{"id":21942,"date":"2026-10-23T11:43:13","date_gmt":"2026-10-23T09:43:13","guid":{"rendered":"https:\/\/webhosting.de\/?p=21942"},"modified":"2026-10-23T11:43:17","modified_gmt":"2026-10-23T09:43:17","slug":"php-sprawdz-luke-w-zabezpieczeniach-z-2026-r-i-zainstaluj-poprawke","status":"publish","type":"post","link":"https:\/\/webhosting.de\/pl\/php-sicherheitsluecke-2026-pruefen-patchen\/","title":{"rendered":"Luka w zabezpieczeniach PHP 2026: jak sprawdzi\u0107 i za\u0142ata\u0107 nara\u017cone serwisy internetowe"},"content":{"rendered":"<div class=\"wh-article\" data-wh-layout=\"2.1.2\" style=\"width:100%;max-width:820px;margin:0 auto;color:#263b4b;font-family:inherit;font-size:18px;line-height:1.8;text-align:start;overflow-wrap:break-word;box-sizing:border-box\"><p class=\"wh-lead\" style=\"font-size:20px;line-height:1.7;color:#233746;margin:0 0 1.1em\">Nie, nie ma dowod\u00f3w na to, \u017ce problem dotyczy \u201epo\u0142owy Internetu\u201c. Jednak nieza\u0142atane serwisy internetowe oparte na PHP mog\u0105 by\u0107 nara\u017cone na zagro\u017cenie wynikaj\u0105ce z dw\u00f3ch krytycznych luk w zabezpieczeniach, kt\u00f3re umo\u017cliwiaj\u0105 atak bez konieczno\u015bci wcze\u015bniejszego logowania. Dlatego najpierw sprawd\u017a <strong style=\"font-weight:700;color:inherit\">rzeczywisty czas dzia\u0142ania strony internetowej<\/strong> Zamiast po prostu uruchamia\u0107 PHP w pow\u0142oce, zainstaluj udost\u0119pnion\u0105 poprawk\u0119 zabezpiecze\u0144 i w kontrolowany spos\u00f3b uruchom ponownie dotkni\u0119te tym problemem procesy robocze. Szczeg\u00f3lnie wa\u017cne s\u0105 us\u0142ugi dost\u0119pne publicznie, mod_php, a tak\u017ce kontenery i produkty z wbudowanym PHP. <\/p>\n<nav class=\"wh-toc\" aria-label=\"Tre\u015b\u0107 tego artyku\u0142u\" style=\"display:block;margin:28px 0 38px;padding:22px;border:1px solid #d9e4e8;border-radius:14px;background:#f4f8f8\"><p class=\"wh-toc-title\" style=\"font-size:13px;font-weight:700;letter-spacing:.08em;color:#49656b;margin:0 0 14px\">Przejd\u017a bezpo\u015brednio do sekcji<\/p><div class=\"wh-toc-grid\" style=\"display:grid;grid-template-columns:repeat(auto-fit,minmax(min(100%,280px),1fr));gap:10px\"><div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#alarmmeldung-richtig-einordnen\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">W\u0142a\u015bciwa interpretacja komunikatu alarmowego<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#rce-und-betroffene-php-wege\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Co z technicznego punktu widzenia umo\u017cliwiaj\u0105 luki w zabezpieczeniach PHP<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#risiko-haengt-vom-betrieb-ab\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Dlaczego nie ka\u017cda instalacja jest nara\u017cona na takie samo ryzyko<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#patchstaende-und-supportstatus\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Por\u00f3wnaj aktualne wersje poprawek i status wsparcia technicznego<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#web-laufzeit-zuverlaessig-pruefen\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Sprawd\u017a rzeczywisty czas dzia\u0142ania strony internetowej<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#updatewege-nach-betriebsart\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Planowanie \u015bcie\u017cek aktualizacji w zale\u017cno\u015bci od trybu pracy<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#sofortmassnahmen-und-neustarts\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Dzia\u0142ania natychmiastowe bez fa\u0142szywego poczucia bezpiecze\u0144stwa<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#betrieb-pruefen-und-auffaelligkeiten\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Po zainstalowaniu aktualizacji nale\u017cy sprawdzi\u0107 dzia\u0142anie i ewentualne nieprawid\u0142owo\u015bci<\/a><\/div>\n<div class=\"wh-toc-item\" style=\"display:block;min-width:0;margin:0;padding:0\"><a class=\"wh-toc-link\" href=\"#prioritaeten-fuer-alte-und-versteckte-installationen\" style=\"display:block;height:100%;padding:12px 15px;border:1px solid #dce6e8;border-radius:9px;background:#fff;color:#18575b;font-size:14px;line-height:1.5;font-weight:600;text-decoration:none;box-sizing:border-box\">Priorytet dla starych i ukrytych instalacji PHP<\/a><\/div>\n<\/div><\/nav><section class=\"wh-section\" aria-labelledby=\"alarmmeldung-richtig-einordnen\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"alarmmeldung-richtig-einordnen\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">W\u0142a\u015bciwa interpretacja komunikatu alarmowego<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Stwierdzenie, \u017ce luka w zabezpieczeniach PHP mo\u017ce dotyczy\u0107 \u201epo\u0142owy Internetu\u201c, jest przesadnym chwytem reklamowym, ale nie ma potwierdzonej skali. Nie ma dowod\u00f3w na to, \u017ce po\u0142owa wszystkich us\u0142ug internetowych jest podatna na ataki lub zosta\u0142a ju\u017c przej\u0119ta. Rzeczywiste ryzyko jest jednak znaczne, poniewa\u017c PHP jest wykorzystywane jako \u015brodowisko uruchomieniowe w wielu stronach internetowych, sklepach internetowych, interfejsach API i panelach administracyjnych. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Nie ma znaczenia, czy strona internetowa korzysta z PHP, ale to, kt\u00f3ra wersja PHP przetwarza jej \u017c\u0105dania internetowe. Aktualizacje zabezpiecze\u0144 z 21 pa\u017adziernika 2026 r. dotycz\u0105 zasadniczo nieza\u0142atanych instalacji obs\u0142ugiwanych ga\u0142\u0119zi, o ile obs\u0142uguj\u0105 one \u017c\u0105dania za po\u015brednictwem serwisu internetowego. Lokaln\u0105 instalacj\u0119 PHP przeznaczon\u0105 do zada\u0144 programistycznych nale\u017cy zatem traktowa\u0107 inaczej ni\u017c portal klienta dost\u0119pny z zewn\u0105trz. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Die <strong style=\"font-weight:700;color:inherit\">Widoczno\u015b\u0107 w Internecie<\/strong> W du\u017cej mierze decyduje o tym pilno\u015b\u0107 sprawy. Publicznie dost\u0119pny sklep internetowy z formularzami i funkcj\u0105 przesy\u0142ania plik\u00f3w oferuje wi\u0119cej potencjalnych punkt\u00f3w kontaktu ni\u017c odizolowana us\u0142uga wewn\u0119trzna. Jednak nawet us\u0142uga wewn\u0119trzna nie jest automatycznie bezpieczna: dost\u0119p przez VPN, przej\u0119te konta lub inne systemy w sieci mog\u0105 sprawi\u0107, \u017ce stanie si\u0119 ona dost\u0119pna. Sam zasi\u0119g nie zast\u0119puje zatem technicznej oceny ryzyka.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">R\u00f3wnie wa\u017cne s\u0105 tryb pracy oraz <strong style=\"font-weight:700;color:inherit\">Stojak na opony<\/strong>. PHP mo\u017ce dzia\u0142a\u0107 na przyk\u0142ad za po\u015brednictwem PHP-FPM, jako modu\u0142 Apache\u2019a, poprzez php-cgi lub jako cz\u0119\u015b\u0107 produktu. Wiele domen na tym samym serwerze mo\u017ce przy tym korzysta\u0107 z r\u00f3\u017cnych wersji i \u015bcie\u017cek aktualizacji. Og\u00f3lne zapewnienie o bezpiecze\u0144stwie wszystkich stron internetowych opartych na PHP by\u0142oby r\u00f3wnie b\u0142\u0119dne, jak za\u0142o\u017cenie, \u017ce ka\u017cda instalacja jest bezpo\u015brednio nara\u017cona na atak. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"rce-und-betroffene-php-wege\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"rce-und-betroffene-php-wege\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Co z technicznego punktu widzenia umo\u017cliwiaj\u0105 luki w zabezpieczeniach PHP<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">A <strong style=\"font-weight:700;color:inherit\">Zdalne wykonanie kodu<\/strong> (RCE) oznacza, \u017ce w okre\u015blonych warunkach osoba atakuj\u0105ca mo\u017ce wykona\u0107 kod na zdalnym systemie. Zgodnie z komunikatem dotycz\u0105cym bezpiecze\u0144stwa w przypadku tych luk w zabezpieczeniach PHP nie jest wymagane wcze\u015bniejsze zalogowanie si\u0119. Kod by\u0142by pocz\u0105tkowo wykonywany z uprawnieniami procesu internetowego, a nie automatycznie z nieograniczonymi uprawnieniami administratora. Mo\u017cliwe konsekwencje zale\u017c\u0105 zatem w du\u017cym stopniu od uprawnie\u0144 do plik\u00f3w, danych dost\u0119powych oraz izolacji serwera. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Luka CVE-2026-109618 dotyczy \u015bcie\u017cek b\u0142\u0119d\u00f3w w <strong style=\"font-weight:700;color:inherit\">Niedob\u00f3r pami\u0119ci<\/strong>. Je\u015bli PHP przerwie przetwarzanie \u017c\u0105dania z powodu braku pami\u0119ci, wewn\u0119trzne struktury danych mog\u0105 pozosta\u0107 niekompletne. Je\u015bli takie struktury zostan\u0105 ponownie wykorzystane podczas czyszczenia \u017c\u0105dania, mo\u017ce doj\u015b\u0107 do uszkodzenia pami\u0119ci. W oficjalnym opisie jako istotne konteksty techniczne wymieniono w szczeg\u00f3lno\u015bci \u017c\u0105dania wielocz\u0119\u015bciowe, przesy\u0142anie plik\u00f3w oraz zu\u017cycie pami\u0119ci podczas analizowania zagnie\u017cd\u017conych danych wej\u015bciowych. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Z kolei luka CVE-2026-109619 dotyczy stanu wewn\u0119trznego powi\u0105zanego z \u017c\u0105daniem, kt\u00f3rego pami\u0119\u0107 zosta\u0142a ju\u017c zwolniona. Je\u015bli ponownie wykorzystany proces roboczy przetwarza nast\u0119pnie kolejne \u017c\u0105danie, PHP mo\u017ce uzyska\u0107 dost\u0119p do tego nieaktualnego stanu, zanim zadzia\u0142a normalna inicjalizacja. Komunikat dotycz\u0105cy bezpiecze\u0144stwa odnosi si\u0119 mi\u0119dzy innymi do post\u0119pu przesy\u0142ania sesji oraz \u015bcie\u017cek b\u0142\u0119d\u00f3w. Opisuje to klas\u0119 b\u0142\u0119d\u00f3w, a nie instrukcj\u0119 wykorzystania luki. <\/p>\n<ul class=\"wh-list\" role=\"list\" style=\"list-style:none;margin:24px 0;padding:0\"><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Problem ten mo\u017ce dotyczy\u0107 \u017c\u0105da\u0144 internetowych przetwarzanych przez PHP-FPM, Apache z modu\u0142em mod_php, php-cgi, FrankenPHP oraz LiteSpeed.<\/li><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">B\u0142\u0119dy wyst\u0119puj\u0105 w \u015brodowisku uruchomieniowym PHP, a nie przede wszystkim w WordPressie, Joomli, Shopware, motywach czy poszczeg\u00f3lnych wtyczkach.<\/li><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Systemy CMS i frameworki maj\u0105 wp\u0142yw na dost\u0119pne funkcje, takie jak przesy\u0142anie plik\u00f3w, ale nie zast\u0119puj\u0105 aktualizacji interpretera.<\/li><\/ul><\/section><section class=\"wh-section\" aria-labelledby=\"risiko-haengt-vom-betrieb-ab\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"risiko-haengt-vom-betrieb-ab\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Dlaczego nie ka\u017cda instalacja jest nara\u017cona na takie samo ryzyko<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">To, czy us\u0142uga jest faktycznie zagro\u017cona, zale\u017cy od kilku czynnik\u00f3w. Najwi\u0119ksze znaczenie maj\u0105 nieza\u0142atane \u015brodowisko uruchomieniowe PHP oraz dost\u0119pna us\u0142uga internetowa. Kolejne czynniki to tryb pracy, ponownie wykorzystywane procesy, funkcje umo\u017cliwiaj\u0105ce przesy\u0142anie plik\u00f3w lub z\u0142o\u017cone formularze, a tak\u017ce uprawnienia konta procesu internetowego. Us\u0142uga posiadaj\u0105ca szerokie uprawnienia do zapisu w plikach internetowych lub dost\u0119p do innych us\u0142ug mo\u017ce mie\u0107 powa\u017cniejsze konsekwencje ni\u017c projekt \u015bci\u015ble odizolowany. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">W przypadku Apache\u2019a z <strong style=\"font-weight:700;color:inherit\">mod_php<\/strong> W projekcie PHP szczeg\u00f3lnie podkre\u015bla si\u0119 kwesti\u0119 ryzyka: udokumentowany atak mo\u017ce zosta\u0107 zainicjowany jeszcze przed uruchomieniem w\u0142a\u015bciwego kodu aplikacji. Nawet starannie utrzymywany system CMS nie chroni w\u00f3wczas przed t\u0105 luk\u0105 w czasie dzia\u0142ania. Nie oznacza to jednak, \u017ce PHP-FPM, php-cgi, FrankenPHP czy LiteSpeed mo\u017cna uzna\u0107 za bezpieczne; w przypadku braku aktualizacji nale\u017cy je r\u00f3wnie\u017c sprawdzi\u0107 w pierwszej kolejno\u015bci. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Szczeg\u00f3lnej uwagi wymagaj\u0105 ponadto produkty zawieraj\u0105ce <strong style=\"font-weight:700;color:inherit\">wbudowanym PHP<\/strong>. Mog\u0105 to by\u0107 obrazy kontener\u00f3w, urz\u0105dzenia typu appliance, systemy zarz\u0105dzania NAS lub produkty sieciowe, kt\u00f3rych interfejs u\u017cytkownika wykorzystuje wewn\u0119trznie PHP. W takich przypadkach polecenie uruchomione na ho\u015bcie cz\u0119sto nie pokazuje faktycznie u\u017cywanego \u015brodowiska uruchomieniowego. Aktualizacja systemu operacyjnego nie usuwa r\u00f3wnie\u017c automatycznie podatnego na ataki komponentu PHP w obrazie lub produkcie producenta. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Zapora sieciowa, zapora aplikacji internetowych (WAF) lub restrykcyjne limity przesy\u0142ania danych mog\u0105 utrudnia\u0107 przetwarzanie poszczeg\u00f3lnych \u017c\u0105da\u0144 i ogranicza\u0107 powierzchni\u0119 ataku. Nie zast\u0119puj\u0105 one jednak poprawki, poniewa\u017c nie koryguj\u0105 b\u0142\u0119dnego zarz\u0105dzania pami\u0119ci\u0105 i stanem w interpreterze. Nawet bezb\u0142\u0119dny system CMS pozostaje uzale\u017cniony od bezpiecznego \u015brodowiska uruchomieniowego. Dlatego kluczowe znaczenie ma sprawdzenie i aktualizacja wersji poprawek PHP, kt\u00f3ry faktycznie przetwarza \u017c\u0105dania internetowe. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"patchstaende-und-supportstatus\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"patchstaende-und-supportstatus\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Por\u00f3wnaj aktualne wersje poprawek i status wsparcia technicznego<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">W przypadku obu luk w zabezpieczeniach decyduj\u0105ce znaczenie ma przede wszystkim stan aktualizacji w ramach u\u017cywanej ga\u0142\u0119zi PHP. Projekt PHP podaje konkretne, poprawione wersje dla obs\u0142ugiwanych serii. Wcze\u015bniejsze wersje tej samej serii s\u0105 uznawane za podatne na te luki; pe\u0142nym rozwi\u0105zaniem problemu jest aktualizacja do wskazanej lub nowszej wersji tej ga\u0142\u0119zi. <\/p>\n<div class=\"wh-table-scroll\" tabindex=\"0\" role=\"region\" aria-label=\"Ga\u0142\u0119zie PHP: stan aktualizacji i wsparcie techniczne na dzie\u0144 22 pa\u017adziernika 2026 r.\" style=\"width:100%;max-width:100%;overflow-x:auto;margin:28px 0;border:1px solid #dce5e9;border-radius:14px;background:#fff;box-shadow:0 10px 28px -16px rgba(24,47,60,.32);box-sizing:border-box\"><table style=\"width:100%;min-width:580px;border-collapse:separate;border-spacing:0;border:0;margin:0;font-size:15px;line-height:1.6;background:#fff\"><caption style=\"padding:20px;text-align:start;font-size:17px;line-height:1.5;font-weight:700;color:#173246;background:#fff\">Ga\u0142\u0119zie PHP: stan aktualizacji i wsparcie techniczne na dzie\u0144 22 pa\u017adziernika 2026 r.<\/caption><thead><tr><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Ga\u0142\u0105\u017a PHP<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">W zakresie do i w\u0142\u0105cznie<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Pobierz bezpieczn\u0105 wersj\u0119<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Stan wsparcia technicznego na dzie\u0144 22 pa\u017adziernika 2026 r.<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Zalecany \u015brodek<\/th><\/tr><\/thead><tbody><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">PHP 8.2<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">8.2.34<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">8.2.35<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Tylko aktualizacje zabezpiecze\u0144 do 31 grudnia 2026 r.<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">W najbli\u017cszym czasie zaktualizowa\u0107 oprogramowanie co najmniej do wersji 8.2.35 i zaplanowa\u0107 migracj\u0119.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">PHP 8.3<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">8.3.35<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">8.3.36<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Tylko aktualizacje zabezpiecze\u0144 do 31 grudnia 2027 r.<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Zaktualizuj do wersji co najmniej 8.3.36.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">PHP 8.4<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">8.4.26<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">8.4.27<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Aktywne wsparcie techniczne do 31 grudnia 2026 r.<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Zaktualizuj do wersji co najmniej 8.4.27.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">PHP 8.5<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">8.5.11<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">8.5.12<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Aktywne wsparcie techniczne do 31 grudnia 2027 r.<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Zaktualizuj do wersji co najmniej 8.5.12.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">PHP 8.1 i starsze wersje<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Brak aktualnej, standardowej wersji upstream<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Brak og\u00f3lnodost\u0119pnej, regularnej wersji sta\u0142ej<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Nie jest oficjalnie obs\u0142ugiwane przez projekt PHP<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Sprawd\u017a, czy dostawca udost\u0119pnia backport, lub przenie\u015b si\u0119 na obs\u0142ugiwany ga\u0142\u0105\u017a.<\/td><\/tr><\/tbody><\/table><\/div><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">A <strong style=\"font-weight:700;color:inherit\">Aktualizacja poprawki<\/strong> pozostaje w tej samej ga\u0142\u0119zi rozwoju, na przyk\u0142ad z wersji 8.3.35 do 8.3.36. Ma ona na celu dostarczenie poprawki bezpiecze\u0144stwa i charakteryzuje si\u0119 w\u0119\u017cszym zakresem kompatybilno\u015bci ni\u017c przej\u015bcie z wersji 8.2 na 8.4. To ostatnie stanowi migracj\u0119: w tym przypadku nale\u017cy oddzielnie sprawdzi\u0107 zale\u017cno\u015bci, rozszerzenia, kod aplikacji oraz, w razie potrzeby, wdro\u017cenie. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">PHP 8.2 nadal mo\u017cna wykorzystywa\u0107 do dora\u017anego usuwania b\u0142\u0119d\u00f3w, o ile u\u017cywana jest co najmniej wersja 8.2.35. Wsparcie dla tej ga\u0142\u0119zi wyga\u015bnie jednak 31 grudnia 2026 r. Dlatego nie nale\u017cy pozostawa\u0107 przy tej aktualizacji: nale\u017cy zaplanowa\u0107 przej\u015bcie na ga\u0142\u0105\u017a obj\u0119t\u0105 d\u0142u\u017cszym wsparciem po sprawdzeniu zgodno\u015bci aplikacji w odpowiednim \u015brodowisku. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">W przypadku PHP 8.1 i starszych wersji nale\u017cy zachowa\u0107 szczeg\u00f3ln\u0105 ostro\u017cno\u015b\u0107. Projekt PHP nie udost\u0119pnia w tym zakresie regularnych, aktualnych wyda\u0144; minimalne backporty kodu \u017ar\u00f3d\u0142owego nie s\u0105 r\u00f3wnoznaczne z powszechnie dost\u0119pnym, aktualizowanym pakietem. Backport zabezpiecze\u0144 udokumentowany przez dostawc\u0119 systemu operacyjnego mo\u017ce by\u0107 odpowiednim rozwi\u0105zaniem, wymaga jednak potwierdzenia w biuletynie bezpiecze\u0144stwa lub dzienniku zmian pakietu. W przypadku jego braku konieczna jest migracja, a nie jedynie kosmetyczna zmiana wersji. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"web-laufzeit-zuverlaessig-pruefen\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"web-laufzeit-zuverlaessig-pruefen\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Sprawd\u017a rzeczywisty czas dzia\u0142ania strony internetowej<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Sprawdzanie wersji zaczyna si\u0119 od przegl\u0105du stanu, ale nie mo\u017ce ko\u0144czy\u0107 si\u0119 na pow\u0142oce. Na serwerze zarz\u0105dzanym samodzielnie poni\u017csze polecenia wy\u015bwietlaj\u0105 wersj\u0119 wywo\u0142anego tam polecenia PHP oraz pliki konfiguracyjne znalezione podczas tego wywo\u0142ania. Nie powoduj\u0105 one zmian ani w pakietach, ani w konfiguracji, dlatego nadaj\u0105 si\u0119 jako pierwszy, ma\u0142o ryzykowny etap sprawdzania.