione visibile sia diverso, ma deve essere documentato dall'avviso di sicurezza o dal changelog di tale fornitore. Il codice sorgente gestito autonomamente, invece, richiede che l\u2019utente si assuma la responsabilit\u00e0 della compilazione, del collaudo e del funzionamento; non costituisce un sostituto equivalente di un canale di aggiornamento regolare. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">PHP 8.1 e i rami precedenti non ricevono pi\u00f9 rilasci regolari dall'upstream. Per PHP 8.2 \u00e8 disponibile una versione corretta, ma il ramo raggiunger\u00e0 la fine del supporto alla fine del 2026. Utilizza una correzione disponibile per risolvere la situazione urgente, ma per le versioni obsolete o in scadenza pianifica inoltre un aggiornamento testato <strong style=\"font-weight:700;color:inherit\">Migrazione<\/strong> su un ramo con supporto pi\u00f9 lungo. <\/p>\n<ol class=\"wh-list\" role=\"list\"><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Aggiornare innanzitutto i servizi accessibili pubblicamente con un runtime PHP non aggiornato, soprattutto se sono disponibili funzioni di caricamento o di amministrazione.<\/li><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Utilizzare Apache con mod_php e gestire subito dopo negozi online, API o portali clienti di importanza critica per l'azienda; l'avviso di sicurezza ufficiale evidenzia un rischio particolarmente critico per mod_php.<\/li><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Registrare container, appliance e prodotti di terze parti sulla base di immagini, inventario e stato del produttore; l'assenza di pacchetti PHP visibili non \u00e8 un segnale di sicurezza.<\/li><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Isolare i servizi non supportati o per i quali non \u00e8 possibile applicare tempestivamente le patch e limitarne l'accesso, pianificando al contempo in modo vincolante la sostituzione, l'aggiornamento o la migrazione.<\/li><\/ol><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">La segmentazione della rete, l\u2019obbligo di utilizzare una VPN o regole di accesso restrittive possono far guadagnare tempo nel caso in cui le interfacce di gestione non possano essere aggiornate immediatamente. Tuttavia, sono solo <strong style=\"font-weight:700;color:inherit\">Misure transitorie<\/strong>, poich\u00e9 gli account utente interni, i dispositivi compromessi e le condivisioni configurate in modo errato possono continuare a costituire vie di attacco. Se per un prodotto non viene offerta alcuna correzione o se il ramo PHP \u00e8 definitivamente fuori dal supporto, la scelta pi\u00f9 sicura \u00e8 quella di sostituirlo o di effettuare la migrazione. <\/p>\n<\/section><section class=\"wh-sources\" style=\"margin:40px 0 0;padding:24px 0 0;border-top:1px solid #dce5e9;color:#596b7b;font-size:14px;line-height:1.65\"><h2 style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Fonti e stato dell'arte<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Stato della ricerca: <time datetime=\"2026-10-22\">2026-10-22<\/time><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Aggiornamento della ricerca: 22 ottobre 2026. Le informazioni relative alle patch e al supporto si riferiscono alle fonti PHP e CERT-EU fornite; nel caso dei pacchetti di distribuzione, \u00e8 necessario verificare separatamente i backport di sicurezza documentati.<\/p><div class=\"wh-source-urls\"><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/www.php.net\/archive\/2026.php<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/github.com\/php\/php-src\/security\/advisories\/GHSA-w8hw-w9fx-j79w<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/cert.europa.eu\/publications\/security-advisories\/2026-018\/<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/www.php.net\/supported-versions.php<\/span><\/p><\/div><\/section><\/div>","protected":false},"excerpt":{"rendered":"<p>Le vulnerabilit\u00e0 critiche di PHP possono mettere a rischio i servizi web non aggiornati. Scopri quali livelli di patch sono necessari, perch\u00e9 il tempo di esecuzione web \u00e8 importante e come pianificare gli aggiornamenti in modo sicuro.<\/p>","protected":false},"author":1,"featured_media":21948,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"inline_featured_image":false,"footnotes":""},"categories":[780],"tags":[],"class_list":["post-21942","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administration-anleitungen"],"acf":[],"_wp_attached_file":null,"_wp_attachment_metadata":null,"surfer_file_name":null,"surfer_file_original_url":null,"_wp_attachment_image_alt":null,"litespeed-optimize-set":null,"litespeed-optimize-size":null,"_oembed_b5e1eb923ad3b086e579b1befcd4075c":null,"_elementor_source_image_hash":null,"stockpack_author_name":null,"stockpack_author_url":null,"stockpack_provider":null,"stockpack_image_url":null,"stockpack_license":null,"stockpack_license_url":null,"stockpack_modification":null,"color":null,"original_id":null,"original_url":null,"original_link":null,"unsplash_location":null,"unsplash_sponsor":null,"unsplash_exif":null,"unsplash_attachment_metadata":null,"_elementor_is_screenshot":null,"_source_url":null,"_elementor_migrations_state_8b2d":null,"envato_tk_source_kit":null,"envato_tk_source_index":null,"envato_tk_manifest":null,"envato_tk_folder_name":null,"envato_tk_builder":null,"envato_elements_download_event":null,"_menu_item_type":null,"_menu_item_menu_item_parent":null,"_menu_item_object_id":null,"_menu_item_object":null,"_menu_item_target":null,"_menu_item_classes":null,"_menu_item_xfn":null,"_menu_item_url":null,"_trp_menu_languages":null,"rank_math_primary_category":"780","_wh_make_key":"wh_73623c2bee09ad78865933f53c9d4892","rank_math_internal_links_processed":"1","_wh_make_topic":"PHP Sicherheitsl\u00fccke - Wie das halbe Internet gehackt werden kann","_wh_make_input_keywords":["php-sicherheit","hacker","php","updates"],"_wh_make_config":{"research_model":"gpt-5.6-terra","writer_model":"gpt-5.6-terra","review_model":"gpt-5.6-sol","image_model":"gpt-image-2.5-flare","image_quality":"high","image_format":"webp","final_status":"draft","charts_enabled":true},"_wh_make_links":{"I1":{"id":"I1","post_id":16509,"url":"https:\/\/webhosting.de\/https-webhosting-de-php-session-garbage-collection-optimierung-performance\/","title":"PHP Session Garbage Collection: perch\u00e9 pu\u00f2 bloccare il tuo sito web","excerpt":"Il garbage collector delle sessioni PHP pu\u00f2 bloccare le richieste perch\u00e9, durante la pulizia di decine di migliaia di file di sessione, occupa a lungo il processo PHP, costringendo cos\u00ec le altre richieste a rimanere in attesa. Vi mostrer\u00f2 come la pulizia probabilistica, i blocchi dei file e l'I\/O lento causino ritardi percepibili e come io riesca a evitare questi rallentamenti grazie a impostazioni chiare, cron job e memoria RAM, in modo che il sito web rimanga fluido. Punti chiave: causa del problema: GC probabilistico, I\/O dei file e blocchi causano tempi di attesa. Fattore di rischio: un numero elevato di sessioni (ad es. 170.000) allunga ogni ciclo di GC. WordPress: l\u2019area di amministrazione e Heartbeat aggravano i ritardi. Hosting: RAM, SSD e isolamento riducono i costi della GC. Soluzione: la pulizia tramite cron e Redis accelerano le richieste. Spiegazione sintetica della Garbage Collection delle sessioni PHP Le sessioni memorizzano i dati di stato tra una richiesta e l\u2019altra, solitamente come file nel filesystem. La Garbage Collection rimuove i file obsoleti la cui data di modifica \u00e8 precedente a session.gc_maxlifetime, spesso pari a 1440 secondi. Per impostazione predefinita, PHP avvia questa pulizia in modo probabilistico tramite session.gc_probability e session.gc_divisor, spesso con una frequenza di 1 su 1000 chiamate. Sembra innocuo, ma in caso di traffico intenso capita sempre a qualcuno di dover sopportare l\u2019intero ciclo. Pi\u00f9 file sono presenti nella directory delle sessioni, pi\u00f9 a lungo la pulizia blocca il processo. Perch\u00e9 la pulizia blocca le richieste? Un ciclo di GC deve scorrere la directory delle sessioni, controllare ogni file ed eliminare le voci obsolete, il che, in presenza di I\/O lento, richiede rapidamente diversi secondi. Se sono presenti 170.000 file, vengono eseguite molte chiamate di sistema in sequenza che gravano su CPU, RAM e spazio di archiviazione. I processi PHP avviati in parallelo a volte tentano di eseguire la cancellazione contemporaneamente, causando ulteriori blocchi dei file. Ci\u00f2 aggrava i tempi di attesa, poich\u00e9 i processi si rallentano o si bloccano a vicenda. Chi approfondisce l\u2019argomento del blocco delle sessioni si rende conto di quanto il blocco influenzi il profilo dei tempi di risposta e faccia aumentare il \u00abTime-to-First-Byte\u00bb, specialmente durante i picchi di carico, che intendo evitare disaccoppiando il GC. WordPress: pagine di amministrazione lente a causa delle sessioni L\u2019area di amministrazione richiede pi\u00f9 risorse CPU e pi\u00f9 accessi al database rispetto al front-end, il che rende percepibile ogni ritardo aggiuntivo"},"I2":{"id":"I2","post_id":13013,"url":"https:\/\/webhosting.de\/php-workers-hosting-flaschenhals-ratgeber-balance\/","title":"Capire i lavoratori PHP: Cosa sono e quando diventano un collo di bottiglia","excerpt":"I worker PHP sono processi indipendenti che eseguono codice PHP e, di conseguenza, elaborano ogni richiesta dinamica di un sito web. Se un numero eccessivo di richieste non memorizzate nella cache raggiunge contemporaneamente il server, i worker disponibili occupano tutti gli slot, si forma una coda e il collo di bottiglia provoca tempi di risposta lunghi, picchi di TTFB ed errori. Punti chiave Riassumo in modo sintetico i seguenti concetti fondamentali, affinch\u00e9 tu possa prendere rapidamente le decisioni giuste in materia di prestazioni e capacit\u00e0. Definizione: i worker PHP elaborano le richieste in modo seriale, una sola richiesta per worker alla volta. Colli di bottiglia: un numero insufficiente di worker genera code, il TTFB aumenta e si rischia il timeout. Risorse: i worker richiedono core della CPU; un rapporto errato causa il context switching. Caching: pi\u00f9 hit provengono dalla cache, minore \u00e8 il carico sui worker durante i picchi di traffico. Scalabilit\u00e0: adattare il numero di worker al profilo della pagina, ai plugin e alle interazioni. Cosa sono i worker PHP nel contesto dell\u2019hosting? Considero i worker PHP come camerieri digitali che gestiscono singolarmente ogni richiesta dinamica. Un worker legge lo script PHP, esegue le query sul database e costruisce da esse il codice HTML per il browser. Quando un\u2019attivit\u00e0 \u00e8 in esecuzione, il worker rimane impegnato fino al suo completamento e solo allora torna disponibile; non lavora in parallelo. In WordPress, i worker si occupano anche di attivit\u00e0 ricorrenti come i cron job, l\u2019invio di e-mail e i controlli di sicurezza. Proprio per questo motivo, il numero e la qualit\u00e0 dei worker influenzano enormemente la velocit\u00e0 percepita di un sito web. Quando e perch\u00e9 si verifica il collo di bottiglia dei worker? Si verifica un collo di bottiglia non appena il numero di richieste non memorizzate nella cache che arrivano contemporaneamente supera il numero di worker disponibili. Ogni ulteriore richiesta finisce quindi in una coda, in attesa di uno slot libero. Ci\u00f2 aumenta il Time To First Byte, allunga i tempi di caricamento e pu\u00f2 causare l\u2019interruzione dei processi di checkout. Nei negozi online o nelle aree riservate ai membri, i contenuti personalizzati aggravano la situazione, poich\u00e9 la cache non \u00e8 in grado di fornire molte risposte, trasferendo cos\u00ec il carico direttamente sui worker. In questa situazione, ottengo i migliori risultati grazie a un caching mirato, a plugin ottimizzati e a un rapporto equilibrato tra worker e CPU. Sintomi riconosciuti"},"I3":{"id":"I3","post_id":17876,"url":"https:\/\/webhosting.de\/wordpress-opcode-cache-performant-serverboost-perf\/","title":"Perch\u00e9 WordPress non pu\u00f2 essere utilizzato ad alte prestazioni senza una cache degli opcode","excerpt":"La cache OPcode di WordPress determina se il tuo sito ricompila il codice PHP ad ogni richiesta o lo esegue direttamente dalla RAM. Ti spiego perch\u00e9 l\u2019assenza di OPcache sovraccarica la CPU, aumenta il TTFB e limita fortemente la scalabilit\u00e0. Punti chiave Prima di entrare nei dettagli, riassumo in modo chiaro e conciso le informazioni pi\u00f9 importanti, affinch\u00e9 tu possa individuare immediatamente le leve per migliorare le prestazioni. Senza OPcache, PHP ricompila il codice ad ogni richiesta, il che comporta tempi di attesa e spreco di risorse, rendendo le pagine poco reattive. Con OPcache attivato, il bytecode e i percorsi di codice vengono eseguiti dalla memoria, il che accelera il tempo di risposta alle richieste e riduce la frequenza dei picchi di carico. In combinazione con il caching di pagine e oggetti, OPcache aumenta l\u2019efficienza e garantisce la necessaria stabilit\u00e0 dell\u2019infrastruttura. Se configurato correttamente, OPcache aumenta sensibilmente il numero di utenti gestibili per core del server e riduce il tasso di errore durante i picchi. Questi aspetti fanno la differenza tra un sistema lento e un\u2019installazione veloce con prestazioni affidabili. OPcache riduce i tempi di compilazione e stabilizza il TTFB. Il carico della CPU diminuisce, mentre la capacit\u00e0 per core aumenta. La scalabilit\u00e0 \u00e8 garantita e i picchi rimangono gestibili. PHP 8+ offre prestazioni aggiuntive. Il monitoraggio tiene sotto controllo l\u2019hit rate e la memoria. Perch\u00e9 WordPress rallenta senza la cache opcode? Ad ogni visualizzazione di una pagina, WordPress carica numerosi file PHP che, senza OPcache, vengono ogni volta analizzati, convertiti in un albero sintattico e ricompilati in bytecode, il che allunga inutilmente il tempo di elaborazione. Durante gli audit riscontro regolarmente tempi di esecuzione da due a tre volte superiori, poich\u00e9 le stesse routine per ogni richiesta ripartono completamente da zero, generando cos\u00ec un carico termico sulla CPU. Questa ripetizione blocca i worker FPM, ritarda le risposte e fa aumentare vertiginosamente il TTFB. In caso di accessi simultanei, la velocit\u00e0 di trasmissione cala, mentre il tasso di errore (502\/504) aumenta nei picchi. Pi\u00f9 plugin e temi pesanti sono coinvolti, pi\u00f9 si avverte l\u2019impatto di ogni singolo accesso alla cache. Ecco come funziona OPcache nel dettaglio: OPcache memorizza il bytecode PHP compilato nella memoria condivisa e, se i timestamp rimangono invariati, fornisce lo stesso codice direttamente dalla RAM, evitando cos\u00ec gli accessi al disco e la ricompilazione."}},"_wh_make_stage":"entwurf","_wh_make_research_date":"2026-10-22","_wh_make_sitemap_info":{"index":"https:\/\/webhosting.de\/sitemap_index.xml","sitemaps":["https:\/\/webhosting.de\/post-sitemap1.xml","https:\/\/webhosting.de\/post-sitemap2.xml","https:\/\/webhosting.de\/post-sitemap3.xml","https:\/\/webhosting.de\/post-sitemap4.xml"],"url_count":3118,"fetched_at":"2026-10-22T06:00:26+00:00","selected_ids":[16509,13013,17876]},"_wh_make_draft_hash":"009ed5beba52019f0d3c8834a0ffd6c0a8479510491a398e7cc06f96ec23b4f9","_wh_make_work":{"version":"2.1","identity":{"sheet_ref":"1VMjxV8Q73i0Q1HO6s-u4jNHVRF0snliGCeg97intLPs","sheet_name":"Tabellenblatt1","external_id":"1414","topic":"PHP Sicherheitsl\u00fccke - Wie das halbe Internet gehackt werden kann","keywords":["php-sicherheit","hacker","php","updates"],"category_input":"780"},"config":{"research_model":"gpt-5.6-terra","writer_model":"gpt-5.6-terra","review_model":"gpt-5.6-sol","image_model":"gpt-image-2.5-flare","image_quality":"high","image_format":"webp","final_status":"draft","charts_enabled":true},"phase":"done","pending":null,"receipts":{"049326eb0022c51ec75705a9ab0dc91c":"dcc79ca91faca7756ca4d716471a59e4747bf925f7cde369ca67d4a153486550","efd206707ede9c95767952be2ce2da88":"d1bcc8bcda7f0b68aebaf5a275eb3eee174c844870cec340c011b5e5b9f4e9ad","2dd8dcbb862352557970aba0c9df0fa6":"78fc8155f6b4da415c54300caec6d6644eb93a266f724a111b6cd2ea1cf64e29","1b74d36fe89db4f706c0f5b108857581":"e41ad907ef95044a55135a0c4419badafce20fd2c7adaacafebed361f58a82ed","c5d5baec87d73f08bc250f5fdcc4ac0e":"61a2bdd3c107daa3dfc8c81b496c42584cbc63635911646fdadaa980b909d7f2","60101f5704ba397cc3dd7d1514aaa077":"2d717cd1892f86b40fc386d00cf9c6d584b2fb7710f605e7d25b1e779bf85020","1bee2c84a03102f115fa970ff41920e6":"54a861f0d7356b0f784b500b82cc76f9636fe984a63ee5938de021a8dc8d7866","a07463940f4a368f0c2e1c8a5345b1a6":"80cf6a6a56c06cee08e4bd2e684e4ffa92a43216b8f5eaa720ce228aeb7dc9b7","1c6673629e91389d8ed9a449e7e2fb04":"7db5f10f317f0ab2d1e87361fe60ac97e36376bd4d0716aebaea45450c09d320","93de3781567c1a226ece4aea06087f48":"c622f6d0b5eb8640a331dede243f0ed19c812bd0b174a05cb1a2afe0d0bcb565","bd80cd2fe1f3ee4b40afcae495694b4e":"cefc06f5082264c3670ec4d07794bbebbb6a8c4217d4aa6c44d1b1b3b59a1623","ce819983f5a310d651f9eb5333ef27a8":"81d8a1dbdee8507238481a7e8166ee19250ceace89862d57ec3553cdd8c6a751","cffabe60a69f05be258549a8fade2e03":"e7f1432b43925186f9702369d0ac13827e66395afe05321cf303738e9ac104ba","ede4208f30671e2313fd2812f5edc940":"cfaf3d2308600086faf3912ffde9f69b5274570dc89a0fc3bfbd65e9626082b0","6ba43b14832b1cb17e0aed6c0ee8137b":"77aa7f08d5834f9a5344e0985d5ab063b2f8e0807907bedf7ad3beb355cdfed8","f50504a055a4413970b9a679aae5f067":"a5461a6d46a60a79c47305053e6b0e21467df2ca5456e2ba6a45d4d5826cf055","4054bb35d1e1359e85dd1177e9712ad1":"97cc6b19dae82f00c0a0131d635a5448976a38e9a3977712bb874237c011e7d4","42247db709436940d2fea2e3672722cf":"d7df756a1843eb5ccd1a82571f37f9889cd9f2925e6f1e58166e5fb3cdc8acd9"},"parts":{"1":[{"id":"alarmmeldung-richtig-einordnen","heading":"Die Alarmmeldung richtig einordnen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Aussage, eine PHP-Sicherheitsl\u00fccke k\u00f6nne \u201edas halbe Internet\u201c betreffen, ist ein zugespitzter Aufh\u00e4nger, aber keine belegte Gr\u00f6\u00dfenordnung. Es gibt keinen Nachweis, dass die H\u00e4lfte aller Internetdienste verwundbar oder bereits kompromittiert ist. Das tats\u00e4chliche Risiko ist dennoch erheblich, weil PHP als Laufzeitumgebung in vielen Websites, Shops, APIs und Verwaltungsoberfl\u00e4chen eingesetzt wird.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Entscheidend ist nicht, ob eine Website PHP nutzt, sondern welche PHP-Version ihre Webanfragen verarbeitet. Die Sicherheitsupdates vom 21. Oktober 2026 betreffen grunds\u00e4tzlich ungepatchte Installationen der unterst\u00fctzten Zweige, sofern sie Anfragen \u00fcber einen Webdienst bedienen. Ein lokales PHP f\u00fcr Entwicklungsaufgaben ist daher anders zu bewerten als ein von au\u00dfen erreichbares Kundenportal.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die ","ref":""},{"kind":"strong","text":"Internet-Exponierung","ref":""},{"kind":"text","text":" bestimmt die Dringlichkeit wesentlich. Ein \u00f6ffentlich erreichbarer Shop mit Formularen und Uploads bietet mehr m\u00f6gliche Ber\u00fchrungspunkte als ein abgeschotteter interner Dienst. Auch ein interner Dienst ist aber nicht automatisch sicher: VPN-Zug\u00e4nge, kompromittierte Konten oder andere Systeme im Netzwerk k\u00f6nnen ihn erreichbar machen. Reichweite allein ersetzt deshalb keine technische Risikopr\u00fcfung.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ebenso wichtig sind Betriebsart und ","ref":""},{"kind":"strong","text":"Patchstand","ref":""},{"kind":"text","text":". PHP kann etwa \u00fcber PHP-FPM, als Apache-Modul, per php-cgi oder eingebettet in ein Produkt laufen. Mehrere Domains auf demselben Server k\u00f6nnen dabei unterschiedliche Versionen und Aktualisierungswege haben. Eine pauschale Entwarnung f\u00fcr alle PHP-Websites w\u00e4re ebenso falsch wie die Annahme, jede Installation sei unmittelbar angreifbar.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"rce-und-betroffene-php-wege","heading":"Was die PHP-Schwachstellen technisch erm\u00f6glichen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Eine ","ref":""},{"kind":"strong","text":"Remote Code Execution","ref":""},{"kind":"text","text":" (RCE) bedeutet, dass ein Angreifer unter bestimmten Bedingungen Code auf einem entfernten System ausf\u00fchren kann. Bei diesen PHP-Schwachstellen ist laut Sicherheitsmeldung keine vorherige Anmeldung erforderlich. Ausgef\u00fchrt w\u00fcrde der Code zun\u00e4chst mit den Rechten des Webprozesses, nicht automatisch mit uneingeschr\u00e4nkten Administratorrechten. Die m\u00f6glichen Folgen h\u00e4ngen daher stark von Dateirechten, Zugangsdaten und der Servertrennung ab.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"CVE-2026-109618 betrifft Fehlerpfade bei ","ref":""},{"kind":"strong","text":"Speicherknappheit","ref":""},{"kind":"text","text":". Bricht PHP eine Anfrage wegen eines Out-of-Memory-Zustands ab, k\u00f6nnen interne Datenstrukturen unvollst\u00e4ndig bleiben. Werden solche Zust\u00e4nde beim Aufr\u00e4umen der Anfrage weiterverwendet, kann Speicherbesch\u00e4digung entstehen. Die offizielle Beschreibung nennt insbesondere Multipart-Anfragen, Dateiuploads und den Speicherverbrauch beim Parsen verschachtelter Eingaben als relevante technische Kontexte.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"CVE-2026-109619 betrifft dagegen an eine Anfrage gebundenen internen Zustand, dessen Speicher bereits freigegeben wurde. Verarbeitet ein wiederverwendeter Worker danach eine weitere Anfrage, kann PHP auf diesen veralteten Zustand zugreifen, bevor die normale Initialisierung greift. Die Sicherheitsmeldung verweist dabei unter anderem auf den Upload-Fortschritt von Sessions und Fehlerpfade. Das beschreibt die Fehlerklasse, nicht eine Anleitung zur Ausnutzung.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"list","ordered":false,"items":["Betroffen sein k\u00f6nnen Webanfragen \u00fcber PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.","Die Fehler liegen in der PHP-Laufzeit, nicht prim\u00e4r in WordPress, Joomla, Shopware, Themes oder einzelnen Plugins.","CMS und Frameworks beeinflussen erreichbare Funktionen wie Uploads, ersetzen aber kein Update des Interpreters."],"source_ids":["S1","S2"]}]},{"id":"risiko-haengt-vom-betrieb-ab","heading":"Warum nicht jede Installation gleich gef\u00e4hrdet ist","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Ob ein Dienst praktisch gef\u00e4hrdet ist, ergibt sich aus mehreren Faktoren. Vorrang haben eine ungepatchte PHP-Web-Laufzeit und ein erreichbarer Webdienst. Danach z\u00e4hlen die Betriebsart, wiederverwendete Prozesse, Funktionen f\u00fcr Uploads oder komplexe Formulare sowie die Rechte des Webprozess-Kontos. Ein Dienst mit weitreichendem Schreibzugriff auf Webdateien oder Zugang zu weiteren Diensten kann schwerere Folgen haben als ein strikt isoliertes Projekt.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei Apache mit ","ref":""},{"kind":"strong","text":"mod_php","ref":""},{"kind":"text","text":" hebt das PHP-Projekt den Risikofokus besonders hervor: Ein dokumentierter Angriff kann bereits vor der Ausf\u00fchrung des eigentlichen Anwendungscodes ausgel\u00f6st werden. Ein sauber gepflegtes CMS sch\u00fctzt dann nicht vor der Schwachstelle in der Laufzeit. Das bedeutet nicht, dass PHP-FPM, php-cgi, FrankenPHP oder LiteSpeed als ungef\u00e4hrlich gelten; sie m\u00fcssen bei einem ungepatchten Stand ebenfalls priorisiert gepr\u00fcft werden.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Besondere Aufmerksamkeit brauchen au\u00dferdem Produkte mit ","ref":""},{"kind":"strong","text":"eingebettetem PHP","ref":""},{"kind":"text","text":". Dazu k\u00f6nnen Container-Images, Appliances, NAS-Verwaltungen oder Netzwerkprodukte geh\u00f6ren, deren Oberfl\u00e4che PHP intern verwendet. Dort zeigt ein Befehl auf dem Host oft nicht die tats\u00e4chlich eingesetzte Laufzeit. Das Update des Betriebssystems behebt auch nicht automatisch eine verwundbare PHP-Komponente in einem Image oder Herstellerprodukt.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Eine Firewall, Web Application Firewall oder restriktive Upload-Limits k\u00f6nnen einzelne Anfragen erschweren und die Angriffsfl\u00e4che begrenzen. Sie sind jedoch kein Ersatz f\u00fcr den Fix, weil sie nicht die fehlerhafte Speicher- und Zustandsverwaltung im Interpreter korrigieren. Auch ein fehlerfreies CMS bleibt auf eine sichere Laufzeit angewiesen. Ma\u00dfgeblich ist deshalb, den Patchstand des tats\u00e4chlich Webanfragen verarbeitenden PHP zu pr\u00fcfen und zu aktualisieren.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]}],"2":[{"id":"patchstaende-und-supportstatus","heading":"Sichere Patchst\u00e4nde und Supportstatus vergleichen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr die beiden Sicherheitsl\u00fccken z\u00e4hlt zun\u00e4chst der Patchstand innerhalb des eingesetzten PHP-Zweigs. Das PHP-Projekt nennt f\u00fcr die unterst\u00fctzten Reihen konkrete korrigierte Releases. Fr\u00fchere Patchst\u00e4nde derselben Reihe gelten als betroffen; ein Upgrade auf die angegebene oder eine neuere Version dieses Zweigs ist die vorgesehene vollst\u00e4ndige Abhilfe.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"table","caption":"PHP-Zweige: Patchst\u00e4nde und Supportlage am 22. Oktober 2026","headers":["PHP-Zweig","Betroffen bis einschlie\u00dflich","Sichere Version ab","Supportstatus am 22. Oktober 2026","Empfohlene Ma\u00dfnahme"],"rows":[["PHP 8.2","8.2.34","8.2.35","Sicherheits-Support, Ende am 31. Dezember 2026","Kurzfristig auf mindestens 8.2.35 aktualisieren und Migration planen."],["PHP 8.3","8.3.35","8.3.36","Sicherheits-Support","Auf mindestens 8.3.36 aktualisieren."],["PHP 8.4","8.4.26","8.4.27","Sicherheits-Support","Auf mindestens 8.4.27 aktualisieren."],["PHP 8.5","8.5.11","8.5.12","Sicherheits-Support","Auf mindestens 8.5.12 aktualisieren."],["PHP 8.1 und \u00e4lter","Kein regul\u00e4res aktuelles Upstream-Release","Kein allgemein verf\u00fcgbares regul\u00e4res Fix-Release","Nicht regul\u00e4r vom PHP-Projekt unterst\u00fctzt","Anbieter-Backport pr\u00fcfen oder auf einen unterst\u00fctzten Zweig migrieren."]],"source_ids":["S1","S4"]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein ","ref":""},{"kind":"strong","text":"Patch-Update","ref":""},{"kind":"text","text":" bleibt in derselben Entwicklungsreihe, etwa von 8.3.35 auf 8.3.36. Es soll den Sicherheitsfix bereitstellen und hat einen engeren Kompatibilit\u00e4tsrahmen als ein Wechsel von 8.2 auf 8.4. Letzterer ist eine Migration: Abh\u00e4ngigkeiten, Erweiterungen, Anwendungscode und gegebenenfalls das Deployment m\u00fcssen daf\u00fcr separat gepr\u00fcft werden.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"PHP 8.2 ist f\u00fcr die akute Behebung weiterhin nutzbar, sofern mindestens Version 8.2.35 l\u00e4uft. Der Zweig erreicht jedoch am 31. Dezember 2026 sein Supportende. Deshalb sollte ein Betrieb nicht bei diesem Sofortschritt stehen bleiben: Plane die Umstellung auf einen l\u00e4nger unterst\u00fctzten Zweig, nachdem die Anwendung in einer geeigneten Umgebung auf Kompatibilit\u00e4t gepr\u00fcft wurde.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei PHP 8.1 und \u00e4lter ist besondere Vorsicht n\u00f6tig. Das PHP-Projekt stellt daf\u00fcr kein regul\u00e4res aktuelles Release bereit; minimale Quellcode-Backports sind nicht mit einem allgemein verf\u00fcgbaren, gepflegten Paket gleichzusetzen. Ein vom Betriebssystemanbieter dokumentierter Sicherheits-Backport kann angemessen sein, erfordert aber einen Nachweis im Security Advisory oder Paket-Changelog. Fehlt er, ist eine Migration statt einer blo\u00dfen Versionskosmetik n\u00f6tig.