<\/p>\n<div class=\"wh-code-window\" data-wh-code style=\"margin:28px 0 34px;border:1px solid #2c4656;border-radius:12px;overflow:hidden;background:#132a3b;box-shadow:0 9px 25px -13px rgba(15,35,55,.2)\"><div class=\"wh-code-toolbar\" style=\"display:flex;flex-wrap:wrap;align-items:center;justify-content:space-between;gap:10px;padding:11px 16px;background:#223e50;color:#edf5fa;font-size:13px;line-height:1.5;font-weight:600\"><span>Terminal<\/span><button type=\"button\" class=\"wh-code-copy\" data-wh-copy hidden style=\"padding:6px 11px;border:1px solid #7893a1;border-radius:6px;background:transparent;color:#fff;font-size:12px;line-height:1.5;font-weight:600;cursor:pointer\">Skopiuj kod<\/button><span class=\"wh-copy-status\" aria-live=\"polite\"><\/span><span data-wh-copy-success hidden>Skopiowano<\/span><span data-wh-copy-fallback hidden>Zaznaczony kod \u2013 prosz\u0119 skopiowa\u0107<\/span><\/div><pre class=\"wh-code\" data-no-translation translate=\"no\" style=\"display:block;margin:0;padding:20px;max-width:100%;overflow-x:auto;color:#edf5fa;background:#132a3b;font:14px\/1.75 ui-monospace,SFMono-Regular,Menlo,Consolas,monospace;white-space:pre;direction:ltr;text-align:left\"><code class=\"language-bash\" style=\"font:inherit;color:inherit;background:transparent;padding:0;border:0;white-space:inherit\">php -v\nphp --ini<\/code><\/pre><\/div><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Wynik opisuje wy\u0142\u0105cznie t\u0119, kt\u00f3ra zosta\u0142a wywo\u0142ana za pomoc\u0105 tego polecenia pow\u0142oki <strong style=\"font-weight:700;color:inherit\">\u015arodowisko uruchomieniowe CLI<\/strong>. Natomiast strona internetowa mo\u017ce by\u0107 obs\u0142ugiwana za pomoc\u0105 PHP-FPM, serwera Apache z modu\u0142em mod_php, php-cgi lub kontenera. To \u015brodowisko uruchomieniowe mo\u017ce korzysta\u0107 z innej wersji PHP i innych plik\u00f3w konfiguracyjnych ni\u017c polecenie <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">php -v<\/code> na serwerze. Dla oceny bezpiecze\u0144stwa decyduj\u0105ce znaczenie ma proces, kt\u00f3ry przetwarza rzeczywiste \u017c\u0105dania HTTP. <\/p>\n<figure class=\"wp-block-image size-large wh-figure\" aria-describedby=\"wh-caption-detail1\" style=\"display:block;float:none;clear:both;width:100%;max-width:760px;margin:34px auto 40px;border:1px solid #dae5e9;border-radius:14px;overflow:hidden;background:#f5f8fa;box-shadow:0 10px 28px -17px rgba(24,47,60,.28);box-sizing:border-box\"><div class=\"wh-figure-media\" style=\"display:block;background:#eef3f5;line-height:0\"><img loading=\"lazy\" width=\"800\" height=\"534\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/php-webdienst-server-pruefung-73623c2b-detail1-2473e62838-1024x683.webp\" class=\"wp-image-21949\" alt=\"Pomieszczenie techniczne ze sprz\u0119tem serwerowym jako symbol testowania us\u0142ug internetowych opartych na PHP.\" decoding=\"async\" srcset=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/php-webdienst-server-pruefung-73623c2b-detail1-2473e62838-1024x683.webp 1024w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/php-webdienst-server-pruefung-73623c2b-detail1-2473e62838-300x200.webp 300w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/php-webdienst-server-pruefung-73623c2b-detail1-2473e62838-768x512.webp 768w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/php-webdienst-server-pruefung-73623c2b-detail1-2473e62838-18x12.webp 18w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/php-webdienst-server-pruefung-73623c2b-detail1-2473e62838.webp 1536w\" sizes=\"auto, (max-width: 800px) 100vw, 800px\" ><\/div><figcaption class=\"wh-caption\" id=\"wh-caption-detail1\" style=\"display:block;margin:0;padding:12px 18px 15px;border-top:1px solid #dce5e9;color:#506575;background:#f5f8fa;font-size:14px;line-height:1.55;text-align:start\">Grafika symboliczna wygenerowana przez sztuczn\u0105 inteligencj\u0119: Wersj\u0119 PHP nale\u017cy sprawdzi\u0107 w us\u0142udze przetwarzaj\u0105cej \u017c\u0105dania internetowe.<\/figcaption><\/figure><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">W ramach hostingu zarz\u0105dzanego nale\u017cy zatem sprawdzi\u0107 w panelu klienta wersj\u0119 PHP wybran\u0105 dla danego projektu lub domeny oraz, w razie potrzeby, zasi\u0119gn\u0105\u0107 informacji o stanie aktualizacji udost\u0119pnianej us\u0142ugi. W przypadku wielu domen nale\u017cy sprawdzi\u0107 ka\u017cd\u0105 przypisanie z osobna: domena g\u0142\u00f3wna mo\u017ce ju\u017c korzysta\u0107 z zaktualizowanej ga\u0142\u0119zi, podczas gdy sklep internetowy, instancja testowa lub subdomena nadal korzystaj\u0105 ze starszej wersji interpretera.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Na serwerach z PHP-FPM konfiguracja us\u0142ugi, zawarto\u015b\u0107 pakiet\u00f3w i dokumentacja wdro\u017ceniowa stanowi\u0105 sp\u00f3jn\u0105 ca\u0142o\u015b\u0107. W \u015brodowiskach kontenerowych nale\u017cy dodatkowo sprawdzi\u0107 faktycznie wdro\u017cony obraz, a nie tylko lokalny manifest kompilacji. Decyduj\u0105ce znaczenie ma to, kt\u00f3ra wersja w uruchomionym podzie lub kontenerze obs\u0142uguje \u017c\u0105dania sieciowe; zaktualizowany obraz bazowy nie chroni starszej instancji, kt\u00f3ra ju\u017c dzia\u0142a. <\/p>\n<aside class=\"wh-callout wh-callout-warning\" style=\"display:block;margin:28px 0;padding:20px 23px;border:1px solid #d1e4dd;border-left:4px solid #187065;border-radius:11px;background:#f0f7f4\"><p class=\"wh-callout-title\" style=\"margin:0 0 8px;color:#1c5c53;font-size:16px;font-weight:700;line-height:1.5\">Brak publicznej strony po\u015bwi\u0119conej diagnozom<\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Dost\u0119pna publicznie <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">phpinfo()<\/code>-Ta strona nie jest zalecanym standardowym sposobem sprawdzania. Mo\u017ce ona ujawnia\u0107 dane dotycz\u0105ce wersji, modu\u0142\u00f3w, \u015bcie\u017cek i konfiguracji. Zamiast tego skorzystaj z opcji dost\u0119pnych w panelu hostingowym, narz\u0119dziach do zarz\u0105dzania serwerem lub wewn\u0119trznej, zabezpieczonej dokumentacji operacyjnej.<\/p>\n<\/aside><\/section><section class=\"wh-section\" aria-labelledby=\"updatewege-nach-betriebsart\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"updatewege-nach-betriebsart\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Planowanie \u015bcie\u017cek aktualizacji w zale\u017cno\u015bci od trybu pracy<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">W\u0142a\u015bciwy spos\u00f3b aktualizacji zale\u017cy od tego, kto dostarcza interpreter i gdzie jest on uruchamiany. Dopiero po ustaleniu tego zakresu odpowiedzialno\u015bci mo\u017cna wiarygodnie zdecydowa\u0107, czy konieczna jest zmiana panelu, aktualizacja pakietu, nowy obraz systemu czy aktualizacja od producenta. Poni\u017csza klasyfikacja rozr\u00f3\u017cnia te przypadki, nie traktuj\u0105c jednakowo poszczeg\u00f3lnych tryb\u00f3w pracy pod wzgl\u0119dem ryzyka.<\/p>\n<div class=\"wh-table-scroll\" tabindex=\"0\" role=\"region\" aria-label=\"Sprawdzanie wersji i aktualizacja w zale\u017cno\u015bci od trybu pracy PHP\" style=\"width:100%;max-width:100%;overflow-x:auto;margin:28px 0;border:1px solid #dce5e9;border-radius:14px;background:#fff;box-shadow:0 10px 28px -16px rgba(24,47,60,.32);box-sizing:border-box\"><table style=\"width:100%;min-width:580px;border-collapse:separate;border-spacing:0;border:0;margin:0;font-size:15px;line-height:1.6;background:#fff\"><caption style=\"padding:20px;text-align:start;font-size:17px;line-height:1.5;font-weight:700;color:#173246;background:#fff\">Sprawdzanie wersji i aktualizacja w zale\u017cno\u015bci od trybu pracy PHP<\/caption><thead><tr><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Tryb pracy<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Gdzie sprawdzi\u0107 aktualn\u0105 wersj\u0119?<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Kto dokonuje aktualizacji?<\/th><th scope=\"col\" style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#19394d;color:#fff\">Typowa cecha charakterystyczna<\/th><\/tr><\/thead><tbody><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">hosting wsp\u00f3lny<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Panel klienta dla ka\u017cdej domeny lub projektu; informacje od dostawcy us\u0142ug hostingowych<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Dostawca us\u0142ug hostingowych lub klient na podstawie udost\u0119pnionego wyboru<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Przypisania PHP mog\u0105 si\u0119 r\u00f3\u017cni\u0107 w zale\u017cno\u015bci od domeny.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">PHP-FPM w systemie Linux<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Pula FPM, zainstalowane pakiety, konfiguracja us\u0142ug i wdro\u017cenia<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Administracja serwerami lub dystrybucja<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Wersja pakietu mo\u017ce zawiera\u0107 udokumentowan\u0105 aktualizacj\u0119 zabezpiecze\u0144 z poprzedniej wersji.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Apache z mod_php<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Konfiguracja modu\u0142\u00f3w Apache'a i zainstalowane pakiety<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Administracja serwerami lub dystrybucja<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Opisane przez projekt PHP ze szczeg\u00f3lnym uwzgl\u0119dnieniem ryzyka.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Pojemnik<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Obraz bie\u017c\u0105cy, tag obrazu lub skr\u00f3cony opis, a tak\u017ce czas dzia\u0142ania kontenera<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Zesp\u00f3\u0142 ds. kompilacji i wdra\u017cania<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#f4f7f9;color:#294252\">Aktualizacje hosta nie powoduj\u0105 automatycznej zmiany wbudowanego kodu PHP w obrazie.<\/td><\/tr><tr><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">PHP wbudowane w produkt<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Dokumentacja producenta, wersja produktu i zalecenia dotycz\u0105ce bezpiecze\u0144stwa<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">Producent produktu lub administracja produktu<\/td><td style=\"padding:15px 18px;border:0;border-bottom:1px solid #e2e9ed;text-align:start;vertical-align:top;white-space:normal;font-size:15px;line-height:1.6;background:#fff;color:#294252\">PHP mo\u017ce stanowi\u0107 cz\u0119\u015b\u0107 urz\u0105dzenia bez oddzielnej, widocznej instalacji.<\/td><\/tr><\/tbody><\/table><\/div><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">W przypadku hostingu wsp\u00f3\u0142dzielonego dostawca powinien zapewni\u0107 bezpieczny stan poprawek dla wybranej serii PHP; operator sprawdza nast\u0119pnie dzia\u0142anie aplikacji. W przypadku PHP-FPM lub mod_php administrator zazwyczaj aktualizuje pakiety, a nast\u0119pnie w kontrolowany spos\u00f3b ponownie uruchamia odpowiedni\u0105 us\u0142ug\u0119. Samo ponowne uruchomienie bez zainstalowanej poprawki nie zast\u0119puje aktualizacji. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Dystrybucje Linuksa cz\u0119sto udost\u0119pniaj\u0105 poprawki bezpiecze\u0144stwa w postaci <strong style=\"font-weight:700;color:inherit\">Backport<\/strong>. W takim przypadku widoczny numer wersji pakietu mo\u017ce r\u00f3\u017cni\u0107 si\u0119 od wersji opublikowanych na stronie php.net, mimo \u017ce poprawka zosta\u0142a uwzgl\u0119dniona. Dlatego nie nale\u017cy por\u00f3wnywa\u0107 wy\u0142\u0105cznie ci\u0105g\u00f3w znak\u00f3w, takich jak \u201e8.4.26\u201c, ale nale\u017cy zapozna\u0107 si\u0119 z komunikatem dotycz\u0105cym bezpiecze\u0144stwa oraz dziennikiem zmian udost\u0119pnionym przez dystrybutora. Projekt PHP zwraca uwag\u0119, \u017ce dystrybucje i dostawcy wersji LTS mog\u0105 otrzymywa\u0107 poprawki. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Kontenery wymagaj\u0105 osobnego procesu: nale\u017cy zbudowa\u0107 poprawiony obraz lub pobra\u0107 go od dostawcy, wdro\u017cy\u0107 go i zast\u0105pi\u0107 nim stare instancje. Natomiast w przypadku interfejs\u00f3w NAS, urz\u0105dze\u0144 sieciowych lub gotowych aplikacji internetowych poprawki le\u017c\u0105 po stronie producenta produktu. Poprawka systemu operacyjnego hosta niekoniecznie dociera do wbudowanego interpretera; dlatego te\u017c niezb\u0119dne pozostaj\u0105 inwentaryzacja i wytyczne producenta. <\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"sofortmassnahmen-und-neustarts\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"sofortmassnahmen-und-neustarts\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Dzia\u0142ania natychmiastowe bez fa\u0142szywego poczucia bezpiecze\u0144stwa<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">W dniu aktualizacji najpierw przygotuj sobie rzetelny spis zasob\u00f3w: domeny, interfejsy API, interfejsy administracyjne, kontenery i produkty, w kt\u00f3rych mo\u017ce by\u0107 wbudowany PHP. Dla ka\u017cdej us\u0142ugi zanotuj tryb dzia\u0142ania serwisu, odpowiedni\u0105 \u015bcie\u017ck\u0119 aktualizacji oraz faktycznie u\u017cywane \u015brodowisko uruchomieniowe PHP. Nast\u0119pnie priorytet otrzymuje ka\u017cda us\u0142uga dost\u0119pna publicznie lub o znaczeniu krytycznym dla dzia\u0142alno\u015bci, a nie tylko serwer z najbardziej rzucaj\u0105cym si\u0119 w oczy numerem wersji. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Nast\u0119pnie zainstaluj aktualizacj\u0119 zabezpiecze\u0144 udost\u0119pnion\u0105 przez dostawc\u0119 us\u0142ug hostingowych, dystrybutora systemu Linux, tw\u00f3rc\u0119 obrazu lub producenta oprogramowania. W przypadku obs\u0142ugiwanych ga\u0142\u0119zi PHP aktualizacja do poprawionej wersji \u0142aty stanowi pe\u0142ne rozwi\u0105zanie problemu; nie zast\u0119puj\u0105 jej ani zapora WAF, ani regu\u0142y przesy\u0142ania plik\u00f3w, ani ponowne uruchomienie serwera WWW. Nale\u017cy zaplanowa\u0107 t\u0119 operacj\u0119 w taki spos\u00f3b, aby aktualizacja pakiet\u00f3w, obraz\u00f3w lub oprogramowania producenta zosta\u0142a przejrzy\u015bcie udokumentowana i mo\u017cna by\u0142o j\u0105 prze\u015bledzi\u0107 w razie problem\u00f3w. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Po aktualizacji nale\u017cy <strong style=\"font-weight:700;color:inherit\">wszyscy dawni pracownicy<\/strong> nale\u017cy je zako\u0144czy\u0107 i zast\u0105pi\u0107 procesami, kt\u00f3re w spos\u00f3b potwierdzony za\u0142adowa\u0142y poprawion\u0105 wersj\u0119 \u015brodowiska uruchomieniowego. Z funkcji ponownego \u0142adowania nale\u017cy korzysta\u0107 tylko wtedy, gdy konkretny system zarz\u0105dzania us\u0142ugami gwarantuje t\u0119 ca\u0142kowit\u0105 wymian\u0119; w przeciwnym razie konieczne jest kontrolowane ponowne uruchomienie. Nast\u0119pnie sprawd\u017a czasy uruchomienia proces\u00f3w, status us\u0142ug lub wewn\u0119trznie ustalony czas dzia\u0142ania \u015brodowiska internetowego, zamiast po prostu zak\u0142ada\u0107, \u017ce wymiana si\u0119 powiod\u0142a. W przypadku kontener\u00f3w wdra\u017casz poprawiony obraz i usuwasz wszystkie stare instancje. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Nast\u0119pnie sprawd\u017a kluczowe \u015bcie\u017cki aplikacji, takie jak logowanie, formularze, przesy\u0142anie plik\u00f3w, proces realizacji transakcji oraz interfejsy API. Testy wykazuj\u0105, czy aplikacja i rozszerzenia dzia\u0142aj\u0105 z aktualnym zestawem poprawek; same w sobie nie potwierdzaj\u0105 jednak ani ca\u0142kowitej wymiany w\u0119z\u0142\u00f3w roboczych, ani braku wcze\u015bniejszych narusze\u0144 bezpiecze\u0144stwa. Kwestie te nale\u017cy ocenia\u0107 oddzielnie w ramach audyt\u00f3w operacyjnych i bezpiecze\u0144stwa.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Je\u015bli w kr\u00f3tkim czasie nie da si\u0119 zastosowa\u0107 poprawki, poszczeg\u00f3lne ustawienia mog\u0105 ograniczy\u0107 znane \u015bcie\u017cki ataku, ale nie zapewni\u0105 pe\u0142nego bezpiecze\u0144stwa. Wy\u0142\u0105czenie wska\u017anika post\u0119pu przesy\u0142ania musi zacz\u0105\u0107 dzia\u0142a\u0107 przed przetworzeniem \u017c\u0105dania. Nale\u017cy najpierw sprawdzi\u0107, czy aplikacje lub interfejsy u\u017cytkownika wymagaj\u0105 tego wska\u017anika post\u0119pu, a nast\u0119pnie ponownie uruchomi\u0107 ka\u017cdy odpowiedni proces roboczy PHP. Nast\u0119pnie nale\u017cy upewni\u0107 si\u0119, \u017ce \u017caden stary proces nie dzia\u0142a dalej z poprzednim ustawieniem. <\/p>\n<div class=\"wh-code-window\" data-wh-code style=\"margin:28px 0 34px;border:1px solid #2c4656;border-radius:12px;overflow:hidden;background:#132a3b;box-shadow:0 9px 25px -13px rgba(15,35,55,.2)\"><div class=\"wh-code-toolbar\" style=\"display:flex;flex-wrap:wrap;align-items:center;justify-content:space-between;gap:10px;padding:11px 16px;background:#223e50;color:#edf5fa;font-size:13px;line-height:1.5;font-weight:600\"><span>Kod<\/span><button type=\"button\" class=\"wh-code-copy\" data-wh-copy hidden style=\"padding:6px 11px;border:1px solid #7893a1;border-radius:6px;background:transparent;color:#fff;font-size:12px;line-height:1.5;font-weight:600;cursor:pointer\">Skopiuj kod<\/button><span class=\"wh-copy-status\" aria-live=\"polite\"><\/span><span data-wh-copy-success hidden>Skopiowano<\/span><span data-wh-copy-fallback hidden>Zaznaczony kod \u2013 prosz\u0119 skopiowa\u0107<\/span><\/div><pre class=\"wh-code\" data-no-translation translate=\"no\" style=\"display:block;margin:0;padding:20px;max-width:100%;overflow-x:auto;color:#edf5fa;background:#132a3b;font:14px\/1.75 ui-monospace,SFMono-Regular,Menlo,Consolas,monospace;white-space:pre;direction:ltr;text-align:left\"><code class=\"language-ini\" style=\"font:inherit;color:inherit;background:transparent;padding:0;border:0;white-space:inherit\">session.upload_progress.enabled = 0<\/code><\/pre><\/div><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Konserwatywne ograniczenia dotycz\u0105ce danych POST oraz inne opcje wymienione w komunikacie dotycz\u0105cym bezpiecze\u0144stwa r\u00f3wnie\u017c mog\u0105 jedynie cz\u0119\u015bciowo zmniejszy\u0107 powierzchni\u0119 ataku. Dane odczytywane z op\u00f3\u017anieniem <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">.user.ini<\/code>-pliki lub jeden <code data-no-translation style=\"font:600 .87em\/1.5 ui-monospace,monospace;color:#235063;background:#edf3f5;border-radius:4px;padding:.1em .3em\">ini_set()<\/code> W ramach aplikacji te dzia\u0142ania nie s\u0105 wystarczaj\u0105ce. Traktuj je jako tymczasowe ograniczenie ryzyka i nadal traktuj aktualizacj\u0119 zabezpiecze\u0144 jako cel. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Nale\u017cy to odr\u00f3\u017cni\u0107 od zwyk\u0142ego zarz\u0105dzania zapisanymi sesjami. Artyku\u0142 na temat <a href=\"https:\/\/webhosting.de\/pl\/https-hosting-php-sesja-garbage-collection-optymalizacja-wydajnosc\/\">Zbieranie \u015bmieci w sesjach PHP<\/a> wyja\u015bnia, w jaki spos\u00f3b podczas normalnej pracy wsp\u00f3\u0142dzia\u0142aj\u0105 mechanizmy czyszczenia, dost\u0119p do plik\u00f3w i procesy robocze. Ta optymalizacja dzia\u0142ania nie usuwa jednak om\u00f3wionych tutaj luk w zabezpieczeniach i nie zast\u0119puje ani poprawionej wersji poprawki PHP, ani p\u00f3\u017aniejszej wymiany uruchomionych proces\u00f3w.