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"web-laufzeit-zuverlaessig-pruefen","heading":"Die tats\u00e4chliche Web-Laufzeit pr\u00fcfen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Versionspr\u00fcfung beginnt mit einer Bestandsaufnahme, darf aber nicht bei der Shell enden. Auf einem selbst verwalteten Server zeigen die folgenden Befehle die installierte PHP-CLI und deren geladene Konfigurationsdateien. Sie ver\u00e4ndern weder Pakete noch Konfiguration und eignen sich daher als erster, risikoarmer Pr\u00fcfschritt.","ref":""}]},{"type":"code","language":"bash","code":"php -v\nphp --ini","source_ids":["S1"]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Ausgabe belegt ausschlie\u00dflich die ","ref":""},{"kind":"strong","text":"CLI-Laufzeit","ref":""},{"kind":"text","text":". Eine Website kann dagegen \u00fcber PHP-FPM, Apache mit mod_php, php-cgi oder einen Container bedient werden. Diese Web-Laufzeit kann eine andere PHP-Version und andere Konfigurationsdateien nutzen als der Befehl ","ref":""},{"kind":"code","text":"php -v","ref":""},{"kind":"text","text":" auf dem Host. F\u00fcr die Sicherheitsbewertung ist stets der Prozess ma\u00dfgeblich, der reale HTTP-Anfragen verarbeitet.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Im Managed Hosting pr\u00fcfst du deshalb im Kundenpanel die pro Projekt oder Domain ausgew\u00e4hlte PHP-Version und fragst bei Bedarf den Patchstand des bereitgestellten Dienstes ab. Bei mehreren Domains ist jede Zuweisung einzeln zu kontrollieren: Eine Hauptdomain kann bereits den gepatchten Zweig verwenden, w\u00e4hrend ein Shop, eine Staging-Instanz oder eine Subdomain noch einen \u00e4lteren Interpreter nutzt.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Auf Servern mit PHP-FPM geh\u00f6ren Service-Konfiguration, Paketbestand und Deployment-Unterlagen zusammen. In Container-Umgebungen pr\u00fcfst du zus\u00e4tzlich das tats\u00e4chlich ausgerollte Image und nicht nur ein lokales Build-Manifest. Entscheidend ist, welche Revision im laufenden Pod oder Container Webanfragen annimmt; ein aktualisiertes Basisimage sch\u00fctzt keine bereits laufende \u00e4ltere Instanz.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"callout","variant":"warning","title":"Keine \u00f6ffentliche Diagnose-Seite","runs":[{"kind":"text","text":"Eine \u00f6ffentlich erreichbare ","ref":""},{"kind":"code","text":"phpinfo()","ref":""},{"kind":"text","text":"-Seite ist keine empfehlenswerte Standardpr\u00fcfung. Sie kann Versions-, Modul-, Pfad- und Konfigurationsdaten offenlegen. Nutze stattdessen Zug\u00e4nge des Hosting-Panels, die Serververwaltung oder intern gesch\u00fctzte Betriebsdokumentation.","ref":""}]}]},{"id":"updatewege-nach-betriebsart","heading":"Updatewege nach Betriebsart planen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Der geeignete Updateweg richtet sich danach, wer den Interpreter ausliefert und wo er betrieben wird. Erst wenn dieser Verantwortungsbereich klar ist, l\u00e4sst sich zuverl\u00e4ssig entscheiden, ob ein Panel-Wechsel, ein Paketupdate, ein neues Image oder ein Herstellerupdate erforderlich ist. Die folgende Einordnung trennt diese F\u00e4lle, ohne die Betriebsarten hinsichtlich ihres Risikos gleichzusetzen.","ref":""}]},{"type":"table","caption":"Versionspr\u00fcfung und Aktualisierung nach PHP-Betriebsart","headers":["Betriebsart","Wo die tats\u00e4chliche Version pr\u00fcfen?","Wer aktualisiert?","Typische Besonderheit"],"rows":[["Shared Hosting","Kundenpanel je Domain oder Projekt; Auskunft des Hosters","Hosting-Anbieter oder Kunde \u00fcber freigegebene Auswahl","PHP-Zuweisungen k\u00f6nnen zwischen Domains abweichen."],["PHP-FPM auf Linux","FPM-Pool, installierte Pakete, Dienst- und Deployment-Konfiguration","Serveradministration oder Distribution","Paketversion kann einen dokumentierten Sicherheits-Backport enthalten."],["Apache mit mod_php","Apache-Modulkonfiguration und installierte Pakete","Serveradministration oder Distribution","Vom PHP-Projekt mit besonderem Risikofokus beschrieben."],["Container","Laufendes Image, Image-Tag oder Digest sowie Container-Laufzeit","Team f\u00fcr Build und Deployment","Host-Updates \u00e4ndern das eingebettete PHP im Image nicht automatisch."],["Eingebettetes PHP im Produkt","Herstellerdokumentation, Produktversion und Security Advisory","Produkthersteller oder Produktadministration","PHP kann ohne separat sichtbare Installation Teil einer Appliance sein."]],"source_ids":["S1","S3"]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei Shared Hosting sollte der Anbieter den sicheren Patchstand f\u00fcr die gew\u00e4hlte PHP-Reihe bereitstellen; der Betreiber pr\u00fcft anschlie\u00dfend die Anwendung. Bei PHP-FPM oder mod_php aktualisiert die Administration in der Regel die Pakete und startet danach den tats\u00e4chlich zust\u00e4ndigen Dienst kontrolliert neu. Ein reiner Neustart ohne eingespielten Fix ersetzt das Update nicht.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Linux-Distributionen liefern Sicherheitskorrekturen h\u00e4ufig als ","ref":""},{"kind":"strong","text":"Backport","ref":""},{"kind":"text","text":". Dann kann die sichtbare Paketversionsnummer von den Releases auf php.net abweichen, obwohl der Fix enthalten ist. Vergleiche daher nicht nur Zeichenketten wie \u201e8.4.26\u201c, sondern lies die Sicherheitsmitteilung und das Changelog des Distributors. Das PHP-Projekt weist darauf hin, dass Distributionen und LTS-Anbieter Patches erhalten k\u00f6nnen.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Container verlangen einen eigenen Ablauf: ein korrigiertes Image bauen oder vom Anbieter beziehen, dieses ausrollen und alte Instanzen ersetzen. Bei NAS-Oberfl\u00e4chen, Netzwerkger\u00e4ten oder fertigen Webanwendungen liegt die Korrektur dagegen beim Herstellerprodukt. Ein Patch des Hostbetriebssystems erreicht dort nicht zwangsl\u00e4ufig den eingebetteten Interpreter; Inventarisierung und Herstellerhinweise bleiben deshalb unverzichtbar.","ref":""},{"kind":"citation","text":"","ref":"S3"}]}]}],"3":[{"id":"sofortmassnahmen-und-neustarts","heading":"Sofortma\u00dfnahmen ohne falsche Sicherheit","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Am Patch-Tag verschaffst du dir zuerst ein belastbares Inventar: Domains, APIs, Verwaltungsoberfl\u00e4chen, Container und Produkte mit m\u00f6glichem eingebettetem PHP. Notiere je Dienst die Web-Betriebsart, den verantwortlichen Updateweg und die tats\u00e4chlich verwendete PHP-Laufzeit. Danach erh\u00e4lt jeder \u00f6ffentlich erreichbare oder gesch\u00e4ftskritische Dienst Vorrang, nicht lediglich der Server mit der auff\u00e4lligsten Versionsnummer.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Spiele anschlie\u00dfend das vom Hoster, Linux-Distributor, Image- oder Produkthersteller freigegebene Sicherheitsupdate ein. F\u00fcr die unterst\u00fctzten PHP-Zweige ist das Update auf den korrigierten Patchstand die vollst\u00e4ndige Abhilfe; eine WAF, Upload-Regeln oder ein Webserver-Neustart ersetzen es nicht. Plane den Vorgang so, dass Paket-, Image- oder Herstellerupdate nachvollziehbar dokumentiert und bei Problemen zur\u00fcckverfolgbar bleibt.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Nach der Aktualisierung musst du den Dienst kontrolliert neu laden, der Webanfragen tats\u00e4chlich verarbeitet, etwa PHP-FPM, Apache mit geladenem PHP-Modul oder den betroffenen Container. Dadurch \u00fcbernehmen bereits laufende Worker die neue Laufzeit. Pr\u00fcfe danach zentrale Anwendungswege; insbesondere Uploads verdienen Aufmerksamkeit, weil sie bei vielen Anwendungen Sessions, Gr\u00f6\u00dfenlimits und Hintergrundverarbeitung ber\u00fchren. Der Beitrag zu ","ref":""},{"kind":"internal_link","text":"PHP Session Garbage Collection","ref":"I1"},{"kind":"text","text":" erl\u00e4utert erg\u00e4nzend, weshalb Session-Verarbeitung auch den laufenden Betrieb beeinflussen kann.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Falls ein Patch kurzfristig nicht m\u00f6glich ist, k\u00f6nnen einzelne Einstellungen bekannte Angriffspfade begrenzen, aber keine vollst\u00e4ndige Sicherheit herstellen. Das Abschalten des Upload-Fortschritts muss vor dem Parsen einer Anfrage wirksam sein. Pr\u00fcfe vorab, ob Anwendungen oder Oberfl\u00e4chen diese Fortschrittsanzeige ben\u00f6tigen, und starte die zust\u00e4ndigen PHP-Worker danach kontrolliert neu.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"code","language":"ini","code":"session.upload_progress.enabled = 0","source_ids":["S1"]},{"type":"paragraph","runs":[{"kind":"text","text":"Konservative Grenzen f\u00fcr POST-Daten und weitere in der Sicherheitsmeldung genannte Optionen k\u00f6nnen die Angriffsfl\u00e4che ebenfalls nur teilweise reduzieren. Sp\u00e4t gelesene ","ref":""},{"kind":"code","text":".user.ini","ref":""},{"kind":"text","text":"-Dateien oder ein ","ref":""},{"kind":"code","text":"ini_set()","ref":""},{"kind":"text","text":" innerhalb der Anwendung reichen f\u00fcr diese Einstellung nicht aus. Behandle solche Ma\u00dfnahmen als befristete Risikoreduktion und halte am Sicherheitsupdate als Ziel fest.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"betrieb-pruefen-und-auffaelligkeiten","heading":"Nach dem Patch Betrieb und Auff\u00e4lligkeiten pr\u00fcfen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Ein erfolgreich abgeschlossenes Paketupdate belegt zun\u00e4chst nur, dass Dateien oder Pakete installiert wurden. Es best\u00e4tigt weder, dass der Webprozess die neue Laufzeit geladen hat, noch dass die Anwendung damit fehlerfrei arbeitet. Pr\u00fcfe deshalb nach dem Neustart die f\u00fcr den Dienst ma\u00dfgebliche Web-Laufzeit und dokumentiere Zeitpunkt, Version, neu gestarteten Dienst sowie das Ergebnis der Funktionskontrolle.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Funktionspr\u00fcfung sollte reale Kernabl\u00e4ufe abdecken: wichtige \u00f6ffentliche Seiten, Anmeldung und Abmeldung, Formularversand, Datei-Upload, Checkout oder Buchung sowie API-Endpunkte und Hintergrundaufgaben. Teste nur Vorg\u00e4nge, f\u00fcr die du berechtigt bist, und nutze bei produktiven Shops m\u00f6glichst daf\u00fcr vorgesehene Testdaten. Kontrolliere parallel Webserver-, PHP- und Anwendungsprotokolle auf neue Fehler, wiederholte Abst\u00fcrze oder unerwartete Statuscodes.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein Neustart ist notwendig, um langlebige Prozesse und ","ref":""},{"kind":"strong","text":"Worker","ref":""},{"kind":"text","text":" mit aktualisiertem Code zu laden, erzeugt aber selbst keinen Fix. Ohne eingespieltes Update bleibt die Schwachstelle bestehen. Bei hoher Auslastung sollte das Wartungsfenster so gew\u00e4hlt werden, dass Anfragen geordnet abflie\u00dfen k\u00f6nnen und die Auswirkungen eines Worker-Neustarts beobachtbar bleiben.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Wie stark ein kontrollierter Neustart den Durchsatz beeinflusst, h\u00e4ngt von Zahl und Auslastung der PHP-Prozesse ab. F\u00fcr die Planung hilft es, Warteschlangen, laufende Jobs und kritische Transaktionen zu ber\u00fccksichtigen, statt Prozesse unkoordiniert zu beenden. Der Leitfaden ","ref":""},{"kind":"internal_link","text":"PHP Workers verstehen","ref":"I2"},{"kind":"text","text":" erkl\u00e4rt die Rolle dieser Prozesse bei parallelen dynamischen Anfragen.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Treten nach dem Patch Auff\u00e4lligkeiten auf, unterscheide zwischen Kompatibilit\u00e4tsfehlern der Anwendung und einem unvollst\u00e4ndigen Rollout. Vergleiche Konfiguration, aktivierte Erweiterungen und die Web-Laufzeit mit dem Stand vor der Wartung. Ein Rollback darf nicht dazu f\u00fchren, dass ein \u00f6ffentlich erreichbarer Dienst dauerhaft auf dem verwundbaren Stand verbleibt; kl\u00e4re dann z\u00fcgig einen kompatiblen, gepatchten Updatepfad.","ref":""}]}]},{"id":"prioritaeten-fuer-alte-und-versteckte-installationen","heading":"Alte und versteckte PHP-Installationen priorisieren","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Besondere Aufmerksamkeit ben\u00f6tigen Systeme, auf denen PHP nicht als bewusst installierte Laufzeit sichtbar ist: Docker-Images, virtuelle Appliances, NAS- und Netzwerkoberfl\u00e4chen sowie fertige Softwareprodukte. Ein Update des Hosts aktualisiert weder automatisch ein Container-Image noch die intern mitgelieferte Laufzeit eines Herstellerprodukts. Frage deshalb Hersteller gezielt nach ihrer Bewertung und nach einem Sicherheitsupdate f\u00fcr das konkrete Produkt.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei alten Zweigen sind drei F\u00e4lle sauber zu trennen. Ein regul\u00e4r unterst\u00fctzter PHP-Release erh\u00e4lt die vom PHP-Projekt ver\u00f6ffentlichten Sicherheitsupdates. Ein Distributions- oder Anbieter-Backport kann den Fix trotz abweichender sichtbarer Versionsnummer enthalten, muss aber durch die Sicherheitsmeldung oder das Changelog dieses Anbieters belegt sein. Selbst gepflegter Quellcode verlangt dagegen eigene Build-, Test- und Betriebsverantwortung; er ist kein gleichwertiger Ersatz f\u00fcr einen regul\u00e4ren Updatekanal.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"PHP 8.1 und \u00e4ltere Zweige erhalten keine regul\u00e4ren Upstream-Releases mehr. F\u00fcr PHP 8.2 steht zwar ein korrigierter Patchstand bereit, der Zweig erreicht jedoch Ende 2026 sein Supportende. Nutze einen verf\u00fcgbaren Fix f\u00fcr die akute Lage, plane bei alten oder auslaufenden Versionen aber zus\u00e4tzlich eine getestete ","ref":""},{"kind":"strong","text":"Migration","ref":""},{"kind":"text","text":" auf einen l\u00e4nger unterst\u00fctzten Zweig.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"list","ordered":true,"items":["\u00d6ffentlich erreichbare Dienste mit ungepatchter PHP-Laufzeit zuerst aktualisieren, besonders wenn Uploads oder Verwaltungsfunktionen erreichbar sind.","Apache mit mod_php und gesch\u00e4ftskritische Shops, APIs oder Kundenportale unmittelbar danach behandeln; die offizielle Sicherheitsmeldung hebt f\u00fcr mod_php einen besonders kritischen Risikofokus hervor.","Container, Appliances und Drittprodukte anhand von Images, Inventar und Herstellerstatus erfassen; fehlende sichtbare PHP-Pakete sind kein Entwarnungssignal.","Nicht unterst\u00fctzte oder nicht zeitnah patchbare Dienste isolieren und Zugriffe einschr\u00e4nken, parallel aber verbindlich Ersatz, Upgrade oder Migration planen."],"source_ids":["S1","S3"]},{"type":"paragraph","runs":[{"kind":"text","text":"Netzsegmentierung, VPN-Pflicht oder restriktive Zugriffsregeln k\u00f6nnen bei nicht sofort patchbaren Verwaltungsoberfl\u00e4chen Zeit gewinnen. Sie sind jedoch nur ","ref":""},{"kind":"strong","text":"\u00dcbergangsma\u00dfnahmen","ref":""},{"kind":"text","text":", weil interne Nutzerkonten, kompromittierte Ger\u00e4te und falsch konfigurierte Freigaben weiterhin Angriffswege schaffen k\u00f6nnen. Wird f\u00fcr ein Produkt kein Fix angeboten oder ist der PHP-Zweig dauerhaft au\u00dferhalb des Supports, ist Ersatz oder Migration die belastbare Entscheidung.","ref":""},{"kind":"citation","text":"","ref":"S3"}]}]}]},"plan":{"reader_question":"Betrifft die aktuelle PHP-Sicherheitsl\u00fccke tats\u00e4chlich \u201edas halbe Internet\u201c, welche Systeme sind konkret gef\u00e4hrdet und welche Schritte m\u00fcssen Betreiber von Websites, Onlineshops, APIs und Servern jetzt priorisieren?","sections":[{"id":"alarmmeldung-richtig-einordnen","heading":"Die Alarmmeldung richtig einordnen","part":1,"target_words":270,"purpose":"Den zugespitzten Aufh\u00e4nger sachlich aufl\u00f6sen: Es gibt keinen Beleg f\u00fcr \u201edas halbe Internet\u201c, wohl aber ein erhebliches Risiko durch eine weit verbreitete Laufzeitumgebung. In klar getrennten Abs\u00e4tzen erkl\u00e4ren, warum Reichweite, Internet-Exponierung, Betriebsart und Patchstand wichtiger sind als pauschale Aussagen \u00fcber alle PHP-Websites.","source_ids":["S1"],"internal_link_ids":[]},{"id":"rce-und-betroffene-php-wege","heading":"Was die PHP-Schwachstellen technisch erm\u00f6glichen","part":1,"target_words":270,"purpose":"Remote Code Execution ohne vorherige Anmeldung verst\u00e4ndlich definieren und die Folgen im Kontext des Webprozess-Kontos einordnen. Anschlie\u00dfend CVE-2026-109618 und CVE-2026-109619 getrennt, ohne Exploit-Anleitung erkl\u00e4ren; Multipart-Anfragen, Uploads, Speicherknappheit und wiederverwendete Worker-Zust\u00e4nde als technische Kontexte nennen. Eine kurze Liste grenzt PHP-FPM, mod_php, php-cgi, FrankenPHP und LiteSpeed von einzelnen CMS-Fehlern ab.","source_ids":["S1","S2"],"internal_link_ids":[]},{"id":"risiko-haengt-vom-betrieb-ab","heading":"Warum nicht jede Installation gleich gef\u00e4hrdet ist","part":1,"target_words":270,"purpose":"Die Risikofaktoren anhand konkreter Konstellationen ordnen: erreichbarer Webdienst, ungepatchte Laufzeit, wiederverwendete Worker, Upload-Funktionen, Berechtigungen und eingebettetes PHP. Besonders den h\u00f6heren Risikofokus bei Apache mod_php herausstellen, ohne andere SAPIs zu verharmlosen. Abschlie\u00dfend sauber erkl\u00e4ren, warum ein fehlerfreies CMS oder eine Firewall keinen ungepatchten PHP-Interpreter ersetzt.","source_ids":["S1","S3"],"internal_link_ids":[]},{"id":"patchstaende-und-supportstatus","heading":"Sichere Patchst\u00e4nde und Supportstatus vergleichen","part":2,"target_words":270,"purpose":"Mit einer zentralen informativen Tabelle die Zweige PHP 8.2, 8.3, 8.4, 8.5 sowie 8.1 und \u00e4lter vergleichen. Tabellenspalten: betroffen bis einschlie\u00dflich, sichere Version ab, Supportstatus am 22. Oktober 2026 und empfohlene Ma\u00dfnahme. Danach erl\u00e4utern, warum ein Update innerhalb desselben Zweigs etwas anderes ist als eine Migration auf einen neueren Zweig und weshalb PHP 8.2 trotz verf\u00fcgbarem Fix mittelfristig abgel\u00f6st werden sollte.","source_ids":["S1","S4"],"internal_link_ids":[]},{"id":"web-laufzeit-zuverlaessig-pruefen","heading":"Die tats\u00e4chliche Web-Laufzeit pr\u00fcfen","part":2,"target_words":270,"purpose":"Einen sicheren Pr\u00fcfablauf f\u00fcr Managed Hosting und selbst verwaltete Systeme formulieren. Die unver\u00e4ndernden Befehle php -v und php --ini als CLI-Bestandsaufnahme einordnen, dann deren Grenze gegen\u00fcber PHP-FPM, Apache-Modul und Containern deutlich machen. Geeignete Struktur: kurzer Pr\u00fcfpfad, Praxisbeispiel mit mehreren Domains und abschlie\u00dfender Warnhinweis gegen \u00f6ffentlich erreichbare phpinfo()-Seiten.","source_ids":["S1"],"internal_link_ids":[]},{"id":"updatewege-nach-betriebsart","heading":"Updatewege nach Betriebsart planen","part":2,"target_words":270,"purpose":"Eine zweite Tabelle stellt Shared Hosting, PHP-FPM auf Linux, Apache mit mod_php, Container und eingebettetes PHP gegen\u00fcber: Ort der Versionspr\u00fcfung, zust\u00e4ndige Stelle f\u00fcr Updates und typische Besonderheit. Danach die Aktualisierung in Paketen, Images und Herstellerprodukten unterscheiden. Bei Linux-Distributionen erl\u00e4utern, weshalb Sicherheits-Backports und Paket-Changelogs ma\u00dfgeblich sein k\u00f6nnen, auch wenn die sichtbare Versionsnummer von php.net abweicht.","source_ids":["S1","S3"],"internal_link_ids":[]},{"id":"sofortmassnahmen-und-neustarts","heading":"Sofortma\u00dfnahmen ohne falsche Sicherheit","part":3,"target_words":270,"purpose":"Eine priorisierte Praxisanleitung f\u00fcr den Patch-Tag liefern: Inventarisieren, freigegebenes Sicherheitsupdate einspielen, den tats\u00e4chlich zust\u00e4ndigen Dienst kontrolliert neu starten und die Anwendung pr\u00fcfen. Tempor\u00e4re Ma\u00dfnahmen wie session.upload_progress.enabled = 0, konservative POST-Grenzen und weitere in der Sicherheitsmeldung genannte Optionen klar als begrenzte Risikoreduktion behandeln. Nebenwirkungen bei Upload-Fortschrittsanzeigen und die unzureichende Wirkung sp\u00e4ter gelesener Einstellungen erkl\u00e4ren.","source_ids":["S1"],"internal_link_ids":["I1"]},{"id":"betrieb-pruefen-und-auffaelligkeiten","heading":"Nach dem Patch Betrieb und Auff\u00e4lligkeiten pr\u00fcfen","part":3,"target_words":270,"purpose":"Beschreiben, welche Funktionspr\u00fcfungen nach dem Update sinnvoll sind: zentrale Seiten, Login, Upload, Checkout, API-Endpunkte und Fehlerprotokolle. Den Unterschied zwischen erfolgreichem Paketupdate, geladenem Webprozess und best\u00e4tigter Anwendungskompatibilit\u00e4t herausarbeiten. Ein eigener Absatz erkl\u00e4rt, dass Neustarts die Worker neu laden k\u00f6nnen, aber kein Ersatz f\u00fcr das Einspielen eines Fixes sind; bei hoher Last den Zusammenhang zwischen Worker-Auslastung und kontrollierten Wartungsfenstern einordnen.","source_ids":["S1"],"internal_link_ids":["I2"]},{"id":"prioritaeten-fuer-alte-und-versteckte-installationen","heading":"Alte und versteckte PHP-Installationen priorisieren","part":3,"target_words":270,"purpose":"Zum Abschluss eine Entscheidungslogik f\u00fcr nicht unterst\u00fctzte Zweige, Appliances, NAS-Oberfl\u00e4chen, Docker-Images und Drittprodukte geben. Anbieter-Backport, selbst gepflegten Quellcode und regul\u00e4r unterst\u00fctzte PHP-Releases deutlich voneinander abgrenzen. Eine kompakte Priorit\u00e4tenliste ordnet \u00f6ffentlich erreichbare, mod_php-basierte und gesch\u00e4ftskritische Dienste zuerst ein; zugleich erl\u00e4utern, wann Isolation oder Zugriffsbeschr\u00e4nkungen nur \u00dcbergangsma\u00dfnahmen sind und wann eine Migration notwendig wird.","source_ids":["S1","S3","S4"],"internal_link_ids":[]}]},"repairs":4,"reviews":4,"issues":[],"guard":{"content_md5":"45697999985ad1df40c2a1e13cb5b256","title":"Vulnerabilit\u00e0 PHP 2026: come verificare e correggere i servizi web a rischio","slug":"php-vulnerabilita-2026-verificare-applicare-patch","excerpt":"Le vulnerabilit\u00e0 critiche di PHP possono mettere a rischio i servizi web non aggiornati. Scopri quali livelli di patch sono necessari, perch\u00e9 il tempo di esecuzione web \u00e8 importante e come pianificare gli aggiornamenti in modo sicuro.","status":"draft","featured_media":21948},"verify":{"content_md5":"45697999985ad1df40c2a1e13cb5b256","title":"Vulnerabilit\u00e0 PHP 2026: come verificare e correggere i servizi web a rischio","slug":"php-vulnerabilita-2026-verificare-applicare-patch","excerpt":"Le vulnerabilit\u00e0 critiche di PHP possono mettere a rischio i servizi web non aggiornati. Scopri quali livelli di patch sono necessari, perch\u00e9 il tempo di esecuzione web \u00e8 importante e come pianificare gli aggiornamenti in modo sicuro.","status":"draft","featured_media":21948},"row_number":1908,"created_at":"2026-10-22T11:59:48+00:00","editorial_policy":{"version":"2.1.6","max_repairs":4,"review_model_from_attempt":2},"updated_at":"2026-10-22T12:07:09+00:00","verified_at":"2026-10-22T12:06:56+00:00"},"_wh_make_research":"Recherche-Briefing zum Thema \u201ePHP-Sicherheitsl\u00fccke \u2013 Wie das halbe Internet gehackt werden kann\u201c\n\nRecherche-Stand: 22. Oktober 2026\n\nLeserfrage und redaktioneller Kern\n\nDer sp\u00e4tere Artikel sollte eine zugespitzte, aber sachlich korrekte Frage beantworten: Betrifft die aktuelle PHP-Sicherheitsl\u00fccke tats\u00e4chlich \u201edas halbe Internet\u201c \u2013 und was m\u00fcssen Betreiber von Websites, Onlineshops, APIs und Servern jetzt konkret tun?\n\nDie Antwort lautet: Die Formulierung eignet sich als aufmerksamkeitsstarker Aufh\u00e4nger, darf aber nicht als belegte Gr\u00f6\u00dfenordnung erscheinen. Es gibt keinen belastbaren Nachweis daf\u00fcr, dass \u201edie H\u00e4lfte des Internets\u201c kompromittierbar sei. Gesichert ist jedoch: Die am 21. Oktober 2026 ver\u00f6ffentlichten Schwachstellen CVE-2026-109618 und CVE-2026-109619 betreffen grunds\u00e4tzlich PHP-Installationen, die Webanfragen bedienen. Dazu z\u00e4hlen PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Beide Fehler k\u00f6nnen laut PHP-Projekt eine nicht authentifizierte Remote Code Execution erm\u00f6glichen \u2013 also die Ausf\u00fchrung von Code unter dem Konto des Webprozesses, ohne dass ein Angreifer vorab ein Benutzerkonto ben\u00f6tigt. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nDer Artikel sollte deshalb weder \u201ePHP ist unsicher\u201c noch \u201ejede PHP-Website ist bereits gehackt\u201c behaupten. Seine Kernbotschaft lautet besser: Eine kritische Schwachstelle in einer sehr weit verbreiteten Laufzeitumgebung kann viele Dienste gleichzeitig gef\u00e4hrden. Entscheidend sind eingesetzte PHP-Version, Betriebsart, Erreichbarkeit aus dem Internet, Patch-Status und die Frage, ob PHP direkt oder eingebettet in Drittprodukte l\u00e4uft.\n\nGesicherte Fakten und empfohlene Einordnung\n\nDas PHP-Projekt ver\u00f6ffentlichte am 21. Oktober 2026 Sicherheitsupdates f\u00fcr die stabilen, unterst\u00fctzten Versionszweige PHP 8.2, 8.3, 8.4 und 8.5. Die behobenen Versionen sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Fr\u00fchere Patchst\u00e4nde innerhalb dieser Zweige sind betroffen. Das Projekt bezeichnet die Updates ausdr\u00fccklich als einzige vollst\u00e4ndige Abhilfe. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nDie beiden CVEs m\u00fcssen voneinander getrennt erkl\u00e4rt werden:\n\nCVE-2026-109618 betrifft die Behandlung von Speicherknappheit, also Out-of-Memory-Fehlern. PHP kann eine Anfrage abbrechen, w\u00e4hrend interne Datenstrukturen noch nicht vollst\u00e4ndig initialisiert sind. Beim anschlie\u00dfenden Aufr\u00e4umen der Anfrage k\u00f6nnen diese unvollst\u00e4ndigen Zust\u00e4nde weiterverwendet werden. Daraus kann Speicherbesch\u00e4digung und letztlich Codeausf\u00fchrung entstehen. Die offizielle Sicherheitsmeldung nennt unter anderem Multipart-Anfragen, Dateiuploads und Speicherverbrauch beim Parsen verschachtelter Eingaben als relevante Kontexte. ([github.com](https:\/\/github.com\/php\/php-src\/security\/advisories\/GHSA-w8hw-w9fx-j79w))\n\nCVE-2026-109619 betrifft internen, an eine Anfrage gebundenen Zustand, der nach der Freigabe seines Speichers erhalten bleiben kann. Verarbeitet derselbe Worker sp\u00e4ter eine weitere Anfrage, kann er auf diesen veralteten Zustand zugreifen, bevor die normale Initialisierung ihn zur\u00fccksetzt. Die offiziell dokumentierten Gegenma\u00dfnahmen beziehen sich unter anderem auf den Upload-Fortschritt von PHP-Sessions und auf Fehlerpfade. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nF\u00fcr die technische Erkl\u00e4rung ist wichtig: Es handelt sich nicht prim\u00e4r um einen Fehler in einem einzelnen CMS, Theme oder Plugin. Die Schwachstellen liegen in PHP selbst. Anwendungen und Hosting-Setups beeinflussen allerdings, welche Angriffspfade erreichbar sind und wie hoch das praktische Risiko ausf\u00e4llt.\n\nVoraussetzungen f\u00fcr Leser und Zielgruppen\n\nDer Beitrag sollte zwei Leserebenen verbinden:\n\nErstens Website-Betreiber im Managed Hosting. Sie ben\u00f6tigen in der Regel keine Exploit-Details, sondern eine Entscheidungshilfe: Welche PHP-Version ist f\u00fcr das jeweilige Projekt aktiv? Stellt der Hoster ein Sicherheitsupdate bereit? Kann die Anwendung nach dem Wechsel auf einen gepatchten Patchstand gepr\u00fcft werden? Bei mehreren Domains ist jede PHP-Zuweisung einzeln zu kontrollieren.\n\nZweitens Administratoren von VPS, Dedicated Servern und Containern. Sie ben\u00f6tigen einen klaren Ablauf aus Inventarisierung, Paket- oder Image-Update, Neustart der PHP-Worker und Funktionspr\u00fcfung. Dabei ist zwischen der PHP-Version im Terminal und dem tats\u00e4chlich Webanfragen verarbeitenden PHP zu unterscheiden. Ein `php -v` im Terminal kann nur die CLI-Version anzeigen; PHP-FPM, Apache-Modul oder ein Container-Image k\u00f6nnen davon abweichen.