<\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"betrieb-pruefen-und-auffaelligkeiten\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"betrieb-pruefen-und-auffaelligkeiten\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Po zainstalowaniu aktualizacji nale\u017cy sprawdzi\u0107 dzia\u0142anie i ewentualne nieprawid\u0142owo\u015bci<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Pomy\u015blnie zako\u0144czona aktualizacja pakietu \u015bwiadczy na razie jedynie o tym, \u017ce zainstalowano pliki lub pakiety. Nie potwierdza ona ani tego, \u017ce proces internetowy za\u0142adowa\u0142 nowe \u015brodowisko uruchomieniowe, ani tego, \u017ce aplikacja dzia\u0142a z nim bezb\u0142\u0119dnie. Dlatego po ponownym uruchomieniu nale\u017cy sprawdzi\u0107 \u015brodowisko uruchomieniowe odpowiadaj\u0105ce danej us\u0142udze i udokumentowa\u0107 czas, wersj\u0119, ponownie uruchomion\u0105 us\u0142ug\u0119 oraz wynik kontroli dzia\u0142ania. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Testowanie funkcjonalne powinno obejmowa\u0107 rzeczywiste kluczowe procesy: wa\u017cne strony publiczne, logowanie i wylogowanie, wysy\u0142anie formularzy, przesy\u0142anie plik\u00f3w, realizacj\u0119 transakcji lub rezerwacj\u0119, a tak\u017ce punkty ko\u0144cowe API i zadania wykonywane w tle. Testuj wy\u0142\u0105cznie operacje, do kt\u00f3rych masz uprawnienia, a w przypadku sklep\u00f3w produkcyjnych korzystaj w miar\u0119 mo\u017cliwo\u015bci z danych testowych przeznaczonych do tego celu. R\u00f3wnolegle sprawdzaj logi serwera WWW, PHP i aplikacji pod k\u0105tem nowych b\u0142\u0119d\u00f3w, powtarzaj\u0105cych si\u0119 awarii lub nieoczekiwanych kod\u00f3w statusu.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Konieczne jest rozpocz\u0119cie od nowa, aby stworzy\u0107 trwa\u0142e procesy i <strong style=\"font-weight:700;color:inherit\">Pracownik<\/strong> za\u0142adowanie zaktualizowanego kodu nie powoduje jednak samo w sobie usuni\u0119cia luki. Bez zainstalowanej aktualizacji luka pozostaje. W przypadku du\u017cego obci\u0105\u017cenia okno serwisowe nale\u017cy wybra\u0107 tak, aby \u017c\u0105dania mog\u0142y by\u0107 przetwarzane w spos\u00f3b uporz\u0105dkowany, a skutki ponownego uruchomienia procesu roboczego pozostawa\u0142y widoczne. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">To, w jakim stopniu kontrolowane ponowne uruchomienie wp\u0142ywa na przepustowo\u015b\u0107, zale\u017cy od liczby i obci\u0105\u017cenia proces\u00f3w PHP. Przy planowaniu warto uwzgl\u0119dni\u0107 kolejki, uruchomione zadania i krytyczne transakcje, zamiast ko\u0144czy\u0107 procesy w spos\u00f3b nieskoordynowany. Przewodnik <a href=\"https:\/\/webhosting.de\/pl\/php-workers-hosting-bottleneck-guide-balance\/\">Zrozumie\u0107 procesy robocze PHP<\/a> wyja\u015bnia rol\u0119 tych proces\u00f3w w przypadku r\u00f3wnoleg\u0142ych zapyta\u0144 dynamicznych.<\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Je\u015bli po zainstalowaniu poprawki pojawi\u0105 si\u0119 nieprawid\u0142owo\u015bci, nale\u017cy odr\u00f3\u017cni\u0107 b\u0142\u0119dy kompatybilno\u015bci aplikacji od niepe\u0142nego wdro\u017cenia. Nale\u017cy por\u00f3wna\u0107 konfiguracj\u0119, aktywowane rozszerzenia oraz \u015brodowisko uruchomieniowe aplikacji internetowej ze stanem sprzed konserwacji. Cofni\u0119cie aktualizacji nie mo\u017ce powodowa\u0107, \u017ce us\u0142uga dost\u0119pna publicznie pozostanie trwale w stanie podatnym na ataki; w takim przypadku nale\u017cy szybko ustali\u0107 kompatybiln\u0105 \u015bcie\u017ck\u0119 aktualizacji z zainstalowan\u0105 poprawk\u0105.<\/p>\n<\/section><section class=\"wh-section\" aria-labelledby=\"prioritaeten-fuer-alte-und-versteckte-installationen\" style=\"display:block;margin:0 0 36px;min-width:0\"><h2 id=\"prioritaeten-fuer-alte-und-versteckte-installationen\" style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">Priorytet dla starych i ukrytych instalacji PHP<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Szczeg\u00f3ln\u0105 uwag\u0119 nale\u017cy po\u015bwi\u0119ci\u0107 systemom, w kt\u00f3rych PHP nie jest widoczne jako \u015bwiadomie zainstalowane \u015brodowisko uruchomieniowe: obrazom Docker, urz\u0105dzeniom wirtualnym, serwerom NAS i interfejsom sieciowym, a tak\u017ce gotowym produktom oprogramowania. Aktualizacja hosta nie powoduje automatycznej aktualizacji obrazu kontenera ani wewn\u0119trznego \u015brodowiska uruchomieniowego dostarczonego wraz z produktem producenta. Dlatego nale\u017cy zwr\u00f3ci\u0107 si\u0119 bezpo\u015brednio do producenta z pro\u015bb\u0105 o ocen\u0119 sytuacji oraz o aktualizacj\u0119 zabezpiecze\u0144 dla konkretnego produktu. <\/p>\n<figure class=\"wp-block-image size-large wh-figure\" aria-describedby=\"wh-caption-detail2\" style=\"display:block;float:none;clear:both;width:100%;max-width:760px;margin:34px auto 40px;border:1px solid #dae5e9;border-radius:14px;overflow:hidden;background:#f5f8fa;box-shadow:0 10px 28px -17px rgba(24,47,60,.28);box-sizing:border-box\"><div class=\"wh-figure-media\" style=\"display:block;background:#eef3f5;line-height:0\"><img loading=\"lazy\" width=\"800\" height=\"534\" src=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/eingebettetes-php-appliance-herstellerhinweis-73623c2b-detail2-208e5385a5-1024x683.webp\" class=\"wp-image-21950\" alt=\"Administrator sprawdza informacje producenta dotycz\u0105ce urz\u0105dzenia sieciowego z wbudowanym PHP.\" decoding=\"async\" srcset=\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/eingebettetes-php-appliance-herstellerhinweis-73623c2b-detail2-208e5385a5-1024x683.webp 1024w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/eingebettetes-php-appliance-herstellerhinweis-73623c2b-detail2-208e5385a5-300x200.webp 300w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/eingebettetes-php-appliance-herstellerhinweis-73623c2b-detail2-208e5385a5-768x512.webp 768w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/eingebettetes-php-appliance-herstellerhinweis-73623c2b-detail2-208e5385a5-18x12.webp 18w, https:\/\/webhosting.de\/wp-content\/uploads\/2026\/10\/eingebettetes-php-appliance-herstellerhinweis-73623c2b-detail2-208e5385a5.webp 1536w\" sizes=\"auto, (max-width: 800px) 100vw, 800px\" ><\/div><figcaption class=\"wh-caption\" id=\"wh-caption-detail2\" style=\"display:block;margin:0;padding:12px 18px 15px;border-top:1px solid #dce5e9;color:#506575;background:#f5f8fa;font-size:14px;line-height:1.55;text-align:start\">Ilustracja wygenerowana przez sztuczn\u0105 inteligencj\u0119: w przypadku urz\u0105dze\u0144 typu appliance nale\u017cy sprawdzi\u0107 zalecenia producenta oraz spos\u00f3b aktualizacji konkretnego produktu; przedstawiony proces nie jest og\u00f3lnym procesem aktualizacji.<\/figcaption><\/figure><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">W przypadku starszych ga\u0142\u0119zi nale\u017cy wyra\u017anie rozr\u00f3\u017cni\u0107 trzy przypadki. Regularnie obs\u0142ugiwana wersja PHP otrzymuje aktualizacje zabezpiecze\u0144 publikowane przez projekt PHP. Backport dystrybucji lub dostawcy mo\u017ce zawiera\u0107 poprawk\u0119 pomimo odmiennego widocznego numeru wersji, musi jednak by\u0107 potwierdzony komunikatem dotycz\u0105cym bezpiecze\u0144stwa lub dziennikiem zmian tego dostawcy. Natomiast samodzielnie utrzymywany kod \u017ar\u00f3d\u0142owy wymaga natomiast ponoszenia w\u0142asnej odpowiedzialno\u015bci za kompilacj\u0119, testowanie i eksploatacj\u0119; nie stanowi on r\u00f3wnowa\u017cnego zamiennika standardowego kana\u0142u aktualizacji. <\/p>\n<p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">PHP 8.1 i starsze ga\u0142\u0119zie nie otrzymuj\u0105 ju\u017c regularnych wyda\u0144 z g\u0142\u00f3wnego repozytorium. Chocia\u017c dla PHP 8.2 dost\u0119pna jest poprawiona wersja z poprawkami, wsparcie dla tej ga\u0142\u0119zi wyga\u015bnie pod koniec 2026 roku. Skorzystaj z dost\u0119pnej poprawki w nag\u0142ych przypadkach, ale w przypadku starych lub wycofywanych wersji zaplanuj dodatkowo przetestowan\u0105 <strong style=\"font-weight:700;color:inherit\">Migracja<\/strong> na ga\u0142\u0105\u017a, kt\u00f3ra b\u0119dzie d\u0142u\u017cej obs\u0142ugiwana. <\/p>\n<ol class=\"wh-list\" role=\"list\"><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">W pierwszej kolejno\u015bci nale\u017cy zaktualizowa\u0107 us\u0142ugi dost\u0119pne publicznie, w kt\u00f3rych \u015brodowisko uruchomieniowe PHP nie zosta\u0142o jeszcze zaktualizowane, zw\u0142aszcza je\u015bli umo\u017cliwiaj\u0105 one przesy\u0142anie plik\u00f3w lub zawieraj\u0105 funkcje administracyjne.<\/li><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Nale\u017cy niezw\u0142ocznie zaj\u0105\u0107 si\u0119 kwesti\u0105 serwera Apache z modu\u0142em mod_php oraz sklepami internetowymi o znaczeniu krytycznym dla dzia\u0142alno\u015bci, interfejsami API lub portalami klienckimi; oficjalny komunikat dotycz\u0105cy bezpiecze\u0144stwa podkre\u015bla, \u017ce modu\u0142 mod_php stanowi szczeg\u00f3lnie powa\u017cne zagro\u017cenie.<\/li><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Rejestrowanie kontener\u00f3w, urz\u0105dze\u0144 i produkt\u00f3w innych producent\u00f3w na podstawie obraz\u00f3w, spisu zasob\u00f3w i statusu producenta; brak widocznych pakiet\u00f3w PHP nie oznacza, \u017ce wszystko jest w porz\u0105dku.<\/li><li style=\"margin:8px 0;padding:12px 17px;background:#f5f8fa;border:1px solid #e0e8ec;border-radius:9px\">Nale\u017cy odizolowa\u0107 us\u0142ugi, kt\u00f3re nie s\u0105 obs\u0142ugiwane lub kt\u00f3rych nie da si\u0119 szybko za\u0142ata\u0107, oraz ograniczy\u0107 do nich dost\u0119p, planuj\u0105c jednocze\u015bnie w spos\u00f3b wi\u0105\u017c\u0105cy ich zast\u0105pienie, aktualizacj\u0119 lub migracj\u0119.<\/li><\/ol><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Segmentacja sieci, obowi\u0105zkowe korzystanie z VPN lub restrykcyjne zasady dost\u0119pu mog\u0105 da\u0107 troch\u0119 czasu w przypadku interfejs\u00f3w administracyjnych, kt\u00f3rych nie da si\u0119 natychmiast za\u0142ata\u0107. S\u0105 one jednak jedynie <strong style=\"font-weight:700;color:inherit\">\u015arodki przej\u015bciowe<\/strong>, poniewa\u017c wewn\u0119trzne konta u\u017cytkownik\u00f3w, zainfekowane urz\u0105dzenia i nieprawid\u0142owo skonfigurowane udost\u0119pnienia mog\u0105 nadal stanowi\u0107 punkty wej\u015bcia dla atak\u00f3w. Je\u015bli dla danego produktu nie jest dost\u0119pna poprawka lub ga\u0142\u0105\u017a PHP nie jest ju\u017c obj\u0119ta wsparciem, rozs\u0105dnym rozwi\u0105zaniem jest wymiana lub migracja. <\/p>\n<\/section><section class=\"wh-sources\" style=\"margin:40px 0 0;padding:24px 0 0;border-top:1px solid #dce5e9;color:#596b7b;font-size:14px;line-height:1.65\"><h2 style=\"margin:38px 0 18px;color:#172f41;font-size:clamp(24px,1.25rem + 1vw,30px);font-weight:700;line-height:1.3;scroll-margin-top:115px\">\u0179r\u00f3d\u0142a i aktualny stan wiedzy<\/h2><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Stan bada\u0144: <time datetime=\"2026-10-22\">2026-10-22<\/time><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\">Stan bada\u0144: 22 pa\u017adziernika 2026 r. Informacje o aktualizacjach i wsparciu technicznym odnosz\u0105 si\u0119 do udost\u0119pnionych \u017ar\u00f3de\u0142 PHP i CERT-EU; w przypadku pakiet\u00f3w dystrybucyjnych nale\u017cy oddzielnie sprawdzi\u0107 udokumentowane backporty zabezpiecze\u0144.<\/p><div class=\"wh-source-urls\"><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/www.php.net\/archive\/2026.php<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/github.com\/php\/php-src\/security\/advisories\/GHSA-w8hw-w9fx-j79w<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/cert.europa.eu\/publications\/security-advisories\/2026-018\/<\/span><\/p><p style=\"margin:0 0 1.1em;font-size:inherit;line-height:inherit\"><span class=\"wh-source-url\" data-no-translation dir=\"ltr\" style=\"overflow-wrap:anywhere;font:12px\/1.6 ui-monospace,monospace;direction:ltr\">https:\/\/www.php.net\/supported-versions.php<\/span><\/p><\/div><\/section><\/div>","protected":false},"excerpt":{"rendered":"<p>Krytyczne luki w zabezpieczeniach PHP mog\u0105 stanowi\u0107 zagro\u017cenie dla nieza\u0142atanych serwis\u00f3w internetowych. Dowiedz si\u0119, jakie aktualizacje s\u0105 konieczne, dlaczego czas dzia\u0142ania serwisu ma znaczenie i jak bezpiecznie zaplanowa\u0107 aktualizacje.<\/p>","protected":false},"author":1,"featured_media":21948,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"inline_featured_image":false,"footnotes":""},"categories":[780],"tags":[],"class_list":["post-21942","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administration-anleitungen"],"acf":[],"_wp_attached_file":null,"_wp_attachment_metadata":null,"surfer_file_name":null,"surfer_file_original_url":null,"_wp_attachment_image_alt":null,"litespeed-optimize-set":null,"litespeed-optimize-size":null,"_oembed_b5e1eb923ad3b086e579b1befcd4075c":null,"_elementor_source_image_hash":null,"stockpack_author_name":null,"stockpack_author_url":null,"stockpack_provider":null,"stockpack_image_url":null,"stockpack_license":null,"stockpack_license_url":null,"stockpack_modification":null,"color":null,"original_id":null,"original_url":null,"original_link":null,"unsplash_location":null,"unsplash_sponsor":null,"unsplash_exif":null,"unsplash_attachment_metadata":null,"_elementor_is_screenshot":null,"_source_url":null,"_elementor_migrations_state_8b2d":null,"envato_tk_source_kit":null,"envato_tk_source_index":null,"envato_tk_manifest":null,"envato_tk_folder_name":null,"envato_tk_builder":null,"envato_elements_download_event":null,"_menu_item_type":null,"_menu_item_menu_item_parent":null,"_menu_item_object_id":null,"_menu_item_object":null,"_menu_item_target":null,"_menu_item_classes":null,"_menu_item_xfn":null,"_menu_item_url":null,"_trp_menu_languages":null,"rank_math_primary_category":"780","_wh_make_key":"wh_73623c2bee09ad78865933f53c9d4892","rank_math_internal_links_processed":"1","_wh_make_topic":"PHP Sicherheitsl\u00fccke - Wie das halbe Internet gehackt werden kann","_wh_make_input_keywords":["php-sicherheit","hacker","php","updates"],"_wh_make_config":{"research_model":"gpt-5.6-terra","writer_model":"gpt-5.6-terra","review_model":"gpt-5.6-sol","image_model":"gpt-image-2.5-flare","image_quality":"high","image_format":"webp","final_status":"draft","charts_enabled":true},"_wh_make_links":{"I1":{"id":"I1","post_id":16509,"url":"https:\/\/webhosting.de\/https-webhosting-de-php-session-garbage-collection-optimierung-performance\/","title":"PHP Session Garbage Collection: dlaczego mo\u017ce zablokowa\u0107 Twoj\u0105 stron\u0119 internetow\u0105","excerpt":"Funkcja php session gc mo\u017ce blokowa\u0107 \u017c\u0105dania, poniewa\u017c podczas czyszczenia dziesi\u0105tek tysi\u0119cy plik\u00f3w sesji na d\u0142ugo anga\u017cuje proces PHP, co powoduje, \u017ce inne \u017c\u0105dania musz\u0105 czeka\u0107. Poka\u017c\u0119, w jaki spos\u00f3b probabilistyczne czyszczenie pami\u0119ci, blokady plik\u00f3w i powolne operacje wej\u015bcia\/wyj\u015bcia powoduj\u0105 odczuwalne op\u00f3\u017anienia oraz jak unikam tych op\u00f3\u017anie\u0144 dzi\u0119ki jasnym ustawieniom, zadaniom cron i pami\u0119ci RAM, aby strona dzia\u0142a\u0142a p\u0142ynnie. Kluczowe kwestie: Przyczyna problemu: probabilistyczne czyszczenie pami\u0119ci (GC), operacje wej\u015bcia\/wyj\u015bcia na plikach oraz blokady powoduj\u0105 op\u00f3\u017anienia. Czynnik ryzyka: du\u017ca liczba sesji (np. 170 000) wyd\u0142u\u017ca ka\u017cdy przebieg GC. WordPress: panel administracyjny + Heartbeat pog\u0142\u0119biaj\u0105 op\u00f3\u017anienia. Hosting: pami\u0119\u0107 RAM, dyski SSD i izolacja zmniejszaj\u0105 obci\u0105\u017cenie zwi\u0105zane z GC. Rozwi\u0105zanie: czyszczenie za pomoc\u0105 zada\u0144 cron i Redis przyspieszaj\u0105 \u017c\u0105dania. Kr\u00f3tkie wyja\u015bnienie dzia\u0142ania funkcji Garbage Collection sesji PHP Sesje przechowuj\u0105 dane stanu mi\u0119dzy \u017c\u0105daniami, zazwyczaj jako pliki w systemie plik\u00f3w. Funkcja Garbage Collection usuwa nieaktualne pliki, kt\u00f3rych czas ostatniej modyfikacji jest starszy ni\u017c warto\u015b\u0107 session.gc_maxlifetime, cz\u0119sto wynosz\u0105ca 1440 sekund. Domy\u015blnie PHP uruchamia to czyszczenie probabilistycznie za pomoc\u0105 session.gc_probability i session.gc_divisor, cz\u0119sto jako 1 na 1000 wywo\u0142a\u0144. Brzmi to niewinnie, ale przy du\u017cym nat\u0119\u017ceniu ruchu zawsze znajdzie si\u0119 kto\u015b, kto musi znosi\u0107 ca\u0142y ten proces. Im wi\u0119cej plik\u00f3w znajduje si\u0119 w katalogu sesji, tym d\u0142u\u017cej czyszczenie blokuje proces. Dlaczego czyszczenie blokuje \u017c\u0105dania? Cykl GC musi przejrze\u0107 katalog sesji, sprawdzi\u0107 ka\u017cdy plik i usun\u0105\u0107 stare wpisy, co przy wolnym wej\u015bciu\/wyj\u015bciu szybko zajmuje kilka sekund. Je\u015bli znajduje si\u0119 tam 170 000 plik\u00f3w, wykonuje si\u0119 wiele kolejnych wywo\u0142a\u0144 systemowych, kt\u00f3re obci\u0105\u017caj\u0105 procesor, pami\u0119\u0107 RAM i pami\u0119\u0107 masow\u0105. Procesy PHP uruchomione r\u00f3wnolegle pr\u00f3buj\u0105 czasami usuwa\u0107 pliki w tym samym czasie, powoduj\u0105c dodatkowe blokady plik\u00f3w. Wyd\u0142u\u017ca to czas oczekiwania, poniewa\u017c procesy wzajemnie si\u0119 spowalniaj\u0105 lub blokuj\u0105. Kto zag\u0142\u0119bi si\u0119 w temat blokowania sesji, zauwa\u017cy, jak bardzo blokowanie wp\u0142ywa na profil czasu odpowiedzi i wyd\u0142u\u017ca czas do pierwszego bajtu (Time-to-First-Byte), zw\u0142aszcza podczas szczyt\u00f3w obci\u0105\u017cenia, kt\u00f3rych chc\u0119 unikn\u0105\u0107 poprzez oddzielenie GC. WordPress: powolne strony administracyjne z powodu sesji Panel administracyjny wymaga wi\u0119kszego obci\u0105\u017cenia procesora i cz\u0119stszych dost\u0119p\u00f3w do bazy danych ni\u017c interfejs u\u017cytkownika, co sprawia, \u017ce ka\u017cde dodatkowe op\u00f3\u017anienie jest odczuwalne"},"I2":{"id":"I2","post_id":13013,"url":"https:\/\/webhosting.de\/php-workers-hosting-flaschenhals-ratgeber-balance\/","title":"Zrozumienie pracownik\u00f3w PHP: Czym s\u0105 i kiedy staj\u0105 si\u0119 w\u0105skim gard\u0142em","excerpt":"Workery PHP to niezale\u017cne procesy, kt\u00f3re wykonuj\u0105 kod PHP, obs\u0142uguj\u0105c w ten spos\u00f3b ka\u017cde dynamiczne \u017c\u0105danie kierowane do strony internetowej. Je\u015bli do serwera trafi jednocze\u015bnie zbyt wiele \u017c\u0105da\u0144 nieb\u0119d\u0105cych w pami\u0119ci podr\u0119cznej, dost\u0119pne workery zajm\u0105 wszystkie sloty, powstanie kolejka, a to w\u0105skie gard\u0142o spowoduje d\u0142ugi czas odpowiedzi, skoki warto\u015bci TTFB oraz b\u0142\u0119dy. Kluczowe kwestie Poni\u017csze kluczowe stwierdzenia podsumuj\u0119 zwi\u0119\u017ale, aby\u015b m\u00f3g\u0142 szybko podj\u0105\u0107 w\u0142a\u015bciwe decyzje dotycz\u0105ce wydajno\u015bci i przepustowo\u015bci. Definicja: Pracownicy PHP przetwarzaj\u0105 \u017c\u0105dania szeregowo, przy czym ka\u017cdy pracownik obs\u0142uguje tylko jedno \u017c\u0105danie na raz. W\u0105skie gard\u0142o: Zbyt ma\u0142a liczba pracownik\u00f3w powoduje tworzenie si\u0119 kolejek, wzrost TTFB i ryzyko przekroczenia limit\u00f3w czasu. Zasoby: Pracownicy potrzebuj\u0105 rdzeni procesora; niew\u0142a\u015bciwy stosunek powoduje prze\u0142\u0105czanie kontekstu. Buforowanie: Im wi\u0119cej trafie\u0144 z pami\u0119ci podr\u0119cznej, tym mniejsze obci\u0105\u017cenie pracownik\u00f3w podczas szczyt\u00f3w ruchu. Skalowanie: Liczb\u0119 pracownik\u00f3w nale\u017cy dostosowa\u0107 do profilu strony, wtyczek i interakcji. Czym s\u0105 pracownicy PHP w kontek\u015bcie hostingu? Postrzegam procesy robocze PHP jako cyfrowych kelner\u00f3w, kt\u00f3rzy obs\u0142uguj\u0105 ka\u017cde dynamiczne \u017c\u0105danie z osobna. Proces roboczy odczytuje skrypt PHP, uruchamia zapytania do bazy danych i na tej podstawie generuje kod HTML dla przegl\u0105darki. Gdy zadanie jest w toku, proces roboczy pozostaje zaj\u0119ty do momentu jego zako\u0144czenia i dopiero wtedy staje si\u0119 ponownie dost\u0119pny; nie pracuje on r\u00f3wnolegle. W WordPressie procesy dodatkowo przejmuj\u0105 powtarzaj\u0105ce si\u0119 zadania, takie jak zadania cron, wysy\u0142anie e-maili i kontrole bezpiecze\u0144stwa. W\u0142a\u015bnie dlatego liczba i jako\u015b\u0107 proces\u00f3w maj\u0105 ogromny wp\u0142yw na postrzegan\u0105 szybko\u015b\u0107 dzia\u0142ania strony internetowej. Kiedy i dlaczego powstaje w\u0105skie gard\u0142o proces\u00f3w? W\u0105skie gard\u0142o powstaje, gdy jednocze\u015bnie nap\u0142ywa wi\u0119cej niebuforowanych \u017c\u0105da\u0144 ni\u017c jest dost\u0119pnych proces\u00f3w roboczych. Ka\u017cde kolejne \u017c\u0105danie trafia w\u00f3wczas do kolejki i czeka na wolne miejsce. Zwi\u0119ksza to czas do pierwszego bajtu (Time To First Byte), wyd\u0142u\u017ca czas \u0142adowania i mo\u017ce powodowa\u0107 przerywanie proces\u00f3w realizacji transakcji. W sklepach internetowych lub strefach cz\u0142onkowskich sytuacj\u0119 pogarszaj\u0105 spersonalizowane tre\u015bci, poniewa\u017c pami\u0119\u0107 podr\u0119czna nie jest w stanie dostarczy\u0107 wielu odpowiedzi, co przenosi obci\u0105\u017cenie bezpo\u015brednio na procesy robocze. W tej sytuacji najwi\u0119kszy efekt osi\u0105gam dzi\u0119ki rozs\u0105dnemu buforowaniu, zoptymalizowanym wtyczkom oraz odpowiedniemu stosunkowi liczby proces\u00f3w roboczych do liczby procesor\u00f3w. Objawy rozpozna\u0107"},"I3":{"id":"I3","post_id":17876,"url":"https:\/\/webhosting.de\/wordpress-opcode-cache-performant-serverboost-perf\/","title":"Dlaczego WordPress nie mo\u017ce dzia\u0142a\u0107 z wysok\u0105 wydajno\u015bci\u0105 bez pami\u0119ci podr\u0119cznej opcode?","excerpt":"Pami\u0119\u0107 podr\u0119czna opcode w WordPressie decyduje, czy Twoja strona b\u0119dzie kompilowa\u0107 kod PHP od nowa przy ka\u017cdym wywo\u0142aniu, czy te\u017c uruchamia\u0107 go bezpo\u015brednio z pami\u0119ci RAM. Poka\u017c\u0119, dlaczego brak OPcache obci\u0105\u017ca procesor, wyd\u0142u\u017ca czas TTFB i znacznie ogranicza skalowalno\u015b\u0107. Kluczowe kwestie Zanim przejd\u0119 do szczeg\u00f3\u0142\u00f3w, kr\u00f3tko i jasno podsumuj\u0119 najwa\u017cniejsze wnioski, aby\u015b od razu pozna\u0142 czynniki wp\u0142ywaj\u0105ce na wydajno\u015b\u0107. Bez OPcache PHP kompiluje kod na nowo przy ka\u017cdym \u017c\u0105daniu, co powoduje marnowanie czasu oczekiwania i zasob\u00f3w oraz sprawia, \u017ce strony reaguj\u0105 wolno. Przy w\u0142\u0105czonym OPcache kod bajtowy i \u015bcie\u017cki kodu s\u0105 uruchamiane z pami\u0119ci, dzi\u0119ki czemu odpowiedzi na \u017c\u0105dania s\u0105 szybsze, a szczyty obci\u0105\u017cenia rzadziej eskaluj\u0105. W po\u0142\u0105czeniu z buforowaniem stron i obiekt\u00f3w OPcache zwi\u0119ksza wydajno\u015b\u0107 i zapewnia niezb\u0119dn\u0105 stabilno\u015b\u0107 infrastruktury. Prawid\u0142owo skonfigurowany OPcache zauwa\u017calnie zwi\u0119ksza liczb\u0119 obs\u0142ugiwanych u\u017cytkownik\u00f3w na rdze\u0144 serwera i obni\u017ca wska\u017anik b\u0142\u0119d\u00f3w w okresach szczytowego obci\u0105\u017cenia. Te czynniki decyduj\u0105 o r\u00f3\u017cnicy mi\u0119dzy oci\u0119\u017ca\u0142ym systemem a szybk\u0105 instalacj\u0105 o niezawodnej wydajno\u015bci. OPcache skraca czas kompilacji i stabilizuje TTFB. Obci\u0105\u017cenie procesora spada, a wydajno\u015b\u0107 na rdze\u0144 ro\u015bnie. Skalowanie przebiega pomy\u015blnie, a szczyty obci\u0105\u017cenia pozostaj\u0105 pod kontrol\u0105. PHP 8+ zapewnia dodatkow\u0105 wydajno\u015b\u0107. Monitorowanie pozwala \u015bledzi\u0107 wska\u017anik trafie\u0144 i wykorzystanie pami\u0119ci. Dlaczego WordPress bez pami\u0119ci podr\u0119cznej opcode dzia\u0142a wolniej Przy ka\u017cdym wywo\u0142aniu strony WordPress \u0142aduje wiele plik\u00f3w PHP, kt\u00f3re bez OPcache s\u0105 za ka\u017cdym razem analizowane, przekszta\u0142cane w drzewo sk\u0142adniowe i ponownie kompilowane do kodu bajtowego, co niepotrzebnie wyd\u0142u\u017ca czas obliczeniowy. Podczas audyt\u00f3w regularnie obserwuj\u0119 dwu- lub trzykrotne wyd\u0142u\u017cenie czasu wykonania, poniewa\u017c te same procedury dla ka\u017cdego \u017c\u0105dania uruchamiaj\u0105 si\u0119 ca\u0142kowicie od nowa, generuj\u0105c w ten spos\u00f3b obci\u0105\u017cenie cieplne procesora. To powtarzanie blokuje procesy robocze FPM, op\u00f3\u017ania odpowiedzi i powoduje gwa\u0142towny wzrost TTFB. W przypadku jednoczesnych dost\u0119p\u00f3w przepustowo\u015b\u0107 spada, podczas gdy w szczytowych momentach wzrasta liczba b\u0142\u0119d\u00f3w (502\/504). Im wi\u0119cej wtyczek i zasobnych motyw\u00f3w jest u\u017cywanych, tym bardziej odczuwalne s\u0105 koszty ka\u017cdego pojedynczego wyczyszczenia pami\u0119ci podr\u0119cznej. Tak dzia\u0142a OPcache w szczeg\u00f3\u0142ach: OPcache przechowuje skompilowany kod bajtowy PHP we wsp\u00f3lnej pami\u0119ci i, przy niezmienionych znacznikach czasu, dostarcza ten sam kod bezpo\u015brednio z pami\u0119ci RAM, co eliminuje dost\u0119p do dysku i ponowne kompilowanie."}},"_wh_make_stage":"entwurf","_wh_make_research_date":"2026-10-22","_wh_make_sitemap_info":{"index":"https:\/\/webhosting.de\/sitemap_index.xml","sitemaps":["https:\/\/webhosting.de\/post-sitemap1.xml","https:\/\/webhosting.de\/post-sitemap2.xml","https:\/\/webhosting.de\/post-sitemap3.xml","https:\/\/webhosting.de\/post-sitemap4.xml"],"url_count":3118,"fetched_at":"2026-10-22T06:00:26+00:00","selected_ids":[16509,13013,17876]},"_wh_make_draft_hash":"009ed5beba52019f0d3c8834a0ffd6c0a8479510491a398e7cc06f96ec23b4f9","_wh_make_work":{"version":"2.1","identity":{"sheet_ref":"1VMjxV8Q73i0Q1HO6s-u4jNHVRF0snliGCeg97intLPs","sheet_name":"Tabellenblatt1","external_id":"1414","topic":"PHP Sicherheitsl\u00fccke - Wie das halbe Internet gehackt werden kann","keywords":["php-sicherheit","hacker","php","updates"],"category_input":"780"},"config":{"research_model":"gpt-5.6-terra","writer_model":"gpt-5.6-terra","review_model":"gpt-5.6-sol","image_model":"gpt-image-2.5-flare","image_quality":"high","image_format":"webp","final_status":"draft","charts_enabled":true},"phase":"done","pending":null,"receipts":{"049326eb0022c51ec75705a9ab0dc91c":"dcc79ca91faca7756ca4d716471a59e4747bf925f7cde369ca67d4a153486550","efd206707ede9c95767952be2ce2da88":"d1bcc8bcda7f0b68aebaf5a275eb3eee174c844870cec340c011b5e5b9f4e9ad","2dd8dcbb862352557970aba0c9df0fa6":"78fc8155f6b4da415c54300caec6d6644eb93a266f724a111b6cd2ea1cf64e29","1b74d36fe89db4f706c0f5b108857581":"e41ad907ef95044a55135a0c4419badafce20fd2c7adaacafebed361f58a82ed","c5d5baec87d73f08bc250f5fdcc4ac0e":"61a2bdd3c107daa3dfc8c81b496c42584cbc63635911646fdadaa980b909d7f2","60101f5704ba397cc3dd7d1514aaa077":"2d717cd1892f86b40fc386d00cf9c6d584b2fb7710f605e7d25b1e779bf85020","1bee2c84a03102f115fa970ff41920e6":"54a861f0d7356b0f784b500b82cc76f9636fe984a63ee5938de021a8dc8d7866","a07463940f4a368f0c2e1c8a5345b1a6":"80cf6a6a56c06cee08e4bd2e684e4ffa92a43216b8f5eaa720ce228aeb7dc9b7","1c6673629e91389d8ed9a449e7e2fb04":"7db5f10f317f0ab2d1e87361fe60ac97e36376bd4d0716aebaea45450c09d320","93de3781567c1a226ece4aea06087f48":"c622f6d0b5eb8640a331dede243f0ed19c812bd0b174a05cb1a2afe0d0bcb565","bd80cd2fe1f3ee4b40afcae495694b4e":"cefc06f5082264c3670ec4d07794bbebbb6a8c4217d4aa6c44d1b1b3b59a1623","ce819983f5a310d651f9eb5333ef27a8":"81d8a1dbdee8507238481a7e8166ee19250ceace89862d57ec3553cdd8c6a751","cffabe60a69f05be258549a8fade2e03":"e7f1432b43925186f9702369d0ac13827e66395afe05321cf303738e9ac104ba","ede4208f30671e2313fd2812f5edc940":"cfaf3d2308600086faf3912ffde9f69b5274570dc89a0fc3bfbd65e9626082b0","6ba43b14832b1cb17e0aed6c0ee8137b":"77aa7f08d5834f9a5344e0985d5ab063b2f8e0807907bedf7ad3beb355cdfed8","f50504a055a4413970b9a679aae5f067":"a5461a6d46a60a79c47305053e6b0e21467df2ca5456e2ba6a45d4d5826cf055","4054bb35d1e1359e85dd1177e9712ad1":"97cc6b19dae82f00c0a0131d635a5448976a38e9a3977712bb874237c011e7d4","42247db709436940d2fea2e3672722cf":"d7df756a1843eb5ccd1a82571f37f9889cd9f2925e6f1e58166e5fb3cdc8acd9"},"parts":{"1":[{"id":"alarmmeldung-richtig-einordnen","heading":"Die Alarmmeldung richtig einordnen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Aussage, eine PHP-Sicherheitsl\u00fccke k\u00f6nne \u201edas halbe Internet\u201c betreffen, ist ein zugespitzter Aufh\u00e4nger, aber keine belegte Gr\u00f6\u00dfenordnung. Es gibt keinen Nachweis, dass die H\u00e4lfte aller Internetdienste verwundbar oder bereits kompromittiert ist. Das tats\u00e4chliche Risiko ist dennoch erheblich, weil PHP als Laufzeitumgebung in vielen Websites, Shops, APIs und Verwaltungsoberfl\u00e4chen eingesetzt wird.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Entscheidend ist nicht, ob eine Website PHP nutzt, sondern welche PHP-Version ihre Webanfragen verarbeitet. Die Sicherheitsupdates vom 21. Oktober 2026 betreffen grunds\u00e4tzlich ungepatchte Installationen der unterst\u00fctzten Zweige, sofern sie Anfragen \u00fcber einen Webdienst bedienen. Ein lokales PHP f\u00fcr Entwicklungsaufgaben ist daher anders zu bewerten als ein von au\u00dfen erreichbares Kundenportal.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die ","ref":""},{"kind":"strong","text":"Internet-Exponierung","ref":""},{"kind":"text","text":" bestimmt die Dringlichkeit wesentlich. Ein \u00f6ffentlich erreichbarer Shop mit Formularen und Uploads bietet mehr m\u00f6gliche Ber\u00fchrungspunkte als ein abgeschotteter interner Dienst. Auch ein interner Dienst ist aber nicht automatisch sicher: VPN-Zug\u00e4nge, kompromittierte Konten oder andere Systeme im Netzwerk k\u00f6nnen ihn erreichbar machen. Reichweite allein ersetzt deshalb keine technische Risikopr\u00fcfung.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ebenso wichtig sind Betriebsart und ","ref":""},{"kind":"strong","text":"Patchstand","ref":""},{"kind":"text","text":". PHP kann etwa \u00fcber PHP-FPM, als Apache-Modul, per php-cgi oder eingebettet in ein Produkt laufen. Mehrere Domains auf demselben Server k\u00f6nnen dabei unterschiedliche Versionen und Aktualisierungswege haben. Eine pauschale Entwarnung f\u00fcr alle PHP-Websites w\u00e4re ebenso falsch wie die Annahme, jede Installation sei unmittelbar angreifbar.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"rce-und-betroffene-php-wege","heading":"Was die PHP-Schwachstellen technisch erm\u00f6glichen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Eine ","ref":""},{"kind":"strong","text":"Remote Code Execution","ref":""},{"kind":"text","text":" (RCE) bedeutet, dass ein Angreifer unter bestimmten Bedingungen Code auf einem entfernten System ausf\u00fchren kann. Bei diesen PHP-Schwachstellen ist laut Sicherheitsmeldung keine vorherige Anmeldung erforderlich. Ausgef\u00fchrt w\u00fcrde der Code zun\u00e4chst mit den Rechten des Webprozesses, nicht automatisch mit uneingeschr\u00e4nkten Administratorrechten. Die m\u00f6glichen Folgen h\u00e4ngen daher stark von Dateirechten, Zugangsdaten und der Servertrennung ab.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"CVE-2026-109618 betrifft Fehlerpfade bei ","ref":""},{"kind":"strong","text":"Speicherknappheit","ref":""},{"kind":"text","text":". Bricht PHP eine Anfrage wegen eines Out-of-Memory-Zustands ab, k\u00f6nnen interne Datenstrukturen unvollst\u00e4ndig bleiben. Werden solche Zust\u00e4nde beim Aufr\u00e4umen der Anfrage weiterverwendet, kann Speicherbesch\u00e4digung entstehen. Die offizielle Beschreibung nennt insbesondere Multipart-Anfragen, Dateiuploads und den Speicherverbrauch beim Parsen verschachtelter Eingaben als relevante technische Kontexte.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"CVE-2026-109619 betrifft dagegen an eine Anfrage gebundenen internen Zustand, dessen Speicher bereits freigegeben wurde. Verarbeitet ein wiederverwendeter Worker danach eine weitere Anfrage, kann PHP auf diesen veralteten Zustand zugreifen, bevor die normale Initialisierung greift. Die Sicherheitsmeldung verweist dabei unter anderem auf den Upload-Fortschritt von Sessions und Fehlerpfade. Das beschreibt die Fehlerklasse, nicht eine Anleitung zur Ausnutzung.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"list","ordered":false,"items":["Betroffen sein k\u00f6nnen Webanfragen \u00fcber PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.","Die Fehler liegen in der PHP-Laufzeit, nicht prim\u00e4r in WordPress, Joomla, Shopware, Themes oder einzelnen Plugins.","CMS und Frameworks beeinflussen erreichbare Funktionen wie Uploads, ersetzen aber kein Update des Interpreters."],"source_ids":["S1","S2"]}]},{"id":"risiko-haengt-vom-betrieb-ab","heading":"Warum nicht jede Installation gleich gef\u00e4hrdet ist","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Ob ein Dienst praktisch gef\u00e4hrdet ist, ergibt sich aus mehreren Faktoren. Vorrang haben eine ungepatchte PHP-Web-Laufzeit und ein erreichbarer Webdienst. Danach z\u00e4hlen die Betriebsart, wiederverwendete Prozesse, Funktionen f\u00fcr Uploads oder komplexe Formulare sowie die Rechte des Webprozess-Kontos. Ein Dienst mit weitreichendem Schreibzugriff auf Webdateien oder Zugang zu weiteren Diensten kann schwerere Folgen haben als ein strikt isoliertes Projekt.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei Apache mit ","ref":""},{"kind":"strong","text":"mod_php","ref":""},{"kind":"text","text":" hebt das PHP-Projekt den Risikofokus besonders hervor: Ein dokumentierter Angriff kann bereits vor der Ausf\u00fchrung des eigentlichen Anwendungscodes ausgel\u00f6st werden. Ein sauber gepflegtes CMS sch\u00fctzt dann nicht vor der Schwachstelle in der Laufzeit. Das bedeutet nicht, dass PHP-FPM, php-cgi, FrankenPHP oder LiteSpeed als ungef\u00e4hrlich gelten; sie m\u00fcssen bei einem ungepatchten Stand ebenfalls priorisiert gepr\u00fcft werden.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Besondere Aufmerksamkeit brauchen au\u00dferdem Produkte mit ","ref":""},{"kind":"strong","text":"eingebettetem PHP","ref":""},{"kind":"text","text":". Dazu k\u00f6nnen Container-Images, Appliances, NAS-Verwaltungen oder Netzwerkprodukte geh\u00f6ren, deren Oberfl\u00e4che PHP intern verwendet. Dort zeigt ein Befehl auf dem Host oft nicht die tats\u00e4chlich eingesetzte Laufzeit. Das Update des Betriebssystems behebt auch nicht automatisch eine verwundbare PHP-Komponente in einem Image oder Herstellerprodukt.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Eine Firewall, Web Application Firewall oder restriktive Upload-Limits k\u00f6nnen einzelne Anfragen erschweren und die Angriffsfl\u00e4che begrenzen. Sie sind jedoch kein Ersatz f\u00fcr den Fix, weil sie nicht die fehlerhafte Speicher- und Zustandsverwaltung im Interpreter korrigieren. Auch ein fehlerfreies CMS bleibt auf eine sichere Laufzeit angewiesen. Ma\u00dfgeblich ist deshalb, den Patchstand des tats\u00e4chlich Webanfragen verarbeitenden PHP zu pr\u00fcfen und zu aktualisieren.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]}],"2":[{"id":"patchstaende-und-supportstatus","heading":"Sichere Patchst\u00e4nde und Supportstatus vergleichen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr die beiden Sicherheitsl\u00fccken z\u00e4hlt zun\u00e4chst der Patchstand innerhalb des eingesetzten PHP-Zweigs. Das PHP-Projekt nennt f\u00fcr die unterst\u00fctzten Reihen konkrete korrigierte Releases. Fr\u00fchere Patchst\u00e4nde derselben Reihe gelten als betroffen; ein Upgrade auf die angegebene oder eine neuere Version dieses Zweigs ist die vorgesehene vollst\u00e4ndige Abhilfe.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"table","caption":"PHP-Zweige: Patchst\u00e4nde und Supportlage am 22. Oktober 2026","headers":["PHP-Zweig","Betroffen bis einschlie\u00dflich","Sichere Version ab","Supportstatus am 22. Oktober 2026","Empfohlene Ma\u00dfnahme"],"rows":[["PHP 8.2","8.2.34","8.2.35","Sicherheits-Support, Ende am 31. Dezember 2026","Kurzfristig auf mindestens 8.2.35 aktualisieren und Migration planen."],["PHP 8.3","8.3.35","8.3.36","Sicherheits-Support","Auf mindestens 8.3.36 aktualisieren."],["PHP 8.4","8.4.26","8.4.27","Sicherheits-Support","Auf mindestens 8.4.27 aktualisieren."],["PHP 8.5","8.5.11","8.5.12","Sicherheits-Support","Auf mindestens 8.5.12 aktualisieren."],["PHP 8.1 und \u00e4lter","Kein regul\u00e4res aktuelles Upstream-Release","Kein allgemein verf\u00fcgbares regul\u00e4res Fix-Release","Nicht regul\u00e4r vom PHP-Projekt unterst\u00fctzt","Anbieter-Backport pr\u00fcfen oder auf einen unterst\u00fctzten Zweig migrieren."]],"source_ids":["S1","S4"]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein ","ref":""},{"kind":"strong","text":"Patch-Update","ref":""},{"kind":"text","text":" bleibt in derselben Entwicklungsreihe, etwa von 8.3.35 auf 8.3.36. Es soll den Sicherheitsfix bereitstellen und hat einen engeren Kompatibilit\u00e4tsrahmen als ein Wechsel von 8.2 auf 8.4. Letzterer ist eine Migration: Abh\u00e4ngigkeiten, Erweiterungen, Anwendungscode und gegebenenfalls das Deployment m\u00fcssen daf\u00fcr separat gepr\u00fcft werden.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"PHP 8.2 ist f\u00fcr die akute Behebung weiterhin nutzbar, sofern mindestens Version 8.2.35 l\u00e4uft. Der Zweig erreicht jedoch am 31. Dezember 2026 sein Supportende. Deshalb sollte ein Betrieb nicht bei diesem Sofortschritt stehen bleiben: Plane die Umstellung auf einen l\u00e4nger unterst\u00fctzten Zweig, nachdem die Anwendung in einer geeigneten Umgebung auf Kompatibilit\u00e4t gepr\u00fcft wurde.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei PHP 8.1 und \u00e4lter ist besondere Vorsicht n\u00f6tig. Das PHP-Projekt stellt daf\u00fcr kein regul\u00e4res aktuelles Release bereit; minimale Quellcode-Backports sind nicht mit einem allgemein verf\u00fcgbaren, gepflegten Paket gleichzusetzen. Ein vom Betriebssystemanbieter dokumentierter Sicherheits-Backport kann angemessen sein, erfordert aber einen Nachweis im Security Advisory oder Paket-Changelog. Fehlt er, ist eine Migration statt einer blo\u00dfen Versionskosmetik n\u00f6tig.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"web-laufzeit-zuverlaessig-pruefen","heading":"Die tats\u00e4chliche Web-Laufzeit pr\u00fcfen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Versionspr\u00fcfung beginnt mit einer Bestandsaufnahme, darf aber nicht bei der Shell enden. Auf einem selbst verwalteten Server zeigen die folgenden Befehle die installierte PHP-CLI und deren geladene Konfigurationsdateien. Sie ver\u00e4ndern weder Pakete noch Konfiguration und eignen sich daher als erster, risikoarmer Pr\u00fcfschritt.","ref":""}]},{"type":"code","language":"bash","code":"php -v\nphp --ini","source_ids":["S1"]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Ausgabe belegt ausschlie\u00dflich die ","ref":""},{"kind":"strong","text":"CLI-Laufzeit","ref":""},{"kind":"text","text":". Eine Website kann dagegen \u00fcber PHP-FPM, Apache mit mod_php, php-cgi oder einen Container bedient werden. Diese Web-Laufzeit kann eine andere PHP-Version und andere Konfigurationsdateien nutzen als der Befehl ","ref":""},{"kind":"code","text":"php -v","ref":""},{"kind":"text","text":" auf dem Host. F\u00fcr die Sicherheitsbewertung ist stets der Prozess ma\u00dfgeblich, der reale HTTP-Anfragen verarbeitet.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Im Managed Hosting pr\u00fcfst du deshalb im Kundenpanel die pro Projekt oder Domain ausgew\u00e4hlte PHP-Version und fragst bei Bedarf den Patchstand des bereitgestellten Dienstes ab. Bei mehreren Domains ist jede Zuweisung einzeln zu kontrollieren: Eine Hauptdomain kann bereits den gepatchten Zweig verwenden, w\u00e4hrend ein Shop, eine Staging-Instanz oder eine Subdomain noch einen \u00e4lteren Interpreter nutzt.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Auf Servern mit PHP-FPM geh\u00f6ren Service-Konfiguration, Paketbestand und Deployment-Unterlagen zusammen. In Container-Umgebungen pr\u00fcfst du zus\u00e4tzlich das tats\u00e4chlich ausgerollte Image und nicht nur ein lokales Build-Manifest. Entscheidend ist, welche Revision im laufenden Pod oder Container Webanfragen annimmt; ein aktualisiertes Basisimage sch\u00fctzt keine bereits laufende \u00e4ltere Instanz.