\n\nSichere Beispiele f\u00fcr den sp\u00e4teren Praxisabschnitt\n\nTerminalbefehl zur reinen Bestandsaufnahme:\n\nphp -v\n\nTerminalbefehl zur Anzeige der geladenen Konfigurationsdateien der CLI:\n\nphp --ini\n\nDiese Befehle \u00e4ndern nichts am System. Der Text muss aber klarstellen, dass sie nur die lokale CLI-Installation pr\u00fcfen. F\u00fcr einen produktiven Webdienst braucht es zus\u00e4tzlich eine Pr\u00fcfung im Hosting-Panel, in der Paketverwaltung, im Deployment-Manifest oder anhand der Laufzeitkonfiguration des jeweiligen Web-SAPI. Eine \u00f6ffentlich erreichbare `phpinfo()`-Seite sollte nicht als Standardpr\u00fcfung empfohlen werden, weil sie sensible Umgebungs- und Konfigurationsinformationen preisgeben kann.\n\nRelevante Praxisf\u00e4lle\n\nPraxisfall 1: Klassisches Shared Hosting mit CMS\n\nEine WordPress-, Joomla-, Shopware- oder individuelle PHP-Seite nutzt eine im Kundenpanel ausgew\u00e4hlte PHP-Version. Der Betreiber kann m\u00f6glicherweise keine Systempakete aktualisieren. Der Artikel sollte erkl\u00e4ren: Erst die PHP-Version je Projekt pr\u00fcfen, dann beim Hoster den Patch-Stand beziehungsweise den verf\u00fcgbaren sicheren Patchstand ermitteln. Ein Wechsel von PHP 8.3.35 auf PHP 8.3.36 ist eine Sicherheitsaktualisierung im selben Entwicklungszweig; ein Wechsel von PHP 8.2 auf 8.4 ist dagegen ein Major-\/Minor-Migrationsschritt mit m\u00f6glicher Kompatibilit\u00e4tspr\u00fcfung. Diese Ma\u00dfnahmen d\u00fcrfen nicht vermischt werden.\n\nPraxisfall 2: Linux-Server mit PHP-FPM und Reverse Proxy\n\nHier aktualisiert die Distribution h\u00e4ufig nicht auf die von php.net ver\u00f6ffentlichte Versionsnummer, sondern liefert einen Backport: Die Distributionsversion kann anders aussehen, obwohl der Sicherheitsfix enthalten ist. Deshalb ist \u201eVersionsnummer kleiner als 8.4.27\u201c bei Paketversionen allein kein endg\u00fcltiger Beweis f\u00fcr Verwundbarkeit. Der Artikel sollte zur Pr\u00fcfung der Sicherheitsmitteilung des Linux-Distributors und der Paket-Changelogs anleiten. Das PHP-Projekt weist ausdr\u00fccklich darauf hin, dass Linux-Distributionen und LTS-Anbieter die Patches vorab erhalten haben k\u00f6nnen. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nPraxisfall 3: Apache mit mod_php\n\nDieser Fall verdient eine hervorgehobene Risikoeinordnung. Das PHP-Projekt bewertet mod_php als besonders kritisch, weil ein dokumentierter Angriff bereits vor dem Ausf\u00fchren des eigentlichen Anwendungscodes ausgel\u00f6st werden kann. Das bedeutet: Ein sauber programmiertes CMS oder Framework allein sch\u00fctzt nicht, wenn die PHP-Laufzeit ungepatcht ist. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nPraxisfall 4: Container, Appliances und Softwareprodukte mit eingebettetem PHP\n\nNicht nur klassische Websites sind relevant. PHP kann Bestandteil eines Docker-Images, einer Verwaltungsoberfl\u00e4che, eines NAS, eines Netzwerkprodukts oder einer fertigen Webanwendung sein. Ein Update des Hostsystems repariert nicht automatisch das PHP in einem Image oder Appliance-Produkt. Der Artikel sollte daher eine Inventarisierung aller Images, Helm-Charts, virtuellen Appliances und Herstellerprodukte empfehlen. CERT-EU weist ausdr\u00fccklich auf Produkte hin, die PHP intern nutzen, ohne eine direkt sichtbare PHP-Installation bereitzustellen. ([cert.europa.eu](https:\/\/cert.europa.eu\/publications\/security-advisories\/2026-018\/))\n\nEntscheidungsalternativen und Priorisierung\n\nF\u00fcr unterst\u00fctzte PHP-Zweige ist ein Sicherheitsupdate innerhalb desselben Zweigs der bevorzugte Weg. Wer PHP 8.5 nutzt, aktualisiert auf mindestens 8.5.12; bei PHP 8.4 ist mindestens 8.4.27 erforderlich, bei 8.3 mindestens 8.3.36 und bei 8.2 mindestens 8.2.35. Diese Patchst\u00e4nde sind die gesicherten Fix-Versionen. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nPHP 8.1 und \u00e4ltere Zweige erhalten keine regul\u00e4ren Updates mehr vom PHP-Projekt. Zwar wurden f\u00fcr PHP 7.4, 8.0 und 8.1 minimale Quellcode-Backports bereitgestellt, doch diese sind kein Ersatz f\u00fcr einen allgemein verf\u00fcgbaren stabilen Release-Zweig und setzen eigenst\u00e4ndiges Bauen beziehungsweise eine gepflegte Anbieterbasis voraus. Im Artikel sollte klar zwischen einem vom Betriebssystemanbieter gelieferten Backport und selbst kompiliertem Quellcode unterschieden werden. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nPHP 8.2 ist am 22. Oktober 2026 noch im Sicherheits-Support, erreicht aber am 31. Dezember 2026 sein End of Life. F\u00fcr akute Abhilfe ist 8.2.35 zul\u00e4ssig; f\u00fcr die mittelfristige Planung ist eine Migration auf einen l\u00e4nger unterst\u00fctzten Zweig sinnvoll. PHP 8.3, 8.4 und 8.5 haben l\u00e4ngere Sicherheitszeitr\u00e4ume. ([php.net](https:\/\/www.php.net\/supported-versions.php))\n\nGrenzen tempor\u00e4rer Ma\u00dfnahmen\n\nTempor\u00e4re Konfigurationen d\u00fcrfen nicht als Patch verkauft werden. Das PHP-Projekt nennt Ma\u00dfnahmen, die bestimmte bekannte Pfade erschweren: administrativ erzwungenes `memory_limit=-1`, konservative Grenzen f\u00fcr POST-Daten, das Abschalten von `session.upload_progress.enabled` sowie auf PHP 8.5 das Deaktivieren von `fatal_error_backtraces`. Diese Ma\u00dfnahmen reduzieren jedoch nur Teile der Angriffsfl\u00e4che. Die offizielle Aussage bleibt: Vollst\u00e4ndig beheben l\u00e4sst sich das Risiko nur durch ein Update. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nEin sicherer Dateikonfigurations-Ausschnitt f\u00fcr den Artikel kann so aussehen:\n\nDateikonfiguration, tempor\u00e4re Risikoreduktion:\n\nsession.upload_progress.enabled = 0\n\nDabei muss direkt stehen: Nur nach Freigabe durch Verantwortliche einsetzen, die Auswirkungen auf Upload-Fortschrittsanzeigen pr\u00fcfen und anschlie\u00dfend alle PHP-Worker kontrolliert neu starten. `ini_set()` innerhalb einer Anwendung oder eine sp\u00e4t gelesene `.user.ini` reichen laut Sicherheitsmeldung nicht aus, weil die Einstellung vor dem Parsen der Anfrage gelten muss. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nTypische Fehler, die der Artikel verhindern sollte\n\nErstens: Nur den Webserver neu starten und annehmen, damit sei das Update erfolgt. Ein Neustart l\u00e4dt keine ungepatchten Pakete auf magische Weise nach.\n\nZweitens: Nur `php -v` pr\u00fcfen und die Web-Laufzeit \u00fcbersehen.\n\nDrittens: Einen Update-Stand mit einem Versionswechsel verwechseln. Patch-Update und Migration haben unterschiedliche Risiken.\n\nViertens: Alte PHP-Versionen als \u201esicher, weil hinter einer Firewall\u201c einordnen. Interne Verwaltungsoberfl\u00e4chen, VPN-Zug\u00e4nge und Drittprodukte bleiben relevante Angriffsfl\u00e4chen.\n\nF\u00fcnftens: Eine WAF oder Upload-Limits als vollst\u00e4ndige L\u00f6sung darstellen. Sie k\u00f6nnen Anfragen begrenzen, ersetzen den Sicherheitsfix aber nicht.\n\nTabellenempfehlungen f\u00fcr den fertigen Artikel\n\nEine zentrale Tabelle sollte folgende Spalten enthalten: PHP-Zweig; betroffen bis einschlie\u00dflich; sichere Version ab; Supportstatus am 22. Oktober 2026; empfohlene Ma\u00dfnahme. Die vier sicheren Versionen sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12. F\u00fcr PHP 8.1 und \u00e4lter sollte die Tabelle nicht pauschal \u201egepatcht\u201c vermerken, sondern \u201ekein regul\u00e4res Upstream-Release; Anbieter-Backport pr\u00fcfen oder migrieren\u201c. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nEine zweite Tabelle kann Betriebsarten gegen\u00fcberstellen: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed, eingebettetes PHP im Produkt. Spalten: Wo wird die tats\u00e4chliche Version gepr\u00fcft? Wer aktualisiert? Besonderheit. F\u00fcr mod_php ist der offiziell beschriebene h\u00f6here Risikofokus zu nennen; bei PHP-FPM sollte nicht behauptet werden, es sei ungef\u00e4hrlich. ([php.net](https:\/\/www.php.net\/archive\/2026.php))","_wh_make_sources":{"S1":{"id":"S1","url":"https:\/\/www.php.net\/archive\/2026.php","title":"PHP: Archivio notizie - 2026"},"S2":{"id":"S2","url":"https:\/\/github.com\/php\/php-src\/security\/advisories\/GHSA-w8hw-w9fx-j79w","title":"Corruzione RCE tramite OOM \u00b7 Avviso \u00b7 php\/php-src \u00b7 GitHub"},"S3":{"id":"S3","url":"https:\/\/cert.europa.eu\/publications\/security-advisories\/2026-018\/","title":"CERT-EU - Vulnerabilit\u00e0 critiche in PHP"},"S4":{"id":"S4","url":"https:\/\/www.php.net\/supported-versions.php","title":"PHP: Versioni supportate"}},"_wh_make_usage":{"research":{"input_tokens":46591,"output_tokens":3736,"response_id":"resp_065523da3776091a016ad9fad975a087d1ada66a12fbd8fd64","model":"gpt-5.6-terra","search_calls":6},"plan_efd206707ede9c95767952be2ce2da88":{"input_tokens":5456,"output_tokens":1483,"response_id":"resp_03276ce21bf0527b016ad9fb1eedcc87d184f7667277621fef","model":"gpt-5.6-terra","search_calls":0},"part1_2dd8dcbb862352557970aba0c9df0fa6":{"input_tokens":8121,"output_tokens":1651,"response_id":"resp_0a1131273a78ac43016ad9fb33e56887d1ad5c487cdddcbcd4","model":"gpt-5.6-terra","search_calls":0},"part2_1b74d36fe89db4f706c0f5b108857581":{"input_tokens":8175,"output_tokens":2260,"response_id":"resp_0beea63d02658196016ad9fb4989bc87d19b544b0bfa9fce8a","model":"gpt-5.6-terra","search_calls":0},"part3_c5d5baec87d73f08bc250f5fdcc4ac0e":{"input_tokens":8228,"output_tokens":2131,"response_id":"resp_03892bc237d7ddc1016ad9fb65006487d1bead9c909f626dd9","model":"gpt-5.6-terra","search_calls":0},"package_60101f5704ba397cc3dd7d1514aaa077":{"input_tokens":13499,"output_tokens":1490,"response_id":"resp_08c1d55729994c63016ad9fb8285bc87d18dd3ea55df7f7040","model":"gpt-5.6-terra","search_calls":0},"review_1bee2c84a03102f115fa970ff41920e6":{"input_tokens":25677,"output_tokens":902,"response_id":"resp_006d602c3957e9e7016ad9fb97dc8887d1abcb63ff33d61196","model":"gpt-5.6-sol","search_calls":1},"repair_a07463940f4a368f0c2e1c8a5345b1a6":{"input_tokens":27228,"output_tokens":1057,"response_id":"resp_0bd1d341b1878934016ad9fba5840887d19009c41c1265fd5e","model":"gpt-5.6-terra","search_calls":1},"review_1c6673629e91389d8ed9a449e7e2fb04":{"input_tokens":25683,"output_tokens":1007,"response_id":"resp_0bdc7c18c22906b5016ad9fbb0aa7887d1a545eb58d37e247e","model":"gpt-5.6-sol","search_calls":1},"repair_93de3781567c1a226ece4aea06087f48":{"input_tokens":29331,"output_tokens":1254,"response_id":"resp_0f060a6a65017543016ad9fbc405cc87d199fa150f0fc685c3","model":"gpt-5.6-sol","search_calls":1},"review_bd80cd2fe1f3ee4b40afcae495694b4e":{"input_tokens":25763,"output_tokens":1027,"response_id":"resp_0742cbb41fa1ec3a016ad9fbd0687c87d1b10222503780b7f3","model":"gpt-5.6-sol","search_calls":1},"repair_ce819983f5a310d651f9eb5333ef27a8":{"input_tokens":29700,"output_tokens":1819,"response_id":"resp_02475cdc3574b768016ad9fbe1887087d19218b06b216f2e84","model":"gpt-5.6-sol","search_calls":1},"repair_cffabe60a69f05be258549a8fade2e03":{"input_tokens":25345,"output_tokens":1395,"response_id":"resp_0363d17d82f5e541016ad9fbf1c79087d1a2e54fafe325c092","model":"gpt-5.6-sol","search_calls":1},"review_ede4208f30671e2313fd2812f5edc940":{"input_tokens":25991,"output_tokens":630,"response_id":"resp_0197b45a878634d0016ad9fbffca1487d195cfaa13d36a4348","model":"gpt-5.6-sol","search_calls":1},"image_hero":{"input_tokens":185,"output_tokens":1372,"response_id":"","model":"gpt-image-2.5-flare","search_calls":0},"image_detail1":{"input_tokens":173,"output_tokens":1372,"response_id":"","model":"gpt-image-2.5-flare","search_calls":0},"image_detail2":{"input_tokens":222,"output_tokens":1372,"response_id":"","model":"gpt-image-2.5-flare","search_calls":0}},"_wh_make_last_error":"Nur ein angehaltener, unver\u00e4nderter Entwurf mit zwei verbrauchten Korrekturen und ohne offene Antwort kann \u00fcbernommen werden.","_wh_make_write_intent":{"before":{"content_md5":"8034b5a753bee2dd18763248c1278b7b","title":"Vulnerabilit\u00e0 PHP 2026: come verificare e correggere i servizi web a rischio","slug":"php-vulnerabilita-2026-verificare-applicare-patch","excerpt":"Le vulnerabilit\u00e0 critiche di PHP possono mettere a rischio i servizi web non aggiornati. Scopri quali livelli di patch sono necessari, perch\u00e9 il tempo di esecuzione web \u00e8 importante e come pianificare gli aggiornamenti in modo sicuro.","status":"draft","featured_media":0},"expected":{"content_md5":"45697999985ad1df40c2a1e13cb5b256","title":"Vulnerabilit\u00e0 PHP 2026: come verificare e correggere i servizi web a rischio","slug":"php-vulnerabilita-2026-verificare-applicare-patch","excerpt":"Le vulnerabilit\u00e0 critiche di PHP possono mettere a rischio i servizi web non aggiornati. Scopri quali livelli di patch sono necessari, perch\u00e9 il tempo di esecuzione web \u00e8 importante e come pianificare gli aggiornamenti in modo sicuro.","status":"draft","featured_media":21948},"at":"2026-10-22T12:06:45+00:00"},"_wh_make_design_version":"2.1.18","rank_math_title":"PHP-Sicherheitsl\u00fccke 2026 richtig patchen","_wh_make_doc":{"title":"Vulnerabilit\u00e0 PHP 2026: come verificare e correggere i servizi web a rischio","slug":"php-vulnerabilita-2026-verificare-applicare-patch","excerpt":"Le vulnerabilit\u00e0 critiche di PHP possono mettere a rischio i servizi web non aggiornati. Scopri quali livelli di patch sono necessari, perch\u00e9 il tempo di esecuzione web \u00e8 importante e come pianificare gli aggiornamenti in modo sicuro.","seo":{"title":"Come applicare correttamente la patch alla vulnerabilit\u00e0 di sicurezza PHP 2026","description":"Verifica delle vulnerabilit\u00e0 critiche di PHP: versioni sicure, identificazione dell'ambiente di esecuzione web, pianificazione degli aggiornamenti in base alla modalit\u00e0 operativa e riavvio controllato