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"callout","variant":"warning","title":"Keine \u00f6ffentliche Diagnose-Seite","runs":[{"kind":"text","text":"Eine \u00f6ffentlich erreichbare ","ref":""},{"kind":"code","text":"phpinfo()","ref":""},{"kind":"text","text":"-Seite ist keine empfehlenswerte Standardpr\u00fcfung. Sie kann Versions-, Modul-, Pfad- und Konfigurationsdaten offenlegen. Nutze stattdessen Zug\u00e4nge des Hosting-Panels, die Serververwaltung oder intern gesch\u00fctzte Betriebsdokumentation.","ref":""}]}]},{"id":"updatewege-nach-betriebsart","heading":"Updatewege nach Betriebsart planen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Der geeignete Updateweg richtet sich danach, wer den Interpreter ausliefert und wo er betrieben wird. Erst wenn dieser Verantwortungsbereich klar ist, l\u00e4sst sich zuverl\u00e4ssig entscheiden, ob ein Panel-Wechsel, ein Paketupdate, ein neues Image oder ein Herstellerupdate erforderlich ist. Die folgende Einordnung trennt diese F\u00e4lle, ohne die Betriebsarten hinsichtlich ihres Risikos gleichzusetzen.","ref":""}]},{"type":"table","caption":"Versionspr\u00fcfung und Aktualisierung nach PHP-Betriebsart","headers":["Betriebsart","Wo die tats\u00e4chliche Version pr\u00fcfen?","Wer aktualisiert?","Typische Besonderheit"],"rows":[["Shared Hosting","Kundenpanel je Domain oder Projekt; Auskunft des Hosters","Hosting-Anbieter oder Kunde \u00fcber freigegebene Auswahl","PHP-Zuweisungen k\u00f6nnen zwischen Domains abweichen."],["PHP-FPM auf Linux","FPM-Pool, installierte Pakete, Dienst- und Deployment-Konfiguration","Serveradministration oder Distribution","Paketversion kann einen dokumentierten Sicherheits-Backport enthalten."],["Apache mit mod_php","Apache-Modulkonfiguration und installierte Pakete","Serveradministration oder Distribution","Vom PHP-Projekt mit besonderem Risikofokus beschrieben."],["Container","Laufendes Image, Image-Tag oder Digest sowie Container-Laufzeit","Team f\u00fcr Build und Deployment","Host-Updates \u00e4ndern das eingebettete PHP im Image nicht automatisch."],["Eingebettetes PHP im Produkt","Herstellerdokumentation, Produktversion und Security Advisory","Produkthersteller oder Produktadministration","PHP kann ohne separat sichtbare Installation Teil einer Appliance sein."]],"source_ids":["S1","S3"]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei Shared Hosting sollte der Anbieter den sicheren Patchstand f\u00fcr die gew\u00e4hlte PHP-Reihe bereitstellen; der Betreiber pr\u00fcft anschlie\u00dfend die Anwendung. Bei PHP-FPM oder mod_php aktualisiert die Administration in der Regel die Pakete und startet danach den tats\u00e4chlich zust\u00e4ndigen Dienst kontrolliert neu. Ein reiner Neustart ohne eingespielten Fix ersetzt das Update nicht.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Linux-Distributionen liefern Sicherheitskorrekturen h\u00e4ufig als ","ref":""},{"kind":"strong","text":"Backport","ref":""},{"kind":"text","text":". Dann kann die sichtbare Paketversionsnummer von den Releases auf php.net abweichen, obwohl der Fix enthalten ist. Vergleiche daher nicht nur Zeichenketten wie \u201e8.4.26\u201c, sondern lies die Sicherheitsmitteilung und das Changelog des Distributors. Das PHP-Projekt weist darauf hin, dass Distributionen und LTS-Anbieter Patches erhalten k\u00f6nnen.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Container verlangen einen eigenen Ablauf: ein korrigiertes Image bauen oder vom Anbieter beziehen, dieses ausrollen und alte Instanzen ersetzen. Bei NAS-Oberfl\u00e4chen, Netzwerkger\u00e4ten oder fertigen Webanwendungen liegt die Korrektur dagegen beim Herstellerprodukt. Ein Patch des Hostbetriebssystems erreicht dort nicht zwangsl\u00e4ufig den eingebetteten Interpreter; Inventarisierung und Herstellerhinweise bleiben deshalb unverzichtbar.","ref":""},{"kind":"citation","text":"","ref":"S3"}]}]}],"3":[{"id":"sofortmassnahmen-und-neustarts","heading":"Sofortma\u00dfnahmen ohne falsche Sicherheit","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Am Patch-Tag verschaffst du dir zuerst ein belastbares Inventar: Domains, APIs, Verwaltungsoberfl\u00e4chen, Container und Produkte mit m\u00f6glichem eingebettetem PHP. Notiere je Dienst die Web-Betriebsart, den verantwortlichen Updateweg und die tats\u00e4chlich verwendete PHP-Laufzeit. Danach erh\u00e4lt jeder \u00f6ffentlich erreichbare oder gesch\u00e4ftskritische Dienst Vorrang, nicht lediglich der Server mit der auff\u00e4lligsten Versionsnummer.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Spiele anschlie\u00dfend das vom Hoster, Linux-Distributor, Image- oder Produkthersteller freigegebene Sicherheitsupdate ein. F\u00fcr die unterst\u00fctzten PHP-Zweige ist das Update auf den korrigierten Patchstand die vollst\u00e4ndige Abhilfe; eine WAF, Upload-Regeln oder ein Webserver-Neustart ersetzen es nicht. Plane den Vorgang so, dass Paket-, Image- oder Herstellerupdate nachvollziehbar dokumentiert und bei Problemen zur\u00fcckverfolgbar bleibt.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Nach der Aktualisierung musst du den Dienst kontrolliert neu laden, der Webanfragen tats\u00e4chlich verarbeitet, etwa PHP-FPM, Apache mit geladenem PHP-Modul oder den betroffenen Container. Dadurch \u00fcbernehmen bereits laufende Worker die neue Laufzeit. Pr\u00fcfe danach zentrale Anwendungswege; insbesondere Uploads verdienen Aufmerksamkeit, weil sie bei vielen Anwendungen Sessions, Gr\u00f6\u00dfenlimits und Hintergrundverarbeitung ber\u00fchren. Der Beitrag zu ","ref":""},{"kind":"internal_link","text":"PHP Session Garbage Collection","ref":"I1"},{"kind":"text","text":" erl\u00e4utert erg\u00e4nzend, weshalb Session-Verarbeitung auch den laufenden Betrieb beeinflussen kann.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Falls ein Patch kurzfristig nicht m\u00f6glich ist, k\u00f6nnen einzelne Einstellungen bekannte Angriffspfade begrenzen, aber keine vollst\u00e4ndige Sicherheit herstellen. Das Abschalten des Upload-Fortschritts muss vor dem Parsen einer Anfrage wirksam sein. Pr\u00fcfe vorab, ob Anwendungen oder Oberfl\u00e4chen diese Fortschrittsanzeige ben\u00f6tigen, und starte die zust\u00e4ndigen PHP-Worker danach kontrolliert neu.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"code","language":"ini","code":"session.upload_progress.enabled = 0","source_ids":["S1"]},{"type":"paragraph","runs":[{"kind":"text","text":"Konservative Grenzen f\u00fcr POST-Daten und weitere in der Sicherheitsmeldung genannte Optionen k\u00f6nnen die Angriffsfl\u00e4che ebenfalls nur teilweise reduzieren. Sp\u00e4t gelesene ","ref":""},{"kind":"code","text":".user.ini","ref":""},{"kind":"text","text":"-Dateien oder ein ","ref":""},{"kind":"code","text":"ini_set()","ref":""},{"kind":"text","text":" innerhalb der Anwendung reichen f\u00fcr diese Einstellung nicht aus. Behandle solche Ma\u00dfnahmen als befristete Risikoreduktion und halte am Sicherheitsupdate als Ziel fest.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"betrieb-pruefen-und-auffaelligkeiten","heading":"Nach dem Patch Betrieb und Auff\u00e4lligkeiten pr\u00fcfen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Ein erfolgreich abgeschlossenes Paketupdate belegt zun\u00e4chst nur, dass Dateien oder Pakete installiert wurden. Es best\u00e4tigt weder, dass der Webprozess die neue Laufzeit geladen hat, noch dass die Anwendung damit fehlerfrei arbeitet. Pr\u00fcfe deshalb nach dem Neustart die f\u00fcr den Dienst ma\u00dfgebliche Web-Laufzeit und dokumentiere Zeitpunkt, Version, neu gestarteten Dienst sowie das Ergebnis der Funktionskontrolle.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Funktionspr\u00fcfung sollte reale Kernabl\u00e4ufe abdecken: wichtige \u00f6ffentliche Seiten, Anmeldung und Abmeldung, Formularversand, Datei-Upload, Checkout oder Buchung sowie API-Endpunkte und Hintergrundaufgaben. Teste nur Vorg\u00e4nge, f\u00fcr die du berechtigt bist, und nutze bei produktiven Shops m\u00f6glichst daf\u00fcr vorgesehene Testdaten. Kontrolliere parallel Webserver-, PHP- und Anwendungsprotokolle auf neue Fehler, wiederholte Abst\u00fcrze oder unerwartete Statuscodes.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein Neustart ist notwendig, um langlebige Prozesse und ","ref":""},{"kind":"strong","text":"Worker","ref":""},{"kind":"text","text":" mit aktualisiertem Code zu laden, erzeugt aber selbst keinen Fix. Ohne eingespieltes Update bleibt die Schwachstelle bestehen. Bei hoher Auslastung sollte das Wartungsfenster so gew\u00e4hlt werden, dass Anfragen geordnet abflie\u00dfen k\u00f6nnen und die Auswirkungen eines Worker-Neustarts beobachtbar bleiben.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Wie stark ein kontrollierter Neustart den Durchsatz beeinflusst, h\u00e4ngt von Zahl und Auslastung der PHP-Prozesse ab. F\u00fcr die Planung hilft es, Warteschlangen, laufende Jobs und kritische Transaktionen zu ber\u00fccksichtigen, statt Prozesse unkoordiniert zu beenden. Der Leitfaden ","ref":""},{"kind":"internal_link","text":"PHP Workers verstehen","ref":"I2"},{"kind":"text","text":" erkl\u00e4rt die Rolle dieser Prozesse bei parallelen dynamischen Anfragen.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Treten nach dem Patch Auff\u00e4lligkeiten auf, unterscheide zwischen Kompatibilit\u00e4tsfehlern der Anwendung und einem unvollst\u00e4ndigen Rollout. Vergleiche Konfiguration, aktivierte Erweiterungen und die Web-Laufzeit mit dem Stand vor der Wartung. Ein Rollback darf nicht dazu f\u00fchren, dass ein \u00f6ffentlich erreichbarer Dienst dauerhaft auf dem verwundbaren Stand verbleibt; kl\u00e4re dann z\u00fcgig einen kompatiblen, gepatchten Updatepfad.","ref":""}]}]},{"id":"prioritaeten-fuer-alte-und-versteckte-installationen","heading":"Alte und versteckte PHP-Installationen priorisieren","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Besondere Aufmerksamkeit ben\u00f6tigen Systeme, auf denen PHP nicht als bewusst installierte Laufzeit sichtbar ist: Docker-Images, virtuelle Appliances, NAS- und Netzwerkoberfl\u00e4chen sowie fertige Softwareprodukte. Ein Update des Hosts aktualisiert weder automatisch ein Container-Image noch die intern mitgelieferte Laufzeit eines Herstellerprodukts. Frage deshalb Hersteller gezielt nach ihrer Bewertung und nach einem Sicherheitsupdate f\u00fcr das konkrete Produkt.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei alten Zweigen sind drei F\u00e4lle sauber zu trennen. Ein regul\u00e4r unterst\u00fctzter PHP-Release erh\u00e4lt die vom PHP-Projekt ver\u00f6ffentlichten Sicherheitsupdates. Ein Distributions- oder Anbieter-Backport kann den Fix trotz abweichender sichtbarer Versionsnummer enthalten, muss aber durch die Sicherheitsmeldung oder das Changelog dieses Anbieters belegt sein. Selbst gepflegter Quellcode verlangt dagegen eigene Build-, Test- und Betriebsverantwortung; er ist kein gleichwertiger Ersatz f\u00fcr einen regul\u00e4ren Updatekanal.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"PHP 8.1 und \u00e4ltere Zweige erhalten keine regul\u00e4ren Upstream-Releases mehr. F\u00fcr PHP 8.2 steht zwar ein korrigierter Patchstand bereit, der Zweig erreicht jedoch Ende 2026 sein Supportende. Nutze einen verf\u00fcgbaren Fix f\u00fcr die akute Lage, plane bei alten oder auslaufenden Versionen aber zus\u00e4tzlich eine getestete ","ref":""},{"kind":"strong","text":"Migration","ref":""},{"kind":"text","text":" auf einen l\u00e4nger unterst\u00fctzten Zweig.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"list","ordered":true,"items":["\u00d6ffentlich erreichbare Dienste mit ungepatchter PHP-Laufzeit zuerst aktualisieren, besonders wenn Uploads oder Verwaltungsfunktionen erreichbar sind.","Apache mit mod_php und gesch\u00e4ftskritische Shops, APIs oder Kundenportale unmittelbar danach behandeln; die offizielle Sicherheitsmeldung hebt f\u00fcr mod_php einen besonders kritischen Risikofokus hervor.","Container, Appliances und Drittprodukte anhand von Images, Inventar und Herstellerstatus erfassen; fehlende sichtbare PHP-Pakete sind kein Entwarnungssignal.","Nicht unterst\u00fctzte oder nicht zeitnah patchbare Dienste isolieren und Zugriffe einschr\u00e4nken, parallel aber verbindlich Ersatz, Upgrade oder Migration planen."],"source_ids":["S1","S3"]},{"type":"paragraph","runs":[{"kind":"text","text":"Netzsegmentierung, VPN-Pflicht oder restriktive Zugriffsregeln k\u00f6nnen bei nicht sofort patchbaren Verwaltungsoberfl\u00e4chen Zeit gewinnen. Sie sind jedoch nur ","ref":""},{"kind":"strong","text":"\u00dcbergangsma\u00dfnahmen","ref":""},{"kind":"text","text":", weil interne Nutzerkonten, kompromittierte Ger\u00e4te und falsch konfigurierte Freigaben weiterhin Angriffswege schaffen k\u00f6nnen. Wird f\u00fcr ein Produkt kein Fix angeboten oder ist der PHP-Zweig dauerhaft au\u00dferhalb des Supports, ist Ersatz oder Migration die belastbare Entscheidung.","ref":""},{"kind":"citation","text":"","ref":"S3"}]}]}]},"plan":{"reader_question":"Betrifft die aktuelle PHP-Sicherheitsl\u00fccke tats\u00e4chlich \u201edas halbe Internet\u201c, welche Systeme sind konkret gef\u00e4hrdet und welche Schritte m\u00fcssen Betreiber von Websites, Onlineshops, APIs und Servern jetzt priorisieren?","sections":[{"id":"alarmmeldung-richtig-einordnen","heading":"Die Alarmmeldung richtig einordnen","part":1,"target_words":270,"purpose":"Den zugespitzten Aufh\u00e4nger sachlich aufl\u00f6sen: Es gibt keinen Beleg f\u00fcr \u201edas halbe Internet\u201c, wohl aber ein erhebliches Risiko durch eine weit verbreitete Laufzeitumgebung. In klar getrennten Abs\u00e4tzen erkl\u00e4ren, warum Reichweite, Internet-Exponierung, Betriebsart und Patchstand wichtiger sind als pauschale Aussagen \u00fcber alle PHP-Websites.","source_ids":["S1"],"internal_link_ids":[]},{"id":"rce-und-betroffene-php-wege","heading":"Was die PHP-Schwachstellen technisch erm\u00f6glichen","part":1,"target_words":270,"purpose":"Remote Code Execution ohne vorherige Anmeldung verst\u00e4ndlich definieren und die Folgen im Kontext des Webprozess-Kontos einordnen. Anschlie\u00dfend CVE-2026-109618 und CVE-2026-109619 getrennt, ohne Exploit-Anleitung erkl\u00e4ren; Multipart-Anfragen, Uploads, Speicherknappheit und wiederverwendete Worker-Zust\u00e4nde als technische Kontexte nennen. Eine kurze Liste grenzt PHP-FPM, mod_php, php-cgi, FrankenPHP und LiteSpeed von einzelnen CMS-Fehlern ab.","source_ids":["S1","S2"],"internal_link_ids":[]},{"id":"risiko-haengt-vom-betrieb-ab","heading":"Warum nicht jede Installation gleich gef\u00e4hrdet ist","part":1,"target_words":270,"purpose":"Die Risikofaktoren anhand konkreter Konstellationen ordnen: erreichbarer Webdienst, ungepatchte Laufzeit, wiederverwendete Worker, Upload-Funktionen, Berechtigungen und eingebettetes PHP. Besonders den h\u00f6heren Risikofokus bei Apache mod_php herausstellen, ohne andere SAPIs zu verharmlosen. Abschlie\u00dfend sauber erkl\u00e4ren, warum ein fehlerfreies CMS oder eine Firewall keinen ungepatchten PHP-Interpreter ersetzt.","source_ids":["S1","S3"],"internal_link_ids":[]},{"id":"patchstaende-und-supportstatus","heading":"Sichere Patchst\u00e4nde und Supportstatus vergleichen","part":2,"target_words":270,"purpose":"Mit einer zentralen informativen Tabelle die Zweige PHP 8.2, 8.3, 8.4, 8.5 sowie 8.1 und \u00e4lter vergleichen. Tabellenspalten: betroffen bis einschlie\u00dflich, sichere Version ab, Supportstatus am 22. Oktober 2026 und empfohlene Ma\u00dfnahme. Danach erl\u00e4utern, warum ein Update innerhalb desselben Zweigs etwas anderes ist als eine Migration auf einen neueren Zweig und weshalb PHP 8.2 trotz verf\u00fcgbarem Fix mittelfristig abgel\u00f6st werden sollte.","source_ids":["S1","S4"],"internal_link_ids":[]},{"id":"web-laufzeit-zuverlaessig-pruefen","heading":"Die tats\u00e4chliche Web-Laufzeit pr\u00fcfen","part":2,"target_words":270,"purpose":"Einen sicheren Pr\u00fcfablauf f\u00fcr Managed Hosting und selbst verwaltete Systeme formulieren. Die unver\u00e4ndernden Befehle php -v und php --ini als CLI-Bestandsaufnahme einordnen, dann deren Grenze gegen\u00fcber PHP-FPM, Apache-Modul und Containern deutlich machen. Geeignete Struktur: kurzer Pr\u00fcfpfad, Praxisbeispiel mit mehreren Domains und abschlie\u00dfender Warnhinweis gegen \u00f6ffentlich erreichbare phpinfo()-Seiten.","source_ids":["S1"],"internal_link_ids":[]},{"id":"updatewege-nach-betriebsart","heading":"Updatewege nach Betriebsart planen","part":2,"target_words":270,"purpose":"Eine zweite Tabelle stellt Shared Hosting, PHP-FPM auf Linux, Apache mit mod_php, Container und eingebettetes PHP gegen\u00fcber: Ort der Versionspr\u00fcfung, zust\u00e4ndige Stelle f\u00fcr Updates und typische Besonderheit. Danach die Aktualisierung in Paketen, Images und Herstellerprodukten unterscheiden. Bei Linux-Distributionen erl\u00e4utern, weshalb Sicherheits-Backports und Paket-Changelogs ma\u00dfgeblich sein k\u00f6nnen, auch wenn die sichtbare Versionsnummer von php.net abweicht.","source_ids":["S1","S3"],"internal_link_ids":[]},{"id":"sofortmassnahmen-und-neustarts","heading":"Sofortma\u00dfnahmen ohne falsche Sicherheit","part":3,"target_words":270,"purpose":"Eine priorisierte Praxisanleitung f\u00fcr den Patch-Tag liefern: Inventarisieren, freigegebenes Sicherheitsupdate einspielen, den tats\u00e4chlich zust\u00e4ndigen Dienst kontrolliert neu starten und die Anwendung pr\u00fcfen. Tempor\u00e4re Ma\u00dfnahmen wie session.upload_progress.enabled = 0, konservative POST-Grenzen und weitere in der Sicherheitsmeldung genannte Optionen klar als begrenzte Risikoreduktion behandeln. Nebenwirkungen bei Upload-Fortschrittsanzeigen und die unzureichende Wirkung sp\u00e4ter gelesener Einstellungen erkl\u00e4ren.","source_ids":["S1"],"internal_link_ids":["I1"]},{"id":"betrieb-pruefen-und-auffaelligkeiten","heading":"Nach dem Patch Betrieb und Auff\u00e4lligkeiten pr\u00fcfen","part":3,"target_words":270,"purpose":"Beschreiben, welche Funktionspr\u00fcfungen nach dem Update sinnvoll sind: zentrale Seiten, Login, Upload, Checkout, API-Endpunkte und Fehlerprotokolle. Den Unterschied zwischen erfolgreichem Paketupdate, geladenem Webprozess und best\u00e4tigter Anwendungskompatibilit\u00e4t herausarbeiten. Ein eigener Absatz erkl\u00e4rt, dass Neustarts die Worker neu laden k\u00f6nnen, aber kein Ersatz f\u00fcr das Einspielen eines Fixes sind; bei hoher Last den Zusammenhang zwischen Worker-Auslastung und kontrollierten Wartungsfenstern einordnen.","source_ids":["S1"],"internal_link_ids":["I2"]},{"id":"prioritaeten-fuer-alte-und-versteckte-installationen","heading":"Alte und versteckte PHP-Installationen priorisieren","part":3,"target_words":270,"purpose":"Zum Abschluss eine Entscheidungslogik f\u00fcr nicht unterst\u00fctzte Zweige, Appliances, NAS-Oberfl\u00e4chen, Docker-Images und Drittprodukte geben. Anbieter-Backport, selbst gepflegten Quellcode und regul\u00e4r unterst\u00fctzte PHP-Releases deutlich voneinander abgrenzen. Eine kompakte Priorit\u00e4tenliste ordnet \u00f6ffentlich erreichbare, mod_php-basierte und gesch\u00e4ftskritische Dienste zuerst ein; zugleich erl\u00e4utern, wann Isolation oder Zugriffsbeschr\u00e4nkungen nur \u00dcbergangsma\u00dfnahmen sind und wann eine Migration notwendig wird.","source_ids":["S1","S3","S4"],"internal_link_ids":[]}]},"repairs":4,"reviews":4,"issues":[],"guard":{"content_md5":"45697999985ad1df40c2a1e13cb5b256","title":"Luka w zabezpieczeniach PHP 2026: jak sprawdzi\u0107 i za\u0142ata\u0107 nara\u017cone serwisy internetowe","slug":"php-sprawdz-luke-w-zabezpieczeniach-z-2026-r-i-zainstaluj-poprawke","excerpt":"Krytyczne luki w zabezpieczeniach PHP mog\u0105 stanowi\u0107 zagro\u017cenie dla nieza\u0142atanych serwis\u00f3w internetowych. Dowiedz si\u0119, jakie aktualizacje s\u0105 konieczne, dlaczego czas dzia\u0142ania serwisu ma znaczenie i jak bezpiecznie zaplanowa\u0107 aktualizacje.","status":"draft","featured_media":21948},"verify":{"content_md5":"45697999985ad1df40c2a1e13cb5b256","title":"Luka w zabezpieczeniach PHP 2026: jak sprawdzi\u0107 i za\u0142ata\u0107 nara\u017cone serwisy internetowe","slug":"php-sprawdz-luke-w-zabezpieczeniach-z-2026-r-i-zainstaluj-poprawke","excerpt":"Krytyczne luki w zabezpieczeniach PHP mog\u0105 stanowi\u0107 zagro\u017cenie dla nieza\u0142atanych serwis\u00f3w internetowych. Dowiedz si\u0119, jakie aktualizacje s\u0105 konieczne, dlaczego czas dzia\u0142ania serwisu ma znaczenie i jak bezpiecznie zaplanowa\u0107 aktualizacje.","status":"draft","featured_media":21948},"row_number":1908,"created_at":"2026-10-22T11:59:48+00:00","editorial_policy":{"version":"2.1.6","max_repairs":4,"review_model_from_attempt":2},"updated_at":"2026-10-22T12:07:09+00:00","verified_at":"2026-10-22T12:06:56+00:00"},"_wh_make_research":"Recherche-Briefing zum Thema \u201ePHP-Sicherheitsl\u00fccke \u2013 Wie das halbe Internet gehackt werden kann\u201c\n\nRecherche-Stand: 22. Oktober 2026\n\nLeserfrage und redaktioneller Kern\n\nDer sp\u00e4tere Artikel sollte eine zugespitzte, aber sachlich korrekte Frage beantworten: Betrifft die aktuelle PHP-Sicherheitsl\u00fccke tats\u00e4chlich \u201edas halbe Internet\u201c \u2013 und was m\u00fcssen Betreiber von Websites, Onlineshops, APIs und Servern jetzt konkret tun?\n\nDie Antwort lautet: Die Formulierung eignet sich als aufmerksamkeitsstarker Aufh\u00e4nger, darf aber nicht als belegte Gr\u00f6\u00dfenordnung erscheinen. Es gibt keinen belastbaren Nachweis daf\u00fcr, dass \u201edie H\u00e4lfte des Internets\u201c kompromittierbar sei. Gesichert ist jedoch: Die am 21. Oktober 2026 ver\u00f6ffentlichten Schwachstellen CVE-2026-109618 und CVE-2026-109619 betreffen grunds\u00e4tzlich PHP-Installationen, die Webanfragen bedienen. Dazu z\u00e4hlen PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Beide Fehler k\u00f6nnen laut PHP-Projekt eine nicht authentifizierte Remote Code Execution erm\u00f6glichen \u2013 also die Ausf\u00fchrung von Code unter dem Konto des Webprozesses, ohne dass ein Angreifer vorab ein Benutzerkonto ben\u00f6tigt. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nDer Artikel sollte deshalb weder \u201ePHP ist unsicher\u201c noch \u201ejede PHP-Website ist bereits gehackt\u201c behaupten. Seine Kernbotschaft lautet besser: Eine kritische Schwachstelle in einer sehr weit verbreiteten Laufzeitumgebung kann viele Dienste gleichzeitig gef\u00e4hrden. Entscheidend sind eingesetzte PHP-Version, Betriebsart, Erreichbarkeit aus dem Internet, Patch-Status und die Frage, ob PHP direkt oder eingebettet in Drittprodukte l\u00e4uft.\n\nGesicherte Fakten und empfohlene Einordnung\n\nDas PHP-Projekt ver\u00f6ffentlichte am 21. Oktober 2026 Sicherheitsupdates f\u00fcr die stabilen, unterst\u00fctzten Versionszweige PHP 8.2, 8.3, 8.4 und 8.5. Die behobenen Versionen sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Fr\u00fchere Patchst\u00e4nde innerhalb dieser Zweige sind betroffen. Das Projekt bezeichnet die Updates ausdr\u00fccklich als einzige vollst\u00e4ndige Abhilfe. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nDie beiden CVEs m\u00fcssen voneinander getrennt erkl\u00e4rt werden:\n\nCVE-2026-109618 betrifft die Behandlung von Speicherknappheit, also Out-of-Memory-Fehlern. PHP kann eine Anfrage abbrechen, w\u00e4hrend interne Datenstrukturen noch nicht vollst\u00e4ndig initialisiert sind. Beim anschlie\u00dfenden Aufr\u00e4umen der Anfrage k\u00f6nnen diese unvollst\u00e4ndigen Zust\u00e4nde weiterverwendet werden. Daraus kann Speicherbesch\u00e4digung und letztlich Codeausf\u00fchrung entstehen. Die offizielle Sicherheitsmeldung nennt unter anderem Multipart-Anfragen, Dateiuploads und Speicherverbrauch beim Parsen verschachtelter Eingaben als relevante Kontexte. ([github.com](https:\/\/github.com\/php\/php-src\/security\/advisories\/GHSA-w8hw-w9fx-j79w))\n\nCVE-2026-109619 betrifft internen, an eine Anfrage gebundenen Zustand, der nach der Freigabe seines Speichers erhalten bleiben kann. Verarbeitet derselbe Worker sp\u00e4ter eine weitere Anfrage, kann er auf diesen veralteten Zustand zugreifen, bevor die normale Initialisierung ihn zur\u00fccksetzt. Die offiziell dokumentierten Gegenma\u00dfnahmen beziehen sich unter anderem auf den Upload-Fortschritt von PHP-Sessions und auf Fehlerpfade. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nF\u00fcr die technische Erkl\u00e4rung ist wichtig: Es handelt sich nicht prim\u00e4r um einen Fehler in einem einzelnen CMS, Theme oder Plugin. Die Schwachstellen liegen in PHP selbst. Anwendungen und Hosting-Setups beeinflussen allerdings, welche Angriffspfade erreichbar sind und wie hoch das praktische Risiko ausf\u00e4llt.\n\nVoraussetzungen f\u00fcr Leser und Zielgruppen\n\nDer Beitrag sollte zwei Leserebenen verbinden:\n\nErstens Website-Betreiber im Managed Hosting. Sie ben\u00f6tigen in der Regel keine Exploit-Details, sondern eine Entscheidungshilfe: Welche PHP-Version ist f\u00fcr das jeweilige Projekt aktiv? Stellt der Hoster ein Sicherheitsupdate bereit? Kann die Anwendung nach dem Wechsel auf einen gepatchten Patchstand gepr\u00fcft werden? Bei mehreren Domains ist jede PHP-Zuweisung einzeln zu kontrollieren.\n\nZweitens Administratoren von VPS, Dedicated Servern und Containern. Sie ben\u00f6tigen einen klaren Ablauf aus Inventarisierung, Paket- oder Image-Update, Neustart der PHP-Worker und Funktionspr\u00fcfung. Dabei ist zwischen der PHP-Version im Terminal und dem tats\u00e4chlich Webanfragen verarbeitenden PHP zu unterscheiden. Ein `php -v` im Terminal kann nur die CLI-Version anzeigen; PHP-FPM, Apache-Modul oder ein Container-Image k\u00f6nnen davon abweichen.\n\nSichere Beispiele f\u00fcr den sp\u00e4teren Praxisabschnitt\n\nTerminalbefehl zur reinen Bestandsaufnahme:\n\nphp -v\n\nTerminalbefehl zur Anzeige der geladenen Konfigurationsdateien der CLI:\n\nphp --ini\n\nDiese Befehle \u00e4ndern nichts am System. Der Text muss aber klarstellen, dass sie nur die lokale CLI-Installation pr\u00fcfen. F\u00fcr einen produktiven Webdienst braucht es zus\u00e4tzlich eine Pr\u00fcfung im Hosting-Panel, in der Paketverwaltung, im Deployment-Manifest oder anhand der Laufzeitkonfiguration des jeweiligen Web-SAPI. Eine \u00f6ffentlich erreichbare `phpinfo()`-Seite sollte nicht als Standardpr\u00fcfung empfohlen werden, weil sie sensible Umgebungs- und Konfigurationsinformationen preisgeben kann.\n\nRelevante Praxisf\u00e4lle\n\nPraxisfall 1: Klassisches Shared Hosting mit CMS\n\nEine WordPress-, Joomla-, Shopware- oder individuelle PHP-Seite nutzt eine im Kundenpanel ausgew\u00e4hlte PHP-Version. Der Betreiber kann m\u00f6glicherweise keine Systempakete aktualisieren. Der Artikel sollte erkl\u00e4ren: Erst die PHP-Version je Projekt pr\u00fcfen, dann beim Hoster den Patch-Stand beziehungsweise den verf\u00fcgbaren sicheren Patchstand ermitteln. Ein Wechsel von PHP 8.3.35 auf PHP 8.3.36 ist eine Sicherheitsaktualisierung im selben Entwicklungszweig; ein Wechsel von PHP 8.2 auf 8.4 ist dagegen ein Major-\/Minor-Migrationsschritt mit m\u00f6glicher Kompatibilit\u00e4tspr\u00fcfung. Diese Ma\u00dfnahmen d\u00fcrfen nicht vermischt werden.\n\nPraxisfall 2: Linux-Server mit PHP-FPM und Reverse Proxy\n\nHier aktualisiert die Distribution h\u00e4ufig nicht auf die von php.net ver\u00f6ffentlichte Versionsnummer, sondern liefert einen Backport: Die Distributionsversion kann anders aussehen, obwohl der Sicherheitsfix enthalten ist. Deshalb ist \u201eVersionsnummer kleiner als 8.4.27\u201c bei Paketversionen allein kein endg\u00fcltiger Beweis f\u00fcr Verwundbarkeit. Der Artikel sollte zur Pr\u00fcfung der Sicherheitsmitteilung des Linux-Distributors und der Paket-Changelogs anleiten. Das PHP-Projekt weist ausdr\u00fccklich darauf hin, dass Linux-Distributionen und LTS-Anbieter die Patches vorab erhalten haben k\u00f6nnen. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nPraxisfall 3: Apache mit mod_php\n\nDieser Fall verdient eine hervorgehobene Risikoeinordnung. Das PHP-Projekt bewertet mod_php als besonders kritisch, weil ein dokumentierter Angriff bereits vor dem Ausf\u00fchren des eigentlichen Anwendungscodes ausgel\u00f6st werden kann. Das bedeutet: Ein sauber programmiertes CMS oder Framework allein sch\u00fctzt nicht, wenn die PHP-Laufzeit ungepatcht ist. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nPraxisfall 4: Container, Appliances und Softwareprodukte mit eingebettetem PHP\n\nNicht nur klassische Websites sind relevant. PHP kann Bestandteil eines Docker-Images, einer Verwaltungsoberfl\u00e4che, eines NAS, eines Netzwerkprodukts oder einer fertigen Webanwendung sein. Ein Update des Hostsystems repariert nicht automatisch das PHP in einem Image oder Appliance-Produkt. Der Artikel sollte daher eine Inventarisierung aller Images, Helm-Charts, virtuellen Appliances und Herstellerprodukte empfehlen. CERT-EU weist ausdr\u00fccklich auf Produkte hin, die PHP intern nutzen, ohne eine direkt sichtbare PHP-Installation bereitzustellen. ([cert.europa.eu](https:\/\/cert.europa.eu\/publications\/security-advisories\/2026-018\/))\n\nEntscheidungsalternativen und Priorisierung\n\nF\u00fcr unterst\u00fctzte PHP-Zweige ist ein Sicherheitsupdate innerhalb desselben Zweigs der bevorzugte Weg. Wer PHP 8.5 nutzt, aktualisiert auf mindestens 8.5.12; bei PHP 8.4 ist mindestens 8.4.27 erforderlich, bei 8.3 mindestens 8.3.36 und bei 8.2 mindestens 8.2.35. Diese Patchst\u00e4nde sind die gesicherten Fix-Versionen. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nPHP 8.1 und \u00e4ltere Zweige erhalten keine regul\u00e4ren Updates mehr vom PHP-Projekt. Zwar wurden f\u00fcr PHP 7.4, 8.0 und 8.1 minimale Quellcode-Backports bereitgestellt, doch diese sind kein Ersatz f\u00fcr einen allgemein verf\u00fcgbaren stabilen Release-Zweig und setzen eigenst\u00e4ndiges Bauen beziehungsweise eine gepflegte Anbieterbasis voraus. Im Artikel sollte klar zwischen einem vom Betriebssystemanbieter gelieferten Backport und selbst kompiliertem Quellcode unterschieden werden. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nPHP 8.2 ist am 22. Oktober 2026 noch im Sicherheits-Support, erreicht aber am 31. Dezember 2026 sein End of Life. F\u00fcr akute Abhilfe ist 8.2.35 zul\u00e4ssig; f\u00fcr die mittelfristige Planung ist eine Migration auf einen l\u00e4nger unterst\u00fctzten Zweig sinnvoll. PHP 8.3, 8.4 und 8.5 haben l\u00e4ngere Sicherheitszeitr\u00e4ume. ([php.net](https:\/\/www.php.net\/supported-versions.php))\n\nGrenzen tempor\u00e4rer Ma\u00dfnahmen\n\nTempor\u00e4re Konfigurationen d\u00fcrfen nicht als Patch verkauft werden. Das PHP-Projekt nennt Ma\u00dfnahmen, die bestimmte bekannte Pfade erschweren: administrativ erzwungenes `memory_limit=-1`, konservative Grenzen f\u00fcr POST-Daten, das Abschalten von `session.upload_progress.enabled` sowie auf PHP 8.5 das Deaktivieren von `fatal_error_backtraces`. Diese Ma\u00dfnahmen reduzieren jedoch nur Teile der Angriffsfl\u00e4che. Die offizielle Aussage bleibt: Vollst\u00e4ndig beheben l\u00e4sst sich das Risiko nur durch ein Update. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nEin sicherer Dateikonfigurations-Ausschnitt f\u00fcr den Artikel kann so aussehen:\n\nDateikonfiguration, tempor\u00e4re Risikoreduktion:\n\nsession.upload_progress.enabled = 0\n\nDabei muss direkt stehen: Nur nach Freigabe durch Verantwortliche einsetzen, die Auswirkungen auf Upload-Fortschrittsanzeigen pr\u00fcfen und anschlie\u00dfend alle PHP-Worker kontrolliert neu starten. `ini_set()` innerhalb einer Anwendung oder eine sp\u00e4t gelesene `.user.ini` reichen laut Sicherheitsmeldung nicht aus, weil die Einstellung vor dem Parsen der Anfrage gelten muss. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nTypische Fehler, die der Artikel verhindern sollte\n\nErstens: Nur den Webserver neu starten und annehmen, damit sei das Update erfolgt. Ein Neustart l\u00e4dt keine ungepatchten Pakete auf magische Weise nach.\n\nZweitens: Nur `php -v` pr\u00fcfen und die Web-Laufzeit \u00fcbersehen.\n\nDrittens: Einen Update-Stand mit einem Versionswechsel verwechseln. Patch-Update und Migration haben unterschiedliche Risiken.\n\nViertens: Alte PHP-Versionen als \u201esicher, weil hinter einer Firewall\u201c einordnen. Interne Verwaltungsoberfl\u00e4chen, VPN-Zug\u00e4nge und Drittprodukte bleiben relevante Angriffsfl\u00e4chen.\n\nF\u00fcnftens: Eine WAF oder Upload-Limits als vollst\u00e4ndige L\u00f6sung darstellen. Sie k\u00f6nnen Anfragen begrenzen, ersetzen den Sicherheitsfix aber nicht.\n\nTabellenempfehlungen f\u00fcr den fertigen Artikel\n\nEine zentrale Tabelle sollte folgende Spalten enthalten: PHP-Zweig; betroffen bis einschlie\u00dflich; sichere Version ab; Supportstatus am 22. Oktober 2026; empfohlene Ma\u00dfnahme. Die vier sicheren Versionen sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12. F\u00fcr PHP 8.1 und \u00e4lter sollte die Tabelle nicht pauschal \u201egepatcht\u201c vermerken, sondern \u201ekein regul\u00e4res Upstream-Release; Anbieter-Backport pr\u00fcfen oder migrieren\u201c. ([php.net](https:\/\/www.php.net\/archive\/2026.php))\n\nEine zweite Tabelle kann Betriebsarten gegen\u00fcberstellen: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed, eingebettetes PHP im Produkt. Spalten: Wo wird die tats\u00e4chliche Version gepr\u00fcft? Wer aktualisiert? Besonderheit. F\u00fcr mod_php ist der offiziell beschriebene h\u00f6here Risikofokus zu nennen; bei PHP-FPM sollte nicht behauptet werden, es sei ungef\u00e4hrlich. ([php.net](https:\/\/www.php.net\/archive\/2026.php))","_wh_make_sources":{"S1":{"id":"S1","url":"https:\/\/www.php.net\/archive\/2026.php","title":"PHP: Archiwum wiadomo\u015bci \u2013 2026"},"S2":{"id":"S2","url":"https:\/\/github.com\/php\/php-src\/security\/advisories\/GHSA-w8hw-w9fx-j79w","title":"Uszkodzenie pami\u0119ci RCE poprzez OOM \u00b7 Komunikat \u00b7 php\/php-src \u00b7 GitHub"},"S3":{"id":"S3","url":"https:\/\/cert.europa.eu\/publications\/security-advisories\/2026-018\/","title":"CERT-EU \u2013 Krytyczne luki w zabezpieczeniach j\u0119zyka PHP"},"S4":{"id":"S4","url":"https:\/\/www.php.net\/supported-versions.php","title":"PHP: Obs\u0142ugiwane wersje"}},"_wh_make_usage":{"research":{"input_tokens":46591,"output_tokens":3736,"response_id":"resp_065523da3776091a016ad9fad975a087d1ada66a12fbd8fd64","model":"gpt-5.6-terra","search_calls":6},"plan_efd206707ede9c95767952be2ce2da88":{"input_tokens":5456,"output_tokens":1483,"response_id":"resp_03276ce21bf0527b016ad9fb1eedcc87d184f7667277621fef","model":"gpt-5.6-terra","search_calls":0},"part1_2dd8dcbb862352557970aba0c9df0fa6":{"input_tokens":8121,"output_tokens":1651,"response_id":"resp_0a1131273a78ac43016ad9fb33e56887d1ad5c487cdddcbcd4","model":"gpt-5.6-terra","search_calls":0},"part2_1b74d36fe89db4f706c0f5b108857581":{"input_tokens":8175,"output_tokens":2260,"response_id":"resp_0beea63d02658196016ad9fb4989bc87d19b544b0bfa9fce8a","model":"gpt-5.6-terra","search_calls":0},"part3_c5d5baec87d73f08bc250f5fdcc4ac0e":{"input_tokens":8228,"output_tokens":2131,"response_id":"resp_03892bc237d7ddc1016ad9fb65006487d1bead9c909f626dd9","model":"gpt-5.6-terra","search_calls":0},"package_60101f5704ba397cc3dd7d1514aaa077":{"input_tokens":13499,"output_tokens":1490,"response_id":"resp_08c1d55729994c63016ad9fb8285bc87d18dd3ea55df7f7040","model":"gpt-5.6-terra","search_calls":0},"review_1bee2c84a03102f115fa970ff41920e6":{"input_tokens":25677,"output_tokens":902,"response_id":"resp_006d602c3957e9e7016ad9fb97dc8887d1abcb63ff33d61196","model":"gpt-5.6-sol","search_calls":1},"repair_a07463940f4a368f0c2e1c8a5345b1a6":{"input_tokens":27228,"output_tokens":1057,"response_id":"resp_0bd1d341b1878934016ad9fba5840887d19009c41c1265fd5e","model":"gpt-5.6-terra","search_calls":1},"review_1c6673629e91389d8ed9a449e7e2fb04":{"input_tokens":25683,"output_tokens":1007,"response_id":"resp_0bdc7c18c22906b5016ad9fbb0aa7887d1a545eb58d37e247e","model":"gpt-5.6-sol","search_calls":1},"repair_93de3781567c1a226ece4aea06087f48":{"input_tokens":29331,"output_tokens":1254,"response_id":"resp_0f060a6a65017543016ad9fbc405cc87d199fa150f0fc685c3","model":"gpt-5.6-sol","search_calls":1},"review_bd80cd2fe1f3ee4b40afcae495694b4e":{"input_tokens":25763,"output_tokens":1027,"response_id":"resp_0742cbb41fa1ec3a016ad9fbd0687c87d1b10222503780b7f3","model":"gpt-5.6-sol","search_calls":1},"repair_ce819983f5a310d651f9eb5333ef27a8":{"input_tokens":29700,"output_tokens":1819,"response_id":"resp_02475cdc3574b768016ad9fbe1887087d19218b06b216f2e84","model":"gpt-5.6-sol","search_calls":1},"repair_cffabe60a69f05be258549a8fade2e03":{"input_tokens":25345,"output_tokens":1395,"response_id":"resp_0363d17d82f5e541016ad9fbf1c79087d1a2e54fafe325c092","model":"gpt-5.6-sol","search_calls":1},"review_ede4208f30671e2313fd2812f5edc940":{"input_tokens":25991,"output_tokens":630,"response_id":"resp_0197b45a878634d0016ad9fbffca1487d195cfaa13d36a4348","model":"gpt-5.6-sol","search_calls":1},"image_hero":{"input_tokens":185,"output_tokens":1372,"response_id":"","model":"gpt-image-2.5-flare","search_calls":0},"image_detail1":{"input_tokens":173,"output_tokens":1372,"response_id":"","model":"gpt-image-2.5-flare","search_calls":0},"image_detail2":{"input_tokens":222,"output_tokens":1372,"response_id":"","model":"gpt-image-2.5-flare","search_calls":0}},"_wh_make_last_error":"Nur ein angehaltener, unver\u00e4nderter Entwurf mit zwei verbrauchten Korrekturen und ohne offene Antwort kann \u00fcbernommen werden.","_wh_make_write_intent":{"before":{"content_md5":"8034b5a753bee2dd18763248c1278b7b","title":"Luka w zabezpieczeniach PHP 2026: jak sprawdzi\u0107 i za\u0142ata\u0107 nara\u017cone serwisy internetowe","slug":"php-sprawdz-luke-w-zabezpieczeniach-z-2026-r-i-zainstaluj-poprawke","excerpt":"Krytyczne luki w zabezpieczeniach PHP mog\u0105 stanowi\u0107 zagro\u017cenie dla nieza\u0142atanych serwis\u00f3w internetowych. Dowiedz si\u0119, jakie aktualizacje s\u0105 konieczne, dlaczego czas dzia\u0142ania serwisu ma znaczenie i jak bezpiecznie zaplanowa\u0107 aktualizacje.","status":"draft","featured_media":0},"expected":{"content_md5":"45697999985ad1df40c2a1e13cb5b256","title":"Luka w zabezpieczeniach PHP 2026: jak sprawdzi\u0107 i za\u0142ata\u0107 nara\u017cone serwisy internetowe","slug":"php-sprawdz-luke-w-zabezpieczeniach-z-2026-r-i-zainstaluj-poprawke","excerpt":"Krytyczne luki w zabezpieczeniach PHP mog\u0105 stanowi\u0107 zagro\u017cenie dla nieza\u0142atanych serwis\u00f3w internetowych. Dowiedz si\u0119, jakie aktualizacje s\u0105 konieczne, dlaczego czas dzia\u0142ania serwisu ma znaczenie i jak bezpiecznie zaplanowa\u0107 aktualizacje.","status":"draft","featured_media":21948},"at":"2026-10-22T12:06:45+00:00"},"_wh_make_design_version":"2.1.18","rank_math_title":"PHP-Sicherheitsl\u00fccke 2026 richtig patchen","_wh_make_doc":{"title":"Luka w zabezpieczeniach PHP 2026: jak sprawdzi\u0107 i za\u0142ata\u0107 nara\u017cone serwisy internetowe","slug":"php-sprawdz-luke-w-zabezpieczeniach-z-2026-r-i-zainstaluj-poprawke","excerpt":"Krytyczne luki w zabezpieczeniach PHP mog\u0105 stanowi\u0107 zagro\u017cenie dla nieza\u0142atanych serwis\u00f3w internetowych. Dowiedz si\u0119, jakie aktualizacje s\u0105 konieczne, dlaczego czas dzia\u0142ania serwisu ma znaczenie i jak bezpiecznie zaplanowa\u0107 aktualizacje.","seo":{"title":"Jak prawid\u0142owo za\u0142ata\u0107 luk\u0119 w zabezpieczeniach PHP 2026","description":"Sprawdzanie krytycznych luk w zabezpieczeniach PHP: bezpieczne wersje, rozpoznawanie \u015brodowiska uruchomieniowego, planowanie aktualizacji w zale\u017cno\u015bci od trybu pracy oraz kontrolowane ponowne uruchamianie us\u0142ug.","focus_keyword":"PHP Sicherheitsl\u00fccke patchen"},"lead":[{"kind":"text","text":"Nein, nicht \u201edas halbe Internet\u201c ist nachweislich betroffen. Doch ungepatchte PHP-Webdienste k\u00f6nnen durch zwei kritische Schwachstellen ohne vorherige Anmeldung gef\u00e4hrdet sein. Pr\u00fcfe daher zuerst die ","ref":""},{"kind":"strong","text":"tats\u00e4chliche Web-Laufzeit","ref":""},{"kind":"text","text":" statt nur PHP in der Shell, installiere den freigegebenen Sicherheitsfix und starte die betroffenen Worker kontrolliert neu. Besonders wichtig sind \u00f6ffentlich erreichbare Dienste, mod_php sowie Container und Produkte mit eingebettetem PHP.","ref":""},{"kind":"citation","text":"","ref":"S1"}],"images":{"hero":{"prompt":"Fotorealistisches redaktionelles Smartphonefoto, ungestellte Alltagsszene in einem leicht genutzten kleinen B\u00fcro bei Tageslicht: Eine individuell wirkende Frau Anfang 50 mit hellem Hautton, schulterlangen dunklen engen Locken, ovalem Gesicht und durchschnittlichem K\u00f6rperbau sitzt seitlich an einem einfachen Schreibtisch und pr\u00fcft konzentriert ein Hosting-Kundenpanel auf einem Monitor, Bildschirm ohne lesbaren Text