dei servizi.","focus_keyword":"PHP Sicherheitsl\u00fccke patchen"},"lead":[{"kind":"text","text":"Nein, nicht \u201edas halbe Internet\u201c ist nachweislich betroffen. Doch ungepatchte PHP-Webdienste k\u00f6nnen durch zwei kritische Schwachstellen ohne vorherige Anmeldung gef\u00e4hrdet sein. Pr\u00fcfe daher zuerst die ","ref":""},{"kind":"strong","text":"tats\u00e4chliche Web-Laufzeit","ref":""},{"kind":"text","text":" statt nur PHP in der Shell, installiere den freigegebenen Sicherheitsfix und starte die betroffenen Worker kontrolliert neu. Besonders wichtig sind \u00f6ffentlich erreichbare Dienste, mod_php sowie Container und Produkte mit eingebettetem PHP.","ref":""},{"kind":"citation","text":"","ref":"S1"}],"images":{"hero":{"prompt":"Fotorealistisches redaktionelles Smartphonefoto, ungestellte Alltagsszene in einem leicht genutzten kleinen B\u00fcro bei Tageslicht: Eine individuell wirkende Frau Anfang 50 mit hellem Hautton, schulterlangen dunklen engen Locken, ovalem Gesicht und durchschnittlichem K\u00f6rperbau sitzt seitlich an einem einfachen Schreibtisch und pr\u00fcft konzentriert ein Hosting-Kundenpanel auf einem Monitor, Bildschirm ohne lesbaren Text oder Logos. Im Vordergrund ein Notizblock und eine Kaffeetasse, normale Kabel und Gebrauchsspuren, neutraler Bildausschnitt, nat\u00fcrliche Farben, leichte K\u00f6rnung, echte Hautstruktur, kein Stockfoto- oder Hochglanzlook.","alt":"Betreiberin pr\u00fcft an einem Arbeitsplatz die PHP-Einstellung eines Webprojekts.","caption":"KI-generiertes Symbolbild: Die aktive PHP-Laufzeit wird je Webprojekt und Betriebsart gepr\u00fcft.","filename_base":"php-sicherheitsluecke-web-laufzeit-pruefen","section_id":"","after_block":0},"detail1":{"prompt":"Fotorealistisches Smartphonefoto, sachliche Nahaufnahme ohne Menschen in einem normalen Technikraum: ein gebrauchter 19-Zoll-Serverschrank mit wenigen aktiven Ger\u00e4ten und sauber gef\u00fchrten Netzwerkleitungen, im Fokus eine kleine Beschriftungsfreie Statusanzeige und ein angeschlossener Verwaltungsrechner am Rand ohne lesbare Oberfl\u00e4che. Vorhandenes warmes Raumlicht, glaubw\u00fcrdige Staubspuren und leichte Gebrauchsspuren an Metall und Kunststoff, mittlere Sch\u00e4rfentiefe, leicht unperfekter Ausschnitt, nat\u00fcrliche Farben, keine Logos, kein Text, kein futuristischer CGI-Look.","alt":"Technikraum mit Serverhardware als Symbol f\u00fcr die Pr\u00fcfung von PHP-Webdiensten.","caption":"KI-generiertes Symbolbild: Die PHP-Version muss am Dienst gepr\u00fcft werden, der Webanfragen verarbeitet.","filename_base":"php-webdienst-server-pruefung","section_id":"web-laufzeit-zuverlaessig-pruefen","after_block":3},"detail2":{"prompt":"Glaubw\u00fcrdiges ungestelltes Smartphonefoto in einer kleinen, normal genutzten Werkstatt-Ecke eines B\u00fcros bei vorhandenem Deckenlicht: Ein individuell wirkender Mann Ende 40 mit hellem Hautton, kurzem rotbraunem Haar, kantigem Gesicht, kr\u00e4ftiger Statur und rechteckiger Brille pr\u00fcft konzentriert auf einem Tablet eine gesch\u00fctzte Herstellerinformation zu einer kompakten, unbeschrifteten Netzwerk-Appliance im Regal; Display nur als undeutliche Oberfl\u00e4che ohne lesbaren Text oder Logos. Daneben liegen ein handschriftlicher Inventarzettel und ein Stift. Plausible Anschl\u00fcsse, leichte Gebrauchsspuren, echte Hautstruktur, nat\u00fcrliche Farben, normale Sch\u00e4rfentiefe, leicht unperfekter Ausschnitt und geringe Bildk\u00f6rnung, kein Studio-, Werbe- oder CGI-Look.","alt":"Administrator pr\u00fcft Herstellerinformationen zu einer Netzwerk-Appliance mit eingebettetem PHP.","caption":"KI-generiertes Symbolbild: Bei Appliances sind Herstellerbewertung und produktspezifischer Updateweg zu pr\u00fcfen; dargestellt ist kein allgemeiner Updatevorgang.","filename_base":"eingebettetes-php-appliance-herstellerhinweis","section_id":"prioritaeten-fuer-alte-und-versteckte-installationen","after_block":1}},"chart":null,"social":{"facebook":"Kritische PHP-L\u00fccken betreffen nicht automatisch jede Website \u2013 aber ungepatchte Web-Laufzeiten k\u00f6nnen ein erhebliches Risiko sein. Der Leitfaden zeigt Patchst\u00e4nde, Pr\u00fcfwege und Priorit\u00e4ten f\u00fcr Hosting, Server und Container.","instagram":"PHP-Update nicht aufschieben: Entscheidend ist die PHP-Version, die echte Webanfragen verarbeitet. Pr\u00fcfe Domains, FPM, Container und eingebettete Produkte getrennt. #PHPSicherheit #Webhosting #Updates","tiktok":"PHP in der Shell ist nicht zwingend PHP im Webdienst. Warum du FPM, Container und Hosting-Panel separat pr\u00fcfen musst \u2013 plus sichere Patchst\u00e4nde im \u00dcberblick.","youtube":"PHP-Sicherheitsl\u00fccke 2026: Welche Dienste betroffen sein k\u00f6nnen, wie du die tats\u00e4chliche Web-Laufzeit pr\u00fcfst und warum Patchen wichtiger ist als ein blo\u00dfer Neustart.","threads":"\u201eDas halbe Internet\u201c ist keine belegte Zahl. Trotzdem sind kritische PHP-L\u00fccken ein Anlass, den tats\u00e4chlichen Web-Interpreter, Patchstand und Updateweg je Dienst sofort zu pr\u00fcfen.","x":"Kritische PHP-L\u00fccken: Nicht jede PHP-Website ist automatisch betroffen, aber ungepatchte Web-Laufzeiten m\u00fcssen priorisiert werden. Pr\u00fcfe FPM, mod_php, Container und eingebettete Produkte \u2013 nicht nur `php -v`."},"avatar_script":"Die Schlagzeile klingt gro\u00df, aber die richtige Frage ist konkreter: Welche PHP-Laufzeit verarbeitet deine Webanfragen wirklich? Zwei kritische Schwachstellen betreffen ungepatchte PHP-Webdienste und k\u00f6nnen unter bestimmten Bedingungen Codeausf\u00fchrung erm\u00f6glichen. Pr\u00fcfe deshalb nicht nur die Ausgabe von php -v in der Shell. Entscheidend sind auch PHP-FPM, Apache mit mod_php, Container und Produkte, in denen PHP versteckt eingebettet ist. Installiere den vom Hoster, Distributor oder Hersteller bereitgestellten Fix, starte anschlie\u00dfend den zust\u00e4ndigen Dienst kontrolliert neu und teste wichtige Abl\u00e4ufe wie Login, Formulare, Uploads und APIs. Eine WAF oder ein Neustart ohne Update sind keine vollst\u00e4ndige L\u00f6sung.","version_note":"Recherche-Stand: 22. Oktober 2026. Patchst\u00e4nde und Supportangaben beziehen sich auf die bereitgestellten PHP- und CERT-EU-Quellen; bei Distributionspaketen sind dokumentierte Sicherheits-Backports gesondert zu pr\u00fcfen.","sections":[{"id":"alarmmeldung-richtig-einordnen","heading":"Die Alarmmeldung richtig einordnen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Aussage, eine PHP-Sicherheitsl\u00fccke k\u00f6nne \u201edas halbe Internet\u201c betreffen, ist ein zugespitzter Aufh\u00e4nger, aber keine belegte Gr\u00f6\u00dfenordnung. Es gibt keinen Nachweis, dass die H\u00e4lfte aller Internetdienste verwundbar oder bereits kompromittiert ist. Das tats\u00e4chliche Risiko ist dennoch erheblich, weil PHP als Laufzeitumgebung in vielen Websites, Shops, APIs und Verwaltungsoberfl\u00e4chen eingesetzt wird.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Entscheidend ist nicht, ob eine Website PHP nutzt, sondern welche PHP-Version ihre Webanfragen verarbeitet. Die Sicherheitsupdates vom 21. Oktober 2026 betreffen grunds\u00e4tzlich ungepatchte Installationen der unterst\u00fctzten Zweige, sofern sie Anfragen \u00fcber einen Webdienst bedienen. Ein lokales PHP f\u00fcr Entwicklungsaufgaben ist daher anders zu bewerten als ein von au\u00dfen erreichbares Kundenportal.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die ","ref":""},{"kind":"strong","text":"Internet-Exponierung","ref":""},{"kind":"text","text":" bestimmt die Dringlichkeit wesentlich. Ein \u00f6ffentlich erreichbarer Shop mit Formularen und Uploads bietet mehr m\u00f6gliche Ber\u00fchrungspunkte als ein abgeschotteter interner Dienst. Auch ein interner Dienst ist aber nicht automatisch sicher: VPN-Zug\u00e4nge, kompromittierte Konten oder andere Systeme im Netzwerk k\u00f6nnen ihn erreichbar machen. Reichweite allein ersetzt deshalb keine technische Risikopr\u00fcfung.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ebenso wichtig sind Betriebsart und ","ref":""},{"kind":"strong","text":"Patchstand","ref":""},{"kind":"text","text":". PHP kann etwa \u00fcber PHP-FPM, als Apache-Modul, per php-cgi oder eingebettet in ein Produkt laufen. Mehrere Domains auf demselben Server k\u00f6nnen dabei unterschiedliche Versionen und Aktualisierungswege haben. Eine pauschale Entwarnung f\u00fcr alle PHP-Websites w\u00e4re ebenso falsch wie die Annahme, jede Installation sei unmittelbar angreifbar.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"rce-und-betroffene-php-wege","heading":"Was die PHP-Schwachstellen technisch erm\u00f6glichen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Eine ","ref":""},{"kind":"strong","text":"Remote Code Execution","ref":""},{"kind":"text","text":" (RCE) bedeutet, dass ein Angreifer unter bestimmten Bedingungen Code auf einem entfernten System ausf\u00fchren kann. Bei diesen PHP-Schwachstellen ist laut Sicherheitsmeldung keine vorherige Anmeldung erforderlich. Ausgef\u00fchrt w\u00fcrde der Code zun\u00e4chst mit den Rechten des Webprozesses, nicht automatisch mit uneingeschr\u00e4nkten Administratorrechten. Die m\u00f6glichen Folgen h\u00e4ngen daher stark von Dateirechten, Zugangsdaten und der Servertrennung ab.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"CVE-2026-109618 betrifft Fehlerpfade bei ","ref":""},{"kind":"strong","text":"Speicherknappheit","ref":""},{"kind":"text","text":". Bricht PHP eine Anfrage wegen eines Out-of-Memory-Zustands ab, k\u00f6nnen interne Datenstrukturen unvollst\u00e4ndig bleiben. Werden solche Zust\u00e4nde beim Aufr\u00e4umen der Anfrage weiterverwendet, kann Speicherbesch\u00e4digung entstehen. Die offizielle Beschreibung nennt insbesondere Multipart-Anfragen, Dateiuploads und den Speicherverbrauch beim Parsen verschachtelter Eingaben als relevante technische Kontexte.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"CVE-2026-109619 betrifft dagegen an eine Anfrage gebundenen internen Zustand, dessen Speicher bereits freigegeben wurde. Verarbeitet ein wiederverwendeter Worker danach eine weitere Anfrage, kann PHP auf diesen veralteten Zustand zugreifen, bevor die normale Initialisierung greift. Die Sicherheitsmeldung verweist dabei unter anderem auf den Upload-Fortschritt von Sessions und Fehlerpfade. Das beschreibt die Fehlerklasse, nicht eine Anleitung zur Ausnutzung.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"list","ordered":false,"items":["Betroffen sein k\u00f6nnen Webanfragen \u00fcber PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.","Die Fehler liegen in der PHP-Laufzeit, nicht prim\u00e4r in WordPress, Joomla, Shopware, Themes oder einzelnen Plugins.","CMS und Frameworks beeinflussen erreichbare Funktionen wie Uploads, ersetzen aber kein Update des Interpreters."],"source_ids":["S1","S2"]}]},{"id":"risiko-haengt-vom-betrieb-ab","heading":"Warum nicht jede Installation gleich gef\u00e4hrdet ist","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Ob ein Dienst praktisch gef\u00e4hrdet ist, ergibt sich aus mehreren Faktoren. Vorrang haben eine ungepatchte PHP-Web-Laufzeit und ein erreichbarer Webdienst. Danach z\u00e4hlen die Betriebsart, wiederverwendete Prozesse, Funktionen f\u00fcr Uploads oder komplexe Formulare sowie die Rechte des Webprozess-Kontos. Ein Dienst mit weitreichendem Schreibzugriff auf Webdateien oder Zugang zu weiteren Diensten kann schwerere Folgen haben als ein strikt isoliertes Projekt.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei Apache mit ","ref":""},{"kind":"strong","text":"mod_php","ref":""},{"kind":"text","text":" hebt das PHP-Projekt den Risikofokus besonders hervor: Ein dokumentierter Angriff kann bereits vor der Ausf\u00fchrung des eigentlichen Anwendungscodes ausgel\u00f6st werden. Ein sauber gepflegtes CMS sch\u00fctzt dann nicht vor der Schwachstelle in der Laufzeit. Das bedeutet nicht, dass PHP-FPM, php-cgi, FrankenPHP oder LiteSpeed als ungef\u00e4hrlich gelten; sie m\u00fcssen bei einem ungepatchten Stand ebenfalls priorisiert gepr\u00fcft werden.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Besondere Aufmerksamkeit brauchen au\u00dferdem Produkte mit ","ref":""},{"kind":"strong","text":"eingebettetem PHP","ref":""},{"kind":"text","text":". Dazu k\u00f6nnen Container-Images, Appliances, NAS-Verwaltungen oder Netzwerkprodukte geh\u00f6ren, deren Oberfl\u00e4che PHP intern verwendet. Dort zeigt ein Befehl auf dem Host oft nicht die tats\u00e4chlich eingesetzte Laufzeit. Das Update des Betriebssystems behebt auch nicht automatisch eine verwundbare PHP-Komponente in einem Image oder Herstellerprodukt.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Eine Firewall, Web Application Firewall oder restriktive Upload-Limits k\u00f6nnen einzelne Anfragen erschweren und die Angriffsfl\u00e4che begrenzen. Sie sind jedoch kein Ersatz f\u00fcr den Fix, weil sie nicht die fehlerhafte Speicher- und Zustandsverwaltung im Interpreter korrigieren. Auch ein fehlerfreies CMS bleibt auf eine sichere Laufzeit angewiesen. Ma\u00dfgeblich ist deshalb, den Patchstand des tats\u00e4chlich Webanfragen verarbeitenden PHP zu pr\u00fcfen und zu aktualisieren.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"patchstaende-und-supportstatus","heading":"Sichere Patchst\u00e4nde und Supportstatus vergleichen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr die beiden Sicherheitsl\u00fccken z\u00e4hlt zun\u00e4chst der Patchstand innerhalb des eingesetzten PHP-Zweigs. Das PHP-Projekt nennt f\u00fcr die unterst\u00fctzten Reihen konkrete korrigierte Releases. Fr\u00fchere Patchst\u00e4nde derselben Reihe gelten als betroffen; ein Upgrade auf die angegebene oder eine neuere Version dieses Zweigs ist die vorgesehene vollst\u00e4ndige Abhilfe.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"table","caption":"PHP-Zweige: Patchst\u00e4nde und Supportlage am 22. Oktober 2026","headers":["PHP-Zweig","Betroffen bis einschlie\u00dflich","Sichere Version ab","Supportstatus am 22. Oktober 2026","Empfohlene Ma\u00dfnahme"],"rows":[["PHP 8.2","8.2.34","8.2.35","Nur Sicherheitsupdates bis 31. Dezember 2026","Kurzfristig auf mindestens 8.2.35 aktualisieren und Migration planen."],["PHP 8.3","8.3.35","8.3.36","Nur Sicherheitsupdates bis 31. Dezember 2027","Auf mindestens 8.3.36 aktualisieren."],["PHP 8.4","8.4.26","8.4.27","Aktiver Support bis 31. Dezember 2026","Auf mindestens 8.4.27 aktualisieren."],["PHP 8.5","8.5.11","8.5.12","Aktiver Support bis 31. Dezember 2027","Auf mindestens 8.5.12 aktualisieren."],["PHP 8.1 und \u00e4lter","Kein regul\u00e4res aktuelles Upstream-Release","Kein allgemein verf\u00fcgbares regul\u00e4res Fix-Release","Nicht regul\u00e4r vom PHP-Projekt unterst\u00fctzt","Anbieter-Backport pr\u00fcfen oder auf einen unterst\u00fctzten Zweig migrieren."]],"source_ids":["S1","S4"]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein ","ref":""},{"kind":"strong","text":"Patch-Update","ref":""},{"kind":"text","text":" bleibt in derselben Entwicklungsreihe, etwa von 8.3.35 auf 8.3.36. Es soll den Sicherheitsfix bereitstellen und hat einen engeren Kompatibilit\u00e4tsrahmen als ein Wechsel von 8.2 auf 8.4. Letzterer ist eine Migration: Abh\u00e4ngigkeiten, Erweiterungen, Anwendungscode und gegebenenfalls das Deployment m\u00fcssen daf\u00fcr separat gepr\u00fcft werden.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"PHP 8.2 ist f\u00fcr die akute Behebung weiterhin nutzbar, sofern mindestens Version 8.2.35 l\u00e4uft. Der Zweig erreicht jedoch am 31. Dezember 2026 sein Supportende. Deshalb sollte ein Betrieb nicht bei diesem Sofortschritt stehen bleiben: Plane die Umstellung auf einen l\u00e4nger unterst\u00fctzten Zweig, nachdem die Anwendung in einer geeigneten Umgebung auf Kompatibilit\u00e4t gepr\u00fcft wurde.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei PHP 8.1 und \u00e4lter ist besondere Vorsicht n\u00f6tig. Das PHP-Projekt stellt daf\u00fcr kein regul\u00e4res aktuelles Release bereit; minimale Quellcode-Backports sind nicht mit einem allgemein verf\u00fcgbaren, gepflegten Paket gleichzusetzen. Ein vom Betriebssystemanbieter dokumentierter Sicherheits-Backport kann angemessen sein, erfordert aber einen Nachweis im Security Advisory oder Paket-Changelog. Fehlt er, ist eine Migration statt einer blo\u00dfen Versionskosmetik n\u00f6tig.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"web-laufzeit-zuverlaessig-pruefen","heading":"Die tats\u00e4chliche Web-Laufzeit pr\u00fcfen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Versionspr\u00fcfung beginnt mit einer Bestandsaufnahme, darf aber nicht bei der Shell enden. Auf einem selbst verwalteten Server zeigen die folgenden Befehle die Version des dort aufgerufenen PHP-Befehls und die von diesem Aufruf gefundenen Konfigurationsdateien. Sie ver\u00e4ndern weder Pakete noch Konfiguration und eignen sich daher als erster, risikoarmer Pr\u00fcfschritt.","ref":""}]},{"type":"code","language":"bash","code":"php -v\nphp --ini","source_ids":[]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Ausgabe beschreibt nur die \u00fcber diesen Shell-Befehl aufgerufene ","ref":""},{"kind":"strong","text":"CLI-Laufzeit","ref":""},{"kind":"text","text":". Eine Website kann dagegen \u00fcber PHP-FPM, Apache mit mod_php, php-cgi oder einen Container bedient werden. Diese Web-Laufzeit kann eine andere PHP-Version und andere Konfigurationsdateien nutzen als der Befehl ","ref":""},{"kind":"code","text":"php -v","ref":""},{"kind":"text","text":" auf dem Host. F\u00fcr die Sicherheitsbewertung ist der Prozess ma\u00dfgeblich, der reale HTTP-Anfragen verarbeitet.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Im Managed Hosting pr\u00fcfst du deshalb im Kundenpanel die pro Projekt oder Domain ausgew\u00e4hlte PHP-Version und fragst bei Bedarf den Patchstand des bereitgestellten Dienstes ab. Bei mehreren Domains ist jede Zuweisung einzeln zu kontrollieren: Eine Hauptdomain kann bereits den gepatchten Zweig verwenden, w\u00e4hrend ein Shop, eine Staging-Instanz oder eine Subdomain noch einen \u00e4lteren Interpreter nutzt.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Auf Servern mit PHP-FPM geh\u00f6ren Service-Konfiguration, Paketbestand und Deployment-Unterlagen zusammen. In Container-Umgebungen pr\u00fcfst du zus\u00e4tzlich das tats\u00e4chlich ausgerollte Image und nicht nur ein lokales Build-Manifest. Entscheidend ist, welche Revision im laufenden Pod oder Container Webanfragen annimmt; ein aktualisiertes Basisimage sch\u00fctzt keine bereits laufende \u00e4ltere Instanz.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"callout","variant":"warning","title":"Keine \u00f6ffentliche Diagnose-Seite","runs":[{"kind":"text","text":"Eine \u00f6ffentlich erreichbare ","ref":""},{"kind":"code","text":"phpinfo()","ref":""},{"kind":"text","text":"-Seite ist keine empfehlenswerte Standardpr\u00fcfung. Sie kann Versions-, Modul-, Pfad- und Konfigurationsdaten offenlegen. Nutze stattdessen Zug\u00e4nge des Hosting-Panels, die Serververwaltung oder intern gesch\u00fctzte Betriebsdokumentation.","ref":""}]}]},{"id":"updatewege-nach-betriebsart","heading":"Updatewege nach Betriebsart planen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Der geeignete Updateweg richtet sich danach, wer den Interpreter ausliefert und wo er betrieben wird. Erst wenn dieser Verantwortungsbereich klar ist, l\u00e4sst sich zuverl\u00e4ssig entscheiden, ob ein Panel-Wechsel, ein Paketupdate, ein neues Image oder ein Herstellerupdate erforderlich ist. Die folgende Einordnung trennt diese F\u00e4lle, ohne die Betriebsarten hinsichtlich ihres Risikos gleichzusetzen.","ref":""}]},{"type":"table","caption":"Versionspr\u00fcfung und Aktualisierung nach PHP-Betriebsart","headers":["Betriebsart","Wo die tats\u00e4chliche Version pr\u00fcfen?","Wer aktualisiert?","Typische Besonderheit"],"rows":[["Shared Hosting","Kundenpanel je Domain oder Projekt; Auskunft des Hosters","Hosting-Anbieter oder Kunde \u00fcber freigegebene Auswahl","PHP-Zuweisungen k\u00f6nnen zwischen Domains abweichen."],["PHP-FPM auf Linux","FPM-Pool, installierte Pakete, Dienst- und Deployment-Konfiguration","Serveradministration oder Distribution","Paketversion kann einen dokumentierten Sicherheits-Backport enthalten."],["Apache mit mod_php","Apache-Modulkonfiguration und installierte Pakete","Serveradministration oder Distribution","Vom PHP-Projekt mit besonderem Risikofokus beschrieben."],["Container","Laufendes Image, Image-Tag oder Digest sowie Container-Laufzeit","Team f\u00fcr Build und Deployment","Host-Updates \u00e4ndern das eingebettete PHP im Image nicht automatisch."],["Eingebettetes PHP im Produkt","Herstellerdokumentation, Produktversion und Security Advisory","Produkthersteller oder Produktadministration","PHP kann ohne separat sichtbare Installation Teil einer Appliance sein."]],"source_ids":["S1","S3"]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei Shared Hosting sollte der Anbieter den sicheren Patchstand f\u00fcr die gew\u00e4hlte PHP-Reihe bereitstellen; der Betreiber pr\u00fcft anschlie\u00dfend die Anwendung. Bei PHP-FPM oder mod_php aktualisiert die Administration in der Regel die Pakete und startet danach den tats\u00e4chlich zust\u00e4ndigen Dienst kontrolliert neu. Ein reiner Neustart ohne eingespielten Fix ersetzt das Update nicht.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Linux-Distributionen liefern Sicherheitskorrekturen h\u00e4ufig als ","ref":""},{"kind":"strong","text":"Backport","ref":""},{"kind":"text","text":". Dann kann die sichtbare Paketversionsnummer von den Releases auf php.net abweichen, obwohl der Fix enthalten ist. Vergleiche daher nicht nur Zeichenketten wie \u201e8.4.26\u201c, sondern lies die Sicherheitsmitteilung und das Changelog des Distributors. Das PHP-Projekt weist darauf hin, dass Distributionen und LTS-Anbieter Patches erhalten k\u00f6nnen.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Container verlangen einen eigenen Ablauf: ein korrigiertes Image bauen oder vom Anbieter beziehen, dieses ausrollen und alte Instanzen ersetzen. Bei NAS-Oberfl\u00e4chen, Netzwerkger\u00e4ten oder fertigen Webanwendungen liegt die Korrektur dagegen beim Herstellerprodukt. Ein Patch des Hostbetriebssystems erreicht dort nicht zwangsl\u00e4ufig den eingebetteten Interpreter; Inventarisierung und Herstellerhinweise bleiben deshalb unverzichtbar.","ref":""},{"kind":"citation","text":"","ref":"S3"}]}]},{"id":"sofortmassnahmen-und-neustarts","heading":"Sofortma\u00dfnahmen ohne falsche Sicherheit","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Am Patch-Tag verschaffst du dir zuerst ein belastbares Inventar: Domains, APIs, Verwaltungsoberfl\u00e4chen, Container und Produkte mit m\u00f6glichem eingebettetem PHP. Notiere je Dienst die Web-Betriebsart, den verantwortlichen Updateweg und die tats\u00e4chlich verwendete PHP-Laufzeit. Danach erh\u00e4lt jeder \u00f6ffentlich erreichbare oder gesch\u00e4ftskritische Dienst Vorrang, nicht lediglich der Server mit der auff\u00e4lligsten Versionsnummer.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Spiele anschlie\u00dfend das vom Hoster, Linux-Distributor, Image- oder Produkthersteller freigegebene Sicherheitsupdate ein. F\u00fcr die unterst\u00fctzten PHP-Zweige ist das Update auf den korrigierten Patchstand die vollst\u00e4ndige Abhilfe; eine WAF, Upload-Regeln oder ein Webserver-Neustart ersetzen es nicht. Plane den Vorgang so, dass Paket-, Image- oder Herstellerupdate nachvollziehbar dokumentiert und bei Problemen zur\u00fcckverfolgt werden kann.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Nach der Aktualisierung m\u00fcssen ","ref":""},{"kind":"strong","text":"alle alten Worker","ref":""},{"kind":"text","text":" beendet und durch Prozesse ersetzt werden, die nachweislich die gepatchte Laufzeit geladen haben. Verwende einen Reload nur, wenn die konkrete Dienstverwaltung diesen vollst\u00e4ndigen Austausch sicherstellt; andernfalls ist ein kontrollierter Neustart erforderlich. Pr\u00fcfe anschlie\u00dfend Prozessstartzeiten, Dienststatus oder die intern ermittelte Web-Laufzeit, statt den Austausch lediglich anzunehmen. Bei Containern rollst du das korrigierte Image aus und entfernst s\u00e4mtliche alten Instanzen.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Kontrolliere danach zentrale Anwendungswege wie Anmeldung, Formulare, Uploads, Checkout und APIs. Die Tests zeigen, ob Anwendung und Erweiterungen mit dem aktualisierten Patchstand funktionieren; sie belegen allein jedoch weder den vollst\u00e4ndigen Worker-Austausch noch die Abwesenheit einer fr\u00fcheren Kompromittierung. Diese Punkte m\u00fcssen \u00fcber Betriebs- und Sicherheitspr\u00fcfungen getrennt bewertet werden.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Falls ein Patch kurzfristig nicht m\u00f6glich ist, k\u00f6nnen einzelne Einstellungen bekannte Angriffspfade begrenzen, aber keine vollst\u00e4ndige Sicherheit herstellen. Das Abschalten des Upload-Fortschritts muss vor dem Parsen einer Anfrage wirksam sein. Pr\u00fcfe vorab, ob Anwendungen oder Oberfl\u00e4chen diese Fortschrittsanzeige ben\u00f6tigen, und starte danach jeden zust\u00e4ndigen PHP-Worker neu. Verifiziere anschlie\u00dfend, dass kein alter Prozess mit der vorherigen Einstellung weiterarbeitet.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"code","language":"ini","code":"session.upload_progress.enabled = 0","source_ids":["S1"]},{"type":"paragraph","runs":[{"kind":"text","text":"Konservative Grenzen f\u00fcr POST-Daten und weitere in der Sicherheitsmeldung genannte Optionen k\u00f6nnen die Angriffsfl\u00e4che ebenfalls nur teilweise reduzieren. Sp\u00e4t gelesene ","ref":""},{"kind":"code","text":".user.ini","ref":""},{"kind":"text","text":"-Dateien oder ein ","ref":""},{"kind":"code","text":"ini_set()","ref":""},{"kind":"text","text":" innerhalb der Anwendung reichen f\u00fcr diese Einstellung nicht aus. Behandle solche Ma\u00dfnahmen als befristete Risikoreduktion und halte am Sicherheitsupdate als Ziel fest.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Davon zu unterscheiden ist die regul\u00e4re Verwaltung gespeicherter Sitzungen. Der Beitrag zur ","ref":""},{"kind":"internal_link","text":"PHP Session Garbage Collection","ref":"I1"},{"kind":"text","text":" erkl\u00e4rt, wie Bereinigung, Dateizugriffe und Worker im normalen Betrieb zusammenspielen. Diese Betriebsoptimierung behebt die hier behandelten Schwachstellen jedoch nicht und ersetzt weder den korrigierten PHP-Patchstand noch den anschlie\u00dfenden Austausch der laufenden Prozesse.","ref":""}]}]},{"id":"betrieb-pruefen-und-auffaelligkeiten","heading":"Nach dem Patch Betrieb und Auff\u00e4lligkeiten pr\u00fcfen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Ein erfolgreich abgeschlossenes Paketupdate belegt zun\u00e4chst nur, dass Dateien oder Pakete installiert wurden. Es best\u00e4tigt weder, dass der Webprozess die neue Laufzeit geladen hat, noch dass die Anwendung damit fehlerfrei arbeitet. Pr\u00fcfe deshalb nach dem Neustart die f\u00fcr den Dienst ma\u00dfgebliche Web-Laufzeit und dokumentiere Zeitpunkt, Version, neu gestarteten Dienst sowie das Ergebnis der Funktionskontrolle.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Funktionspr\u00fcfung sollte reale Kernabl\u00e4ufe abdecken: wichtige \u00f6ffentliche Seiten, Anmeldung und Abmeldung, Formularversand, Datei-Upload, Checkout oder Buchung sowie API-Endpunkte und Hintergrundaufgaben. Teste nur Vorg\u00e4nge, f\u00fcr die du berechtigt bist, und nutze bei produktiven Shops m\u00f6glichst daf\u00fcr vorgesehene Testdaten. Kontrolliere parallel Webserver-, PHP- und Anwendungsprotokolle auf neue Fehler, wiederholte Abst\u00fcrze oder unerwartete Statuscodes.