oder Logos. Im Vordergrund ein Notizblock und eine Kaffeetasse, normale Kabel und Gebrauchsspuren, neutraler Bildausschnitt, nat\u00fcrliche Farben, leichte K\u00f6rnung, echte Hautstruktur, kein Stockfoto- oder Hochglanzlook.","alt":"Betreiberin pr\u00fcft an einem Arbeitsplatz die PHP-Einstellung eines Webprojekts.","caption":"KI-generiertes Symbolbild: Die aktive PHP-Laufzeit wird je Webprojekt und Betriebsart gepr\u00fcft.","filename_base":"php-sicherheitsluecke-web-laufzeit-pruefen","section_id":"","after_block":0},"detail1":{"prompt":"Fotorealistisches Smartphonefoto, sachliche Nahaufnahme ohne Menschen in einem normalen Technikraum: ein gebrauchter 19-Zoll-Serverschrank mit wenigen aktiven Ger\u00e4ten und sauber gef\u00fchrten Netzwerkleitungen, im Fokus eine kleine Beschriftungsfreie Statusanzeige und ein angeschlossener Verwaltungsrechner am Rand ohne lesbare Oberfl\u00e4che. Vorhandenes warmes Raumlicht, glaubw\u00fcrdige Staubspuren und leichte Gebrauchsspuren an Metall und Kunststoff, mittlere Sch\u00e4rfentiefe, leicht unperfekter Ausschnitt, nat\u00fcrliche Farben, keine Logos, kein Text, kein futuristischer CGI-Look.","alt":"Technikraum mit Serverhardware als Symbol f\u00fcr die Pr\u00fcfung von PHP-Webdiensten.","caption":"KI-generiertes Symbolbild: Die PHP-Version muss am Dienst gepr\u00fcft werden, der Webanfragen verarbeitet.","filename_base":"php-webdienst-server-pruefung","section_id":"web-laufzeit-zuverlaessig-pruefen","after_block":3},"detail2":{"prompt":"Glaubw\u00fcrdiges ungestelltes Smartphonefoto in einer kleinen, normal genutzten Werkstatt-Ecke eines B\u00fcros bei vorhandenem Deckenlicht: Ein individuell wirkender Mann Ende 40 mit hellem Hautton, kurzem rotbraunem Haar, kantigem Gesicht, kr\u00e4ftiger Statur und rechteckiger Brille pr\u00fcft konzentriert auf einem Tablet eine gesch\u00fctzte Herstellerinformation zu einer kompakten, unbeschrifteten Netzwerk-Appliance im Regal; Display nur als undeutliche Oberfl\u00e4che ohne lesbaren Text oder Logos. Daneben liegen ein handschriftlicher Inventarzettel und ein Stift. Plausible Anschl\u00fcsse, leichte Gebrauchsspuren, echte Hautstruktur, nat\u00fcrliche Farben, normale Sch\u00e4rfentiefe, leicht unperfekter Ausschnitt und geringe Bildk\u00f6rnung, kein Studio-, Werbe- oder CGI-Look.","alt":"Administrator pr\u00fcft Herstellerinformationen zu einer Netzwerk-Appliance mit eingebettetem PHP.","caption":"KI-generiertes Symbolbild: Bei Appliances sind Herstellerbewertung und produktspezifischer Updateweg zu pr\u00fcfen; dargestellt ist kein allgemeiner Updatevorgang.","filename_base":"eingebettetes-php-appliance-herstellerhinweis","section_id":"prioritaeten-fuer-alte-und-versteckte-installationen","after_block":1}},"chart":null,"social":{"facebook":"Kritische PHP-L\u00fccken betreffen nicht automatisch jede Website \u2013 aber ungepatchte Web-Laufzeiten k\u00f6nnen ein erhebliches Risiko sein. Der Leitfaden zeigt Patchst\u00e4nde, Pr\u00fcfwege und Priorit\u00e4ten f\u00fcr Hosting, Server und Container.","instagram":"PHP-Update nicht aufschieben: Entscheidend ist die PHP-Version, die echte Webanfragen verarbeitet. Pr\u00fcfe Domains, FPM, Container und eingebettete Produkte getrennt. #PHPSicherheit #Webhosting #Updates","tiktok":"PHP in der Shell ist nicht zwingend PHP im Webdienst. Warum du FPM, Container und Hosting-Panel separat pr\u00fcfen musst \u2013 plus sichere Patchst\u00e4nde im \u00dcberblick.","youtube":"PHP-Sicherheitsl\u00fccke 2026: Welche Dienste betroffen sein k\u00f6nnen, wie du die tats\u00e4chliche Web-Laufzeit pr\u00fcfst und warum Patchen wichtiger ist als ein blo\u00dfer Neustart.","threads":"\u201eDas halbe Internet\u201c ist keine belegte Zahl. Trotzdem sind kritische PHP-L\u00fccken ein Anlass, den tats\u00e4chlichen Web-Interpreter, Patchstand und Updateweg je Dienst sofort zu pr\u00fcfen.","x":"Kritische PHP-L\u00fccken: Nicht jede PHP-Website ist automatisch betroffen, aber ungepatchte Web-Laufzeiten m\u00fcssen priorisiert werden. Pr\u00fcfe FPM, mod_php, Container und eingebettete Produkte \u2013 nicht nur `php -v`."},"avatar_script":"Die Schlagzeile klingt gro\u00df, aber die richtige Frage ist konkreter: Welche PHP-Laufzeit verarbeitet deine Webanfragen wirklich? Zwei kritische Schwachstellen betreffen ungepatchte PHP-Webdienste und k\u00f6nnen unter bestimmten Bedingungen Codeausf\u00fchrung erm\u00f6glichen. Pr\u00fcfe deshalb nicht nur die Ausgabe von php -v in der Shell. Entscheidend sind auch PHP-FPM, Apache mit mod_php, Container und Produkte, in denen PHP versteckt eingebettet ist. Installiere den vom Hoster, Distributor oder Hersteller bereitgestellten Fix, starte anschlie\u00dfend den zust\u00e4ndigen Dienst kontrolliert neu und teste wichtige Abl\u00e4ufe wie Login, Formulare, Uploads und APIs. Eine WAF oder ein Neustart ohne Update sind keine vollst\u00e4ndige L\u00f6sung.","version_note":"Recherche-Stand: 22. Oktober 2026. Patchst\u00e4nde und Supportangaben beziehen sich auf die bereitgestellten PHP- und CERT-EU-Quellen; bei Distributionspaketen sind dokumentierte Sicherheits-Backports gesondert zu pr\u00fcfen.","sections":[{"id":"alarmmeldung-richtig-einordnen","heading":"Die Alarmmeldung richtig einordnen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Aussage, eine PHP-Sicherheitsl\u00fccke k\u00f6nne \u201edas halbe Internet\u201c betreffen, ist ein zugespitzter Aufh\u00e4nger, aber keine belegte Gr\u00f6\u00dfenordnung. Es gibt keinen Nachweis, dass die H\u00e4lfte aller Internetdienste verwundbar oder bereits kompromittiert ist. Das tats\u00e4chliche Risiko ist dennoch erheblich, weil PHP als Laufzeitumgebung in vielen Websites, Shops, APIs und Verwaltungsoberfl\u00e4chen eingesetzt wird.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Entscheidend ist nicht, ob eine Website PHP nutzt, sondern welche PHP-Version ihre Webanfragen verarbeitet. Die Sicherheitsupdates vom 21. Oktober 2026 betreffen grunds\u00e4tzlich ungepatchte Installationen der unterst\u00fctzten Zweige, sofern sie Anfragen \u00fcber einen Webdienst bedienen. Ein lokales PHP f\u00fcr Entwicklungsaufgaben ist daher anders zu bewerten als ein von au\u00dfen erreichbares Kundenportal.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die ","ref":""},{"kind":"strong","text":"Internet-Exponierung","ref":""},{"kind":"text","text":" bestimmt die Dringlichkeit wesentlich. Ein \u00f6ffentlich erreichbarer Shop mit Formularen und Uploads bietet mehr m\u00f6gliche Ber\u00fchrungspunkte als ein abgeschotteter interner Dienst. Auch ein interner Dienst ist aber nicht automatisch sicher: VPN-Zug\u00e4nge, kompromittierte Konten oder andere Systeme im Netzwerk k\u00f6nnen ihn erreichbar machen. Reichweite allein ersetzt deshalb keine technische Risikopr\u00fcfung.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ebenso wichtig sind Betriebsart und ","ref":""},{"kind":"strong","text":"Patchstand","ref":""},{"kind":"text","text":". PHP kann etwa \u00fcber PHP-FPM, als Apache-Modul, per php-cgi oder eingebettet in ein Produkt laufen. Mehrere Domains auf demselben Server k\u00f6nnen dabei unterschiedliche Versionen und Aktualisierungswege haben. Eine pauschale Entwarnung f\u00fcr alle PHP-Websites w\u00e4re ebenso falsch wie die Annahme, jede Installation sei unmittelbar angreifbar.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"rce-und-betroffene-php-wege","heading":"Was die PHP-Schwachstellen technisch erm\u00f6glichen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Eine ","ref":""},{"kind":"strong","text":"Remote Code Execution","ref":""},{"kind":"text","text":" (RCE) bedeutet, dass ein Angreifer unter bestimmten Bedingungen Code auf einem entfernten System ausf\u00fchren kann. Bei diesen PHP-Schwachstellen ist laut Sicherheitsmeldung keine vorherige Anmeldung erforderlich. Ausgef\u00fchrt w\u00fcrde der Code zun\u00e4chst mit den Rechten des Webprozesses, nicht automatisch mit uneingeschr\u00e4nkten Administratorrechten. Die m\u00f6glichen Folgen h\u00e4ngen daher stark von Dateirechten, Zugangsdaten und der Servertrennung ab.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"CVE-2026-109618 betrifft Fehlerpfade bei ","ref":""},{"kind":"strong","text":"Speicherknappheit","ref":""},{"kind":"text","text":". Bricht PHP eine Anfrage wegen eines Out-of-Memory-Zustands ab, k\u00f6nnen interne Datenstrukturen unvollst\u00e4ndig bleiben. Werden solche Zust\u00e4nde beim Aufr\u00e4umen der Anfrage weiterverwendet, kann Speicherbesch\u00e4digung entstehen. Die offizielle Beschreibung nennt insbesondere Multipart-Anfragen, Dateiuploads und den Speicherverbrauch beim Parsen verschachtelter Eingaben als relevante technische Kontexte.","ref":""},{"kind":"citation","text":"","ref":"S2"}]},{"type":"paragraph","runs":[{"kind":"text","text":"CVE-2026-109619 betrifft dagegen an eine Anfrage gebundenen internen Zustand, dessen Speicher bereits freigegeben wurde. Verarbeitet ein wiederverwendeter Worker danach eine weitere Anfrage, kann PHP auf diesen veralteten Zustand zugreifen, bevor die normale Initialisierung greift. Die Sicherheitsmeldung verweist dabei unter anderem auf den Upload-Fortschritt von Sessions und Fehlerpfade. Das beschreibt die Fehlerklasse, nicht eine Anleitung zur Ausnutzung.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"list","ordered":false,"items":["Betroffen sein k\u00f6nnen Webanfragen \u00fcber PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.","Die Fehler liegen in der PHP-Laufzeit, nicht prim\u00e4r in WordPress, Joomla, Shopware, Themes oder einzelnen Plugins.","CMS und Frameworks beeinflussen erreichbare Funktionen wie Uploads, ersetzen aber kein Update des Interpreters."],"source_ids":["S1","S2"]}]},{"id":"risiko-haengt-vom-betrieb-ab","heading":"Warum nicht jede Installation gleich gef\u00e4hrdet ist","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Ob ein Dienst praktisch gef\u00e4hrdet ist, ergibt sich aus mehreren Faktoren. Vorrang haben eine ungepatchte PHP-Web-Laufzeit und ein erreichbarer Webdienst. Danach z\u00e4hlen die Betriebsart, wiederverwendete Prozesse, Funktionen f\u00fcr Uploads oder komplexe Formulare sowie die Rechte des Webprozess-Kontos. Ein Dienst mit weitreichendem Schreibzugriff auf Webdateien oder Zugang zu weiteren Diensten kann schwerere Folgen haben als ein strikt isoliertes Projekt.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei Apache mit ","ref":""},{"kind":"strong","text":"mod_php","ref":""},{"kind":"text","text":" hebt das PHP-Projekt den Risikofokus besonders hervor: Ein dokumentierter Angriff kann bereits vor der Ausf\u00fchrung des eigentlichen Anwendungscodes ausgel\u00f6st werden. Ein sauber gepflegtes CMS sch\u00fctzt dann nicht vor der Schwachstelle in der Laufzeit. Das bedeutet nicht, dass PHP-FPM, php-cgi, FrankenPHP oder LiteSpeed als ungef\u00e4hrlich gelten; sie m\u00fcssen bei einem ungepatchten Stand ebenfalls priorisiert gepr\u00fcft werden.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Besondere Aufmerksamkeit brauchen au\u00dferdem Produkte mit ","ref":""},{"kind":"strong","text":"eingebettetem PHP","ref":""},{"kind":"text","text":". Dazu k\u00f6nnen Container-Images, Appliances, NAS-Verwaltungen oder Netzwerkprodukte geh\u00f6ren, deren Oberfl\u00e4che PHP intern verwendet. Dort zeigt ein Befehl auf dem Host oft nicht die tats\u00e4chlich eingesetzte Laufzeit. Das Update des Betriebssystems behebt auch nicht automatisch eine verwundbare PHP-Komponente in einem Image oder Herstellerprodukt.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Eine Firewall, Web Application Firewall oder restriktive Upload-Limits k\u00f6nnen einzelne Anfragen erschweren und die Angriffsfl\u00e4che begrenzen. Sie sind jedoch kein Ersatz f\u00fcr den Fix, weil sie nicht die fehlerhafte Speicher- und Zustandsverwaltung im Interpreter korrigieren. Auch ein fehlerfreies CMS bleibt auf eine sichere Laufzeit angewiesen. Ma\u00dfgeblich ist deshalb, den Patchstand des tats\u00e4chlich Webanfragen verarbeitenden PHP zu pr\u00fcfen und zu aktualisieren.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"patchstaende-und-supportstatus","heading":"Sichere Patchst\u00e4nde und Supportstatus vergleichen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"F\u00fcr die beiden Sicherheitsl\u00fccken z\u00e4hlt zun\u00e4chst der Patchstand innerhalb des eingesetzten PHP-Zweigs. Das PHP-Projekt nennt f\u00fcr die unterst\u00fctzten Reihen konkrete korrigierte Releases. Fr\u00fchere Patchst\u00e4nde derselben Reihe gelten als betroffen; ein Upgrade auf die angegebene oder eine neuere Version dieses Zweigs ist die vorgesehene vollst\u00e4ndige Abhilfe.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"table","caption":"PHP-Zweige: Patchst\u00e4nde und Supportlage am 22. Oktober 2026","headers":["PHP-Zweig","Betroffen bis einschlie\u00dflich","Sichere Version ab","Supportstatus am 22. Oktober 2026","Empfohlene Ma\u00dfnahme"],"rows":[["PHP 8.2","8.2.34","8.2.35","Nur Sicherheitsupdates bis 31. Dezember 2026","Kurzfristig auf mindestens 8.2.35 aktualisieren und Migration planen."],["PHP 8.3","8.3.35","8.3.36","Nur Sicherheitsupdates bis 31. Dezember 2027","Auf mindestens 8.3.36 aktualisieren."],["PHP 8.4","8.4.26","8.4.27","Aktiver Support bis 31. Dezember 2026","Auf mindestens 8.4.27 aktualisieren."],["PHP 8.5","8.5.11","8.5.12","Aktiver Support bis 31. Dezember 2027","Auf mindestens 8.5.12 aktualisieren."],["PHP 8.1 und \u00e4lter","Kein regul\u00e4res aktuelles Upstream-Release","Kein allgemein verf\u00fcgbares regul\u00e4res Fix-Release","Nicht regul\u00e4r vom PHP-Projekt unterst\u00fctzt","Anbieter-Backport pr\u00fcfen oder auf einen unterst\u00fctzten Zweig migrieren."]],"source_ids":["S1","S4"]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein ","ref":""},{"kind":"strong","text":"Patch-Update","ref":""},{"kind":"text","text":" bleibt in derselben Entwicklungsreihe, etwa von 8.3.35 auf 8.3.36. Es soll den Sicherheitsfix bereitstellen und hat einen engeren Kompatibilit\u00e4tsrahmen als ein Wechsel von 8.2 auf 8.4. Letzterer ist eine Migration: Abh\u00e4ngigkeiten, Erweiterungen, Anwendungscode und gegebenenfalls das Deployment m\u00fcssen daf\u00fcr separat gepr\u00fcft werden.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"PHP 8.2 ist f\u00fcr die akute Behebung weiterhin nutzbar, sofern mindestens Version 8.2.35 l\u00e4uft. Der Zweig erreicht jedoch am 31. Dezember 2026 sein Supportende. Deshalb sollte ein Betrieb nicht bei diesem Sofortschritt stehen bleiben: Plane die Umstellung auf einen l\u00e4nger unterst\u00fctzten Zweig, nachdem die Anwendung in einer geeigneten Umgebung auf Kompatibilit\u00e4t gepr\u00fcft wurde.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei PHP 8.1 und \u00e4lter ist besondere Vorsicht n\u00f6tig. Das PHP-Projekt stellt daf\u00fcr kein regul\u00e4res aktuelles Release bereit; minimale Quellcode-Backports sind nicht mit einem allgemein verf\u00fcgbaren, gepflegten Paket gleichzusetzen. Ein vom Betriebssystemanbieter dokumentierter Sicherheits-Backport kann angemessen sein, erfordert aber einen Nachweis im Security Advisory oder Paket-Changelog. Fehlt er, ist eine Migration statt einer blo\u00dfen Versionskosmetik n\u00f6tig.","ref":""},{"kind":"citation","text":"","ref":"S1"}]}]},{"id":"web-laufzeit-zuverlaessig-pruefen","heading":"Die tats\u00e4chliche Web-Laufzeit pr\u00fcfen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Die Versionspr\u00fcfung beginnt mit einer Bestandsaufnahme, darf aber nicht bei der Shell enden. Auf einem selbst verwalteten Server zeigen die folgenden Befehle die Version des dort aufgerufenen PHP-Befehls und die von diesem Aufruf gefundenen Konfigurationsdateien. Sie ver\u00e4ndern weder Pakete noch Konfiguration und eignen sich daher als erster, risikoarmer Pr\u00fcfschritt.","ref":""}]},{"type":"code","language":"bash","code":"php -v\nphp --ini","source_ids":[]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Ausgabe beschreibt nur die \u00fcber diesen Shell-Befehl aufgerufene ","ref":""},{"kind":"strong","text":"CLI-Laufzeit","ref":""},{"kind":"text","text":". Eine Website kann dagegen \u00fcber PHP-FPM, Apache mit mod_php, php-cgi oder einen Container bedient werden. Diese Web-Laufzeit kann eine andere PHP-Version und andere Konfigurationsdateien nutzen als der Befehl ","ref":""},{"kind":"code","text":"php -v","ref":""},{"kind":"text","text":" auf dem Host. F\u00fcr die Sicherheitsbewertung ist der Prozess ma\u00dfgeblich, der reale HTTP-Anfragen verarbeitet.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Im Managed Hosting pr\u00fcfst du deshalb im Kundenpanel die pro Projekt oder Domain ausgew\u00e4hlte PHP-Version und fragst bei Bedarf den Patchstand des bereitgestellten Dienstes ab. Bei mehreren Domains ist jede Zuweisung einzeln zu kontrollieren: Eine Hauptdomain kann bereits den gepatchten Zweig verwenden, w\u00e4hrend ein Shop, eine Staging-Instanz oder eine Subdomain noch einen \u00e4lteren Interpreter nutzt.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Auf Servern mit PHP-FPM geh\u00f6ren Service-Konfiguration, Paketbestand und Deployment-Unterlagen zusammen. In Container-Umgebungen pr\u00fcfst du zus\u00e4tzlich das tats\u00e4chlich ausgerollte Image und nicht nur ein lokales Build-Manifest. Entscheidend ist, welche Revision im laufenden Pod oder Container Webanfragen annimmt; ein aktualisiertes Basisimage sch\u00fctzt keine bereits laufende \u00e4ltere Instanz.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"callout","variant":"warning","title":"Keine \u00f6ffentliche Diagnose-Seite","runs":[{"kind":"text","text":"Eine \u00f6ffentlich erreichbare ","ref":""},{"kind":"code","text":"phpinfo()","ref":""},{"kind":"text","text":"-Seite ist keine empfehlenswerte Standardpr\u00fcfung. Sie kann Versions-, Modul-, Pfad- und Konfigurationsdaten offenlegen. Nutze stattdessen Zug\u00e4nge des Hosting-Panels, die Serververwaltung oder intern gesch\u00fctzte Betriebsdokumentation.","ref":""}]}]},{"id":"updatewege-nach-betriebsart","heading":"Updatewege nach Betriebsart planen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Der geeignete Updateweg richtet sich danach, wer den Interpreter ausliefert und wo er betrieben wird. Erst wenn dieser Verantwortungsbereich klar ist, l\u00e4sst sich zuverl\u00e4ssig entscheiden, ob ein Panel-Wechsel, ein Paketupdate, ein neues Image oder ein Herstellerupdate erforderlich ist. Die folgende Einordnung trennt diese F\u00e4lle, ohne die Betriebsarten hinsichtlich ihres Risikos gleichzusetzen.","ref":""}]},{"type":"table","caption":"Versionspr\u00fcfung und Aktualisierung nach PHP-Betriebsart","headers":["Betriebsart","Wo die tats\u00e4chliche Version pr\u00fcfen?","Wer aktualisiert?","Typische Besonderheit"],"rows":[["Shared Hosting","Kundenpanel je Domain oder Projekt; Auskunft des Hosters","Hosting-Anbieter oder Kunde \u00fcber freigegebene Auswahl","PHP-Zuweisungen k\u00f6nnen zwischen Domains abweichen."],["PHP-FPM auf Linux","FPM-Pool, installierte Pakete, Dienst- und Deployment-Konfiguration","Serveradministration oder Distribution","Paketversion kann einen dokumentierten Sicherheits-Backport enthalten."],["Apache mit mod_php","Apache-Modulkonfiguration und installierte Pakete","Serveradministration oder Distribution","Vom PHP-Projekt mit besonderem Risikofokus beschrieben."],["Container","Laufendes Image, Image-Tag oder Digest sowie Container-Laufzeit","Team f\u00fcr Build und Deployment","Host-Updates \u00e4ndern das eingebettete PHP im Image nicht automatisch."],["Eingebettetes PHP im Produkt","Herstellerdokumentation, Produktversion und Security Advisory","Produkthersteller oder Produktadministration","PHP kann ohne separat sichtbare Installation Teil einer Appliance sein."]],"source_ids":["S1","S3"]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei Shared Hosting sollte der Anbieter den sicheren Patchstand f\u00fcr die gew\u00e4hlte PHP-Reihe bereitstellen; der Betreiber pr\u00fcft anschlie\u00dfend die Anwendung. Bei PHP-FPM oder mod_php aktualisiert die Administration in der Regel die Pakete und startet danach den tats\u00e4chlich zust\u00e4ndigen Dienst kontrolliert neu. Ein reiner Neustart ohne eingespielten Fix ersetzt das Update nicht.