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein Neustart ist notwendig, um langlebige Prozesse und ","ref":""},{"kind":"strong","text":"Worker","ref":""},{"kind":"text","text":" mit aktualisiertem Code zu laden, erzeugt aber selbst keinen Fix. Ohne eingespieltes Update bleibt die Schwachstelle bestehen. Bei hoher Auslastung sollte das Wartungsfenster so gew\u00e4hlt werden, dass Anfragen geordnet abflie\u00dfen k\u00f6nnen und die Auswirkungen eines Worker-Neustarts beobachtbar bleiben.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Wie stark ein kontrollierter Neustart den Durchsatz beeinflusst, h\u00e4ngt von Zahl und Auslastung der PHP-Prozesse ab. F\u00fcr die Planung hilft es, Warteschlangen, laufende Jobs und kritische Transaktionen zu ber\u00fccksichtigen, statt Prozesse unkoordiniert zu beenden. Der Leitfaden ","ref":""},{"kind":"internal_link","text":"PHP Workers verstehen","ref":"I2"},{"kind":"text","text":" erkl\u00e4rt die Rolle dieser Prozesse bei parallelen dynamischen Anfragen.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Treten nach dem Patch Auff\u00e4lligkeiten auf, unterscheide zwischen Kompatibilit\u00e4tsfehlern der Anwendung und einem unvollst\u00e4ndigen Rollout. Vergleiche Konfiguration, aktivierte Erweiterungen und die Web-Laufzeit mit dem Stand vor der Wartung. Ein Rollback darf nicht dazu f\u00fchren, dass ein \u00f6ffentlich erreichbarer Dienst dauerhaft auf dem verwundbaren Stand verbleibt; kl\u00e4re dann z\u00fcgig einen kompatiblen, gepatchten Updatepfad.","ref":""}]}]},{"id":"prioritaeten-fuer-alte-und-versteckte-installationen","heading":"Alte und versteckte PHP-Installationen priorisieren","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Besondere Aufmerksamkeit ben\u00f6tigen Systeme, auf denen PHP nicht als bewusst installierte Laufzeit sichtbar ist: Docker-Images, virtuelle Appliances, NAS- und Netzwerkoberfl\u00e4chen sowie fertige Softwareprodukte. Ein Update des Hosts aktualisiert weder automatisch ein Container-Image noch die intern mitgelieferte Laufzeit eines Herstellerprodukts. Frage deshalb Hersteller gezielt nach ihrer Bewertung und nach einem Sicherheitsupdate f\u00fcr das konkrete Produkt.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei alten Zweigen sind drei F\u00e4lle sauber zu trennen. Ein regul\u00e4r unterst\u00fctzter PHP-Release erh\u00e4lt die vom PHP-Projekt ver\u00f6ffentlichten Sicherheitsupdates. Ein Distributions- oder Anbieter-Backport kann den Fix trotz abweichender sichtbarer Versionsnummer enthalten, muss aber durch die Sicherheitsmeldung oder das Changelog dieses Anbieters belegt sein. Selbst gepflegter Quellcode verlangt dagegen eigene Build-, Test- und Betriebsverantwortung; er ist kein gleichwertiger Ersatz f\u00fcr einen regul\u00e4ren Updatekanal.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"PHP 8.1 und \u00e4ltere Zweige erhalten keine regul\u00e4ren Upstream-Releases mehr. F\u00fcr PHP 8.2 steht zwar ein korrigierter Patchstand bereit, der Zweig erreicht jedoch Ende 2026 sein Supportende. Nutze einen verf\u00fcgbaren Fix f\u00fcr die akute Lage, plane bei alten oder auslaufenden Versionen aber zus\u00e4tzlich eine getestete ","ref":""},{"kind":"strong","text":"Migration","ref":""},{"kind":"text","text":" auf einen l\u00e4nger unterst\u00fctzten Zweig.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"list","ordered":true,"items":["\u00d6ffentlich erreichbare Dienste mit ungepatchter PHP-Laufzeit zuerst aktualisieren, besonders wenn Uploads oder Verwaltungsfunktionen erreichbar sind.","Apache mit mod_php und gesch\u00e4ftskritische Shops, APIs oder Kundenportale unmittelbar danach behandeln; die offizielle Sicherheitsmeldung hebt f\u00fcr mod_php einen besonders kritischen Risikofokus hervor.","Container, Appliances und Drittprodukte anhand von Images, Inventar und Herstellerstatus erfassen; fehlende sichtbare PHP-Pakete sind kein Entwarnungssignal.","Nicht unterst\u00fctzte oder nicht zeitnah patchbare Dienste isolieren und Zugriffe einschr\u00e4nken, parallel aber verbindlich Ersatz, Upgrade oder Migration planen."],"source_ids":["S1","S3"]},{"type":"paragraph","runs":[{"kind":"text","text":"Netzsegmentierung, VPN-Pflicht oder restriktive Zugriffsregeln k\u00f6nnen bei nicht sofort patchbaren Verwaltungsoberfl\u00e4chen Zeit gewinnen. Sie sind jedoch nur ","ref":""},{"kind":"strong","text":"\u00dcbergangsma\u00dfnahmen","ref":""},{"kind":"text","text":", weil interne Nutzerkonten, kompromittierte Ger\u00e4te und falsch konfigurierte Freigaben weiterhin Angriffswege schaffen k\u00f6nnen. Wird f\u00fcr ein Produkt kein Fix angeboten oder ist der PHP-Zweig dauerhaft au\u00dferhalb des Supports, ist Ersatz oder Migration die belastbare Entscheidung.","ref":""},{"kind":"citation","text":"","ref":"S3"}]}]}]},"_wh_make_word_report":{"words":2498,"min":2000,"max":3000,"target":2500,"ok":true,"missing":0,"excess":0,"lead_words":58,"section_words":{"alarmmeldung-richtig-einordnen":205,"rce-und-betroffene-php-wege":208,"risiko-haengt-vom-betrieb-ab":234,"patchstaende-und-supportstatus":311,"web-laufzeit-zuverlaessig-pruefen":237,"updatewege-nach-betriebsart":318,"sofortmassnahmen-und-neustarts":368,"betrieb-pruefen-und-auffaelligkeiten":260,"prioritaeten-fuer-alte-und-versteckte-installationen":299}},"_wh_make_review":{"verdict":"pass","issues":[],"checked_source_ids":["S1","S2","S3","S4"],"summary":"Der Artikel ist fachlich schl\u00fcssig und wird von den gepr\u00fcften Quellen getragen. CVE-Trennung, betroffene Web-SAPIs, korrigierte Patchst\u00e4nde, Supportzeitr\u00e4ume und die besondere Risikoeinordnung von mod_php sind korrekt dargestellt. Patch-Updates, Migrationen und dokumentierte Anbieter-Backports werden sauber unterschieden. Die Hinweise zu CLI- und Web-Laufzeit, Worker-Neustarts, Containern, eingebettetem PHP und begrenzten \u00dcbergangsma\u00dfnahmen vermeiden falsche Sicherheit. Codebeispiele werden nicht als vollst\u00e4ndige L\u00f6sung ausgegeben. Die Bildkonzepte sind als KI-generierte Symbolbilder gekennzeichnet und zeigen keine irref\u00fchrende technische Topologie oder vorget\u00e4uschte Tests."},"_wh_make_review_doc_hash":"9382f3bb3677c50d12c325a888a5177ebc10a4f76dc51c28425f9d46a32d85e4","_yoast_wpseo_primary_category":null,"rank_math_schema_blogposting":null,"rank_math_schema_videoobject":null,"_oembed_049c719bc4a9f89deaead66a7da9fddc":null,"_oembed_time_049c719bc4a9f89deaead66a7da9fddc":null,"_yoast_wpseo_focuskw":null,"inline_featured_image":null,"_yoast_wpseo_linkdex":null,"_eael_widget_elements":null,"_oembed_c3b0f6959478faf92a1f343d8f96b19e":null,"_oembed_27e3473bf8bec795fbeb3a9d38489348":null,"_trp_translated_slug_en_us":null,"_yoast_wpseo_title":null,"tldname":null,"tldpreis":null,"tldrubrik":null,"tldpolicylink":null,"tldsize":null,"tldregistrierungsdauer":null,"tldtransfer":null,"tldwhoisprivacy":null,"tldregistrarchange":null,"tldregistrantchange":null,"tldwhoisupdate":null,"tldnameserverupdate":null,"tlddeletesofort":null,"tlddeleteexpire":null,"tldumlaute":null,"tldrestore":null,"tldsubcategory":null,"tldbildname":null,"tldbildurl":null,"tldclean":null,"tldcategory":null,"tldpolicy":null,"tldbesonderheiten":null,"tld_bedeutung":null,"_oembed_d167040d816d8f94c072940c8009f5f8":null,"_oembed_b0a0fa59ef14f8870da2c63f2027d064":null,"_oembed_4792fa4dfb2a8f09ab950a73b7f313ba":null,"_oembed_33ceb1fe54a8ab775d9410abf699878d":null,"_oembed_fd7014d14d919b45ec004937c0db9335":null,"_oembed_21a029d076783ec3e8042698c351bd7e":null,"_oembed_be5ea8a0c7b18e658f08cc571a909452":null,"_oembed_a9ca7a298b19f9b48ec5914e010294d2":null,"_oembed_f8db6b27d08a2bb1f920e7647808899a":null,"_oembed_168ebde5096e77d8a89326519af9e022":null,"_oembed_cdb76f1b345b42743edfe25481b6f98f":null,"_oembed_87b0613611ae54e86e8864265404b0a1":null,"_oembed_27aa0e5cf3f1bb4bc416a4641a5ac273":null,"_oembed_time_27aa0e5cf3f1bb4bc416a4641a5ac273":null,"_tldname":null,"_tldclean":null,"_tldpreis":null,"_tldcategory":null,"_tldsubcategory":null,"_tldpolicy":null,"_tldpolicylink":null,"_tldsize":null,"_tldregistrierungsdauer":null,"_tldtransfer":null,"_tldwhoisprivacy":null,"_tldregistrarchange":null,"_tldregistrantchange":null,"_tldwhoisupdate":null,"_tldnameserverupdate":null,"_tlddeletesofort":null,"_tlddeleteexpire":null,"_tldumlaute":null,"_tldrestore":null,"_tldbildname":null,"_tldbildurl":null,"_tld_bedeutung":null,"_tldbesonderheiten":null,"_oembed_8357e2b8a2575c74ed5978f262a10126":null,"_oembed_ad96e4112edb9f8ffa35731d4098bc6b":null,"_oembed_3d5fea5103dd0d22ec5d6a33eff7f863":null,"_oembed_819a879e7da16dd629cfd15a97334c8a":null,"_oembed_time_819a879e7da16dd629cfd15a97334c8a":null,"_wh_make_writer_raw":null,"_wh_make_design_backup_204":null,"_wp_desired_post_slug":null,"_oembed_0d8a206f09633e3d62b95a15a4dd0487":null,"_oembed_time_0d8a206f09633e3d62b95a15a4dd0487":null,"_aioseo_description":null,"_eb_attr":null,"_eb_data_table":null,"_acf_changed":null,"_wpcode_auto_insert":null,"_edit_last":"1","_edit_lock":"1792748654:1","_oembed_e7b913c6c84084ed9702cb4feb012ddd":null,"_oembed_bfde9e10f59a17b85fc8917fa7edf782":null,"_oembed_time_bfde9e10f59a17b85fc8917fa7edf782":null,"_oembed_03514b67990db061d7c4672de26dc514":null,"_oembed_time_03514b67990db061d7c4672de26dc514":null,"rank_math_news_sitemap_robots":null,"rank_math_robots":null,"_eael_post_view_count":"114","_trp_automatically_translated_slug_ru_ru":null,"_trp_automatically_translated_slug_et":null,"_trp_automatically_translated_slug_lv":null,"_trp_automatically_translated_slug_fr_fr":null,"_trp_automatically_translated_slug_en_us":null,"_wp_old_slug":null,"_trp_automatically_translated_slug_da_dk":null,"_trp_automatically_translated_slug_pl_pl":null,"_trp_automatically_translated_slug_es_es":null,"_trp_automatically_translated_slug_hu_hu":null,"_trp_automatically_translated_slug_fi":null,"_trp_automatically_translated_slug_ja":null,"_trp_automatically_translated_slug_lt_lt":null,"_elementor_edit_mode":null,"_elementor_template_type":null,"_elementor_version":null,"_elementor_pro_version":null,"_wp_page_template":null,"_elementor_page_settings":null,"_elementor_data":null,"_elementor_css":null,"_elementor_conditions":null,"_happyaddons_elements_cache":null,"_oembed_75446120c39305f0da0ccd147f6de9cb":null,"_oembed_time_75446120c39305f0da0ccd147f6de9cb":null,"_oembed_3efb2c3e76a18143e7207993a2a6939a":null,"_oembed_time_3efb2c3e76a18143e7207993a2a6939a":null,"_oembed_59808117857ddf57e478a31d79f76e4d":null,"_oembed_time_59808117857ddf57e478a31d79f76e4d":null,"_oembed_965c5b49aa8d22ce37dfb3bde0268600":null,"_oembed_time_965c5b49aa8d22ce37dfb3bde0268600":null,"_oembed_81002f7ee3604f645db4ebcfd1912acf":null,"_oembed_time_81002f7ee3604f645db4ebcfd1912acf":null,"_elementor_screenshot":null,"_oembed_7ea3429961cf98fa85da9747683af827":null,"_oembed_time_7ea3429961cf98fa85da9747683af827":null,"_elementor_controls_usage":null,"_elementor_page_assets":[],"_elementor_screenshot_failed":null,"theplus_transient_widgets":null,"_eael_custom_js":null,"_wp_old_date":"2026-10-22","_trp_automatically_translated_slug_it_it":null,"_trp_automatically_translated_slug_pt_pt":null,"_trp_automatically_translated_slug_zh_cn":null,"_trp_automatically_translated_slug_nl_nl":null,"_trp_automatically_translated_slug_pt_br":null,"_trp_automatically_translated_slug_sv_se":null,"rank_math_analytic_object_id":null,"_trp_automatically_translated_slug_ro_ro":null,"_trp_automatically_translated_slug_sk_sk":null,"_trp_automatically_translated_slug_bg_bg":null,"_trp_automatically_translated_slug_sl_si":null,"litespeed_vpi_list":null,"litespeed_vpi_list_mobile":null,"rank_math_seo_score":"25","rank_math_contentai_score":null,"ilj_limitincominglinks":"","ilj_maxincominglinks":"1","ilj_limitoutgoinglinks":"","ilj_maxoutgoinglinks":"1","ilj_limitlinksperparagraph":"","ilj_linksperparagraph":"1","ilj_blacklistdefinition":[],"ilj_linkdefinition":[],"_eb_reusable_block_ids":null,"rank_math_focus_keyword":"PHP Sicherheitsl\u00fccke patchen","rank_math_og_content_image":null,"surfer_last_post_update":null,"surfer_last_post_update_direction":null,"surfer_keywords":null,"surfer_location":null,"surfer_draft_id":null,"surfer_permalink_hash":null,"surfer_scrape_ready":null,"_thumbnail_id":"21948","_yoast_wpseo_metadesc":null,"_yoast_wpseo_content_score":null,"_yoast_wpseo_focuskeywords":null,"_yoast_wpseo_keywordsynonyms":null,"_yoast_wpseo_estimated-reading-time-minutes":null,"rank_math_description":"Kritische PHP-L\u00fccken pr\u00fcfen: sichere Versionen, Web-Laufzeit erkennen, Updates nach Betriebsart planen und Dienste kontrolliert neu starten.","footnotes":null,"_links":{"self":[{"href":"https:\/\/webhosting.de\/it\/wp-json\/wp\/v2\/posts\/21942","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/webhosting.de\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/webhosting.de\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/webhosting.de\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/webhosting.de\/it\/wp-json\/wp\/v2\/comments?post=21942"}],"version-history":[{"count":6,"href":"https:\/\/webhosting.de\/it\/wp-json\/wp\/v2\/posts\/21942\/revisions"}],"predecessor-version":[{"id":21951,"href":"https:\/\/webhosting.de\/it\/wp-json\/wp\/v2\/posts\/21942\/revisions\/21951"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/webhosting.de\/it\/wp-json\/wp\/v2\/media\/21948"}],"wp:attachment":[{"href":"https:\/\/webhosting.de\/it\/wp-json\/wp\/v2\/media?parent=21942"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/webhosting.de\/it\/wp-json\/wp\/v2\/categories?post=21942"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/webhosting.de\/it\/wp-json\/wp\/v2\/tags?post=21942"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}