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Linux-Distributionen liefern Sicherheitskorrekturen h\u00e4ufig als ","ref":""},{"kind":"strong","text":"Backport","ref":""},{"kind":"text","text":". Dann kann die sichtbare Paketversionsnummer von den Releases auf php.net abweichen, obwohl der Fix enthalten ist. Vergleiche daher nicht nur Zeichenketten wie \u201e8.4.26\u201c, sondern lies die Sicherheitsmitteilung und das Changelog des Distributors. Das PHP-Projekt weist darauf hin, dass Distributionen und LTS-Anbieter Patches erhalten k\u00f6nnen.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Container verlangen einen eigenen Ablauf: ein korrigiertes Image bauen oder vom Anbieter beziehen, dieses ausrollen und alte Instanzen ersetzen. Bei NAS-Oberfl\u00e4chen, Netzwerkger\u00e4ten oder fertigen Webanwendungen liegt die Korrektur dagegen beim Herstellerprodukt. Ein Patch des Hostbetriebssystems erreicht dort nicht zwangsl\u00e4ufig den eingebetteten Interpreter; Inventarisierung und Herstellerhinweise bleiben deshalb unverzichtbar.","ref":""},{"kind":"citation","text":"","ref":"S3"}]}]},{"id":"sofortmassnahmen-und-neustarts","heading":"Sofortma\u00dfnahmen ohne falsche Sicherheit","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Am Patch-Tag verschaffst du dir zuerst ein belastbares Inventar: Domains, APIs, Verwaltungsoberfl\u00e4chen, Container und Produkte mit m\u00f6glichem eingebettetem PHP. Notiere je Dienst die Web-Betriebsart, den verantwortlichen Updateweg und die tats\u00e4chlich verwendete PHP-Laufzeit. Danach erh\u00e4lt jeder \u00f6ffentlich erreichbare oder gesch\u00e4ftskritische Dienst Vorrang, nicht lediglich der Server mit der auff\u00e4lligsten Versionsnummer.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Spiele anschlie\u00dfend das vom Hoster, Linux-Distributor, Image- oder Produkthersteller freigegebene Sicherheitsupdate ein. F\u00fcr die unterst\u00fctzten PHP-Zweige ist das Update auf den korrigierten Patchstand die vollst\u00e4ndige Abhilfe; eine WAF, Upload-Regeln oder ein Webserver-Neustart ersetzen es nicht. Plane den Vorgang so, dass Paket-, Image- oder Herstellerupdate nachvollziehbar dokumentiert und bei Problemen zur\u00fcckverfolgt werden kann.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Nach der Aktualisierung m\u00fcssen ","ref":""},{"kind":"strong","text":"alle alten Worker","ref":""},{"kind":"text","text":" beendet und durch Prozesse ersetzt werden, die nachweislich die gepatchte Laufzeit geladen haben. Verwende einen Reload nur, wenn die konkrete Dienstverwaltung diesen vollst\u00e4ndigen Austausch sicherstellt; andernfalls ist ein kontrollierter Neustart erforderlich. Pr\u00fcfe anschlie\u00dfend Prozessstartzeiten, Dienststatus oder die intern ermittelte Web-Laufzeit, statt den Austausch lediglich anzunehmen. Bei Containern rollst du das korrigierte Image aus und entfernst s\u00e4mtliche alten Instanzen.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Kontrolliere danach zentrale Anwendungswege wie Anmeldung, Formulare, Uploads, Checkout und APIs. Die Tests zeigen, ob Anwendung und Erweiterungen mit dem aktualisierten Patchstand funktionieren; sie belegen allein jedoch weder den vollst\u00e4ndigen Worker-Austausch noch die Abwesenheit einer fr\u00fcheren Kompromittierung. Diese Punkte m\u00fcssen \u00fcber Betriebs- und Sicherheitspr\u00fcfungen getrennt bewertet werden.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Falls ein Patch kurzfristig nicht m\u00f6glich ist, k\u00f6nnen einzelne Einstellungen bekannte Angriffspfade begrenzen, aber keine vollst\u00e4ndige Sicherheit herstellen. Das Abschalten des Upload-Fortschritts muss vor dem Parsen einer Anfrage wirksam sein. Pr\u00fcfe vorab, ob Anwendungen oder Oberfl\u00e4chen diese Fortschrittsanzeige ben\u00f6tigen, und starte danach jeden zust\u00e4ndigen PHP-Worker neu. Verifiziere anschlie\u00dfend, dass kein alter Prozess mit der vorherigen Einstellung weiterarbeitet.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"code","language":"ini","code":"session.upload_progress.enabled = 0","source_ids":["S1"]},{"type":"paragraph","runs":[{"kind":"text","text":"Konservative Grenzen f\u00fcr POST-Daten und weitere in der Sicherheitsmeldung genannte Optionen k\u00f6nnen die Angriffsfl\u00e4che ebenfalls nur teilweise reduzieren. Sp\u00e4t gelesene ","ref":""},{"kind":"code","text":".user.ini","ref":""},{"kind":"text","text":"-Dateien oder ein ","ref":""},{"kind":"code","text":"ini_set()","ref":""},{"kind":"text","text":" innerhalb der Anwendung reichen f\u00fcr diese Einstellung nicht aus. Behandle solche Ma\u00dfnahmen als befristete Risikoreduktion und halte am Sicherheitsupdate als Ziel fest.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Davon zu unterscheiden ist die regul\u00e4re Verwaltung gespeicherter Sitzungen. Der Beitrag zur ","ref":""},{"kind":"internal_link","text":"PHP Session Garbage Collection","ref":"I1"},{"kind":"text","text":" erkl\u00e4rt, wie Bereinigung, Dateizugriffe und Worker im normalen Betrieb zusammenspielen. Diese Betriebsoptimierung behebt die hier behandelten Schwachstellen jedoch nicht und ersetzt weder den korrigierten PHP-Patchstand noch den anschlie\u00dfenden Austausch der laufenden Prozesse.","ref":""}]}]},{"id":"betrieb-pruefen-und-auffaelligkeiten","heading":"Nach dem Patch Betrieb und Auff\u00e4lligkeiten pr\u00fcfen","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Ein erfolgreich abgeschlossenes Paketupdate belegt zun\u00e4chst nur, dass Dateien oder Pakete installiert wurden. Es best\u00e4tigt weder, dass der Webprozess die neue Laufzeit geladen hat, noch dass die Anwendung damit fehlerfrei arbeitet. Pr\u00fcfe deshalb nach dem Neustart die f\u00fcr den Dienst ma\u00dfgebliche Web-Laufzeit und dokumentiere Zeitpunkt, Version, neu gestarteten Dienst sowie das Ergebnis der Funktionskontrolle.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Die Funktionspr\u00fcfung sollte reale Kernabl\u00e4ufe abdecken: wichtige \u00f6ffentliche Seiten, Anmeldung und Abmeldung, Formularversand, Datei-Upload, Checkout oder Buchung sowie API-Endpunkte und Hintergrundaufgaben. Teste nur Vorg\u00e4nge, f\u00fcr die du berechtigt bist, und nutze bei produktiven Shops m\u00f6glichst daf\u00fcr vorgesehene Testdaten. Kontrolliere parallel Webserver-, PHP- und Anwendungsprotokolle auf neue Fehler, wiederholte Abst\u00fcrze oder unerwartete Statuscodes.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Ein Neustart ist notwendig, um langlebige Prozesse und ","ref":""},{"kind":"strong","text":"Worker","ref":""},{"kind":"text","text":" mit aktualisiertem Code zu laden, erzeugt aber selbst keinen Fix. Ohne eingespieltes Update bleibt die Schwachstelle bestehen. Bei hoher Auslastung sollte das Wartungsfenster so gew\u00e4hlt werden, dass Anfragen geordnet abflie\u00dfen k\u00f6nnen und die Auswirkungen eines Worker-Neustarts beobachtbar bleiben.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Wie stark ein kontrollierter Neustart den Durchsatz beeinflusst, h\u00e4ngt von Zahl und Auslastung der PHP-Prozesse ab. F\u00fcr die Planung hilft es, Warteschlangen, laufende Jobs und kritische Transaktionen zu ber\u00fccksichtigen, statt Prozesse unkoordiniert zu beenden. Der Leitfaden ","ref":""},{"kind":"internal_link","text":"PHP Workers verstehen","ref":"I2"},{"kind":"text","text":" erkl\u00e4rt die Rolle dieser Prozesse bei parallelen dynamischen Anfragen.","ref":""}]},{"type":"paragraph","runs":[{"kind":"text","text":"Treten nach dem Patch Auff\u00e4lligkeiten auf, unterscheide zwischen Kompatibilit\u00e4tsfehlern der Anwendung und einem unvollst\u00e4ndigen Rollout. Vergleiche Konfiguration, aktivierte Erweiterungen und die Web-Laufzeit mit dem Stand vor der Wartung. Ein Rollback darf nicht dazu f\u00fchren, dass ein \u00f6ffentlich erreichbarer Dienst dauerhaft auf dem verwundbaren Stand verbleibt; kl\u00e4re dann z\u00fcgig einen kompatiblen, gepatchten Updatepfad.","ref":""}]}]},{"id":"prioritaeten-fuer-alte-und-versteckte-installationen","heading":"Alte und versteckte PHP-Installationen priorisieren","blocks":[{"type":"paragraph","runs":[{"kind":"text","text":"Besondere Aufmerksamkeit ben\u00f6tigen Systeme, auf denen PHP nicht als bewusst installierte Laufzeit sichtbar ist: Docker-Images, virtuelle Appliances, NAS- und Netzwerkoberfl\u00e4chen sowie fertige Softwareprodukte. Ein Update des Hosts aktualisiert weder automatisch ein Container-Image noch die intern mitgelieferte Laufzeit eines Herstellerprodukts. Frage deshalb Hersteller gezielt nach ihrer Bewertung und nach einem Sicherheitsupdate f\u00fcr das konkrete Produkt.","ref":""},{"kind":"citation","text":"","ref":"S3"}]},{"type":"paragraph","runs":[{"kind":"text","text":"Bei alten Zweigen sind drei F\u00e4lle sauber zu trennen. Ein regul\u00e4r unterst\u00fctzter PHP-Release erh\u00e4lt die vom PHP-Projekt ver\u00f6ffentlichten Sicherheitsupdates. Ein Distributions- oder Anbieter-Backport kann den Fix trotz abweichender sichtbarer Versionsnummer enthalten, muss aber durch die Sicherheitsmeldung oder das Changelog dieses Anbieters belegt sein. Selbst gepflegter Quellcode verlangt dagegen eigene Build-, Test- und Betriebsverantwortung; er ist kein gleichwertiger Ersatz f\u00fcr einen regul\u00e4ren Updatekanal.","ref":""},{"kind":"citation","text":"","ref":"S1"}]},{"type":"paragraph","runs":[{"kind":"text","text":"PHP 8.1 und \u00e4ltere Zweige erhalten keine regul\u00e4ren Upstream-Releases mehr. F\u00fcr PHP 8.2 steht zwar ein korrigierter Patchstand bereit, der Zweig erreicht jedoch Ende 2026 sein Supportende. Nutze einen verf\u00fcgbaren Fix f\u00fcr die akute Lage, plane bei alten oder auslaufenden Versionen aber zus\u00e4tzlich eine getestete ","ref":""},{"kind":"strong","text":"Migration","ref":""},{"kind":"text","text":" auf einen l\u00e4nger unterst\u00fctzten Zweig.","ref":""},{"kind":"citation","text":"","ref":"S4"}]},{"type":"list","ordered":true,"items":["\u00d6ffentlich erreichbare Dienste mit ungepatchter PHP-Laufzeit zuerst aktualisieren, besonders wenn Uploads oder Verwaltungsfunktionen erreichbar sind.","Apache mit mod_php und gesch\u00e4ftskritische Shops, APIs oder Kundenportale unmittelbar danach behandeln; die offizielle Sicherheitsmeldung hebt f\u00fcr mod_php einen besonders kritischen Risikofokus hervor.","Container, Appliances und Drittprodukte anhand von Images, Inventar und Herstellerstatus erfassen; fehlende sichtbare PHP-Pakete sind kein Entwarnungssignal.","Nicht unterst\u00fctzte oder nicht zeitnah patchbare Dienste isolieren und Zugriffe einschr\u00e4nken, parallel aber verbindlich Ersatz, Upgrade oder Migration planen."],"source_ids":["S1","S3"]},{"type":"paragraph","runs":[{"kind":"text","text":"Netzsegmentierung, VPN-Pflicht oder restriktive Zugriffsregeln k\u00f6nnen bei nicht sofort patchbaren Verwaltungsoberfl\u00e4chen Zeit gewinnen. Sie sind jedoch nur ","ref":""},{"kind":"strong","text":"\u00dcbergangsma\u00dfnahmen","ref":""},{"kind":"text","text":", weil interne Nutzerkonten, kompromittierte Ger\u00e4te und falsch konfigurierte Freigaben weiterhin Angriffswege schaffen k\u00f6nnen. Wird f\u00fcr ein Produkt kein Fix angeboten oder ist der PHP-Zweig dauerhaft au\u00dferhalb des Supports, ist Ersatz oder Migration die belastbare Entscheidung.","ref":""},{"kind":"citation","text":"","ref":"S3"}]}]}]},"_wh_make_word_report":{"words":2498,"min":2000,"max":3000,"target":2500,"ok":true,"missing":0,"excess":0,"lead_words":58,"section_words":{"alarmmeldung-richtig-einordnen":205,"rce-und-betroffene-php-wege":208,"risiko-haengt-vom-betrieb-ab":234,"patchstaende-und-supportstatus":311,"web-laufzeit-zuverlaessig-pruefen":237,"updatewege-nach-betriebsart":318,"sofortmassnahmen-und-neustarts":368,"betrieb-pruefen-und-auffaelligkeiten":260,"prioritaeten-fuer-alte-und-versteckte-installationen":299}},"_wh_make_review":{"verdict":"pass","issues":[],"checked_source_ids":["S1","S2","S3","S4"],"summary":"Der Artikel ist fachlich schl\u00fcssig und wird von den gepr\u00fcften Quellen getragen. CVE-Trennung, betroffene Web-SAPIs, korrigierte Patchst\u00e4nde, Supportzeitr\u00e4ume und die besondere Risikoeinordnung von mod_php sind korrekt dargestellt. Patch-Updates, Migrationen und dokumentierte Anbieter-Backports werden sauber unterschieden. Die Hinweise zu CLI- und Web-Laufzeit, Worker-Neustarts, Containern, eingebettetem PHP und begrenzten \u00dcbergangsma\u00dfnahmen vermeiden falsche Sicherheit. Codebeispiele werden nicht als vollst\u00e4ndige L\u00f6sung ausgegeben. Die Bildkonzepte sind als KI-generierte Symbolbilder gekennzeichnet und zeigen keine irref\u00fchrende technische Topologie oder vorget\u00e4uschte Tests."},"_wh_make_review_doc_hash":"9382f3bb3677c50d12c325a888a5177ebc10a4f76dc51c28425f9d46a32d85e4","_yoast_wpseo_primary_category":null,"rank_math_schema_blogposting":null,"rank_math_schema_videoobject":null,"_oembed_049c719bc4a9f89deaead66a7da9fddc":null,"_oembed_time_049c719bc4a9f89deaead66a7da9fddc":null,"_yoast_wpseo_focuskw":null,"inline_featured_image":null,"_yoast_wpseo_linkdex":null,"_eael_widget_elements":null,"_oembed_c3b0f6959478faf92a1f343d8f96b19e":null,"_oembed_27e3473bf8bec795fbeb3a9d38489348":null,"_trp_translated_slug_en_us":null,"_yoast_wpseo_title":null,"tldname":null,"tldpreis":null,"tldrubrik":null,"tldpolicylink":null,"tldsize":null,"tldregistrierungsdauer":null,"tldtransfer":null,"tldwhoisprivacy":null,"tldregistrarchange":null,"tldregistrantchange":null,"tldwhoisupdate":null,"tldnameserverupdate":null,"tlddeletesofort":null,"tlddeleteexpire":null,"tldumlaute":null,"tldrestore":null,"tldsubcategory":null,"tldbildname":null,"tldbildurl":null,"tldclean":null,"tldcategory":null,"tldpolicy":null,"tldbesonderheiten":null,"tld_bedeutung":null,"_oembed_d167040d816d8f94c072940c8009f5f8":null,"_oembed_b0a0fa59ef14f8870da2c63f2027d064":null,"_oembed_4792fa4dfb2a8f09ab950a73b7f313ba":null,"_oembed_33ceb1fe54a8ab775d9410abf699878d":null,"_oembed_fd7014d14d919b45ec004937c0db9335":null,"_oembed_21a029d076783ec3e8042698c351bd7e":null,"_oembed_be5ea8a0c7b18e658f08cc571a909452":null,"_oembed_a9ca7a298b19f9b48ec5914e010294d2":null,"_oembed_f8db6b27d08a2bb1f920e7647808899a":null,"_oembed_168ebde5096e77d8a89326519af9e022":null,"_oembed_cdb76f1b345b42743edfe25481b6f98f":null,"_oembed_87b0613611ae54e86e8864265404b0a1":null,"_oembed_27aa0e5cf3f1bb4bc416a4641a5ac273":null,"_oembed_time_27aa0e5cf3f1bb4bc416a4641a5ac273":null,"_tldname":null,"_tldclean":null,"_tldpreis":null,"_tldcategory":null,"_tldsubcategory":null,"_tldpolicy":null,"_tldpolicylink":null,"_tldsize":null,"_tldregistrierungsdauer":null,"_tldtransfer":null,"_tldwhoisprivacy":null,"_tldregistrarchange":null,"_tldregistrantchange":null,"_tldwhoisupdate":null,"_tldnameserverupdate":null,"_tlddeletesofort":null,"_tlddeleteexpire":null,"_tldumlaute":null,"_tldrestore":null,"_tldbildname":null,"_tldbildurl":null,"_tld_bedeutung":null,"_tldbesonderheiten":null,"_oembed_8357e2b8a2575c74ed5978f262a10126":null,"_oembed_ad96e4112edb9f8ffa35731d4098bc6b":null,"_oembed_3d5fea5103dd0d22ec5d6a33eff7f863":null,"_oembed_819a879e7da16dd629cfd15a97334c8a":null,"_oembed_time_819a879e7da16dd629cfd15a97334c8a":null,"_wh_make_writer_raw":null,"_wh_make_design_backup_204":null,"_wp_desired_post_slug":null,"_oembed_0d8a206f09633e3d62b95a15a4dd0487":null,"_oembed_time_0d8a206f09633e3d62b95a15a4dd0487":null,"_aioseo_description":null,"_eb_attr":null,"_eb_data_table":null,"_acf_changed":null,"_wpcode_auto_insert":null,"_edit_last":"1","_edit_lock":"1792748654:1","_oembed_e7b913c6c84084ed9702cb4feb012ddd":null,"_oembed_bfde9e10f59a17b85fc8917fa7edf782":null,"_oembed_time_bfde9e10f59a17b85fc8917fa7edf782":null,"_oembed_03514b67990db061d7c4672de26dc514":null,"_oembed_time_03514b67990db061d7c4672de26dc514":null,"rank_math_news_sitemap_robots":null,"rank_math_robots":null,"_eael_post_view_count":"116","_trp_automatically_translated_slug_ru_ru":null,"_trp_automatically_translated_slug_et":null,"_trp_automatically_translated_slug_lv":null,"_trp_automatically_translated_slug_fr_fr":null,"_trp_automatically_translated_slug_en_us":null,"_wp_old_slug":null,"_trp_automatically_translated_slug_da_dk":null,"_trp_automatically_translated_slug_pl_pl":null,"_trp_automatically_translated_slug_es_es":null,"_trp_automatically_translated_slug_hu_hu":null,"_trp_automatically_translated_slug_fi":null,"_trp_automatically_translated_slug_ja":null,"_trp_automatically_translated_slug_lt_lt":null,"_elementor_edit_mode":null,"_elementor_template_type":null,"_elementor_version":null,"_elementor_pro_version":null,"_wp_page_template":null,"_elementor_page_settings":null,"_elementor_data":null,"_elementor_css":null,"_elementor_conditions":null,"_happyaddons_elements_cache":null,"_oembed_75446120c39305f0da0ccd147f6de9cb":null,"_oembed_time_75446120c39305f0da0ccd147f6de9cb":null,"_oembed_3efb2c3e76a18143e7207993a2a6939a":null,"_oembed_time_3efb2c3e76a18143e7207993a2a6939a":null,"_oembed_59808117857ddf57e478a31d79f76e4d":null,"_oembed_time_59808117857ddf57e478a31d79f76e4d":null,"_oembed_965c5b49aa8d22ce37dfb3bde0268600":null,"_oembed_time_965c5b49aa8d22ce37dfb3bde0268600":null,"_oembed_81002f7ee3604f645db4ebcfd1912acf":null,"_oembed_time_81002f7ee3604f645db4ebcfd1912acf":null,"_elementor_screenshot":null,"_oembed_7ea3429961cf98fa85da9747683af827":null,"_oembed_time_7ea3429961cf98fa85da9747683af827":null,"_elementor_controls_usage":null,"_elementor_page_assets":[],"_elementor_screenshot_failed":null,"theplus_transient_widgets":null,"_eael_custom_js":null,"_wp_old_date":"2026-10-22","_trp_automatically_translated_slug_it_it":null,"_trp_automatically_translated_slug_pt_pt":null,"_trp_automatically_translated_slug_zh_cn":null,"_trp_automatically_translated_slug_nl_nl":null,"_trp_automatically_translated_slug_pt_br":null,"_trp_automatically_translated_slug_sv_se":null,"rank_math_analytic_object_id":null,"_trp_automatically_translated_slug_ro_ro":null,"_trp_automatically_translated_slug_sk_sk":null,"_trp_automatically_translated_slug_bg_bg":null,"_trp_automatically_translated_slug_sl_si":null,"litespeed_vpi_list":null,"litespeed_vpi_list_mobile":null,"rank_math_seo_score":"25","rank_math_contentai_score":null,"ilj_limitincominglinks":"","ilj_maxincominglinks":"1","ilj_limitoutgoinglinks":"","ilj_maxoutgoinglinks":"1","ilj_limitlinksperparagraph":"","ilj_linksperparagraph":"1","ilj_blacklistdefinition":[],"ilj_linkdefinition":[],"_eb_reusable_block_ids":null,"rank_math_focus_keyword":"PHP Sicherheitsl\u00fccke patchen","rank_math_og_content_image":null,"surfer_last_post_update":null,"surfer_last_post_update_direction":null,"surfer_keywords":null,"surfer_location":null,"surfer_draft_id":null,"surfer_permalink_hash":null,"surfer_scrape_ready":null,"_thumbnail_id":"21948","_yoast_wpseo_metadesc":null,"_yoast_wpseo_content_score":null,"_yoast_wpseo_focuskeywords":null,"_yoast_wpseo_keywordsynonyms":null,"_yoast_wpseo_estimated-reading-time-minutes":null,"rank_math_description":"Kritische PHP-L\u00fccken pr\u00fcfen: sichere Versionen, Web-Laufzeit erkennen, Updates nach Betriebsart planen und Dienste kontrolliert neu starten.","footnotes":null,"_links":{"self":[{"href":"https:\/\/webhosting.de\/pl\/wp-json\/wp\/v2\/posts\/21942","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/webhosting.de\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/webhosting.de\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/webhosting.de\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/webhosting.de\/pl\/wp-json\/wp\/v2\/comments?post=21942"}],"version-history":[{"count":6,"href":"https:\/\/webhosting.de\/pl\/wp-json\/wp\/v2\/posts\/21942\/revisions"}],"predecessor-version":[{"id":21951,"href":"https:\/\/webhosting.de\/pl\/wp-json\/wp\/v2\/posts\/21942\/revisions\/21951"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/webhosting.de\/pl\/wp-json\/wp\/v2\/media\/21948"}],"wp:attachment":[{"href":"https:\/\/webhosting.de\/pl\/wp-json\/wp\/v2\/media?parent=21942"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/webhosting.de\/pl\/wp-json\/wp\/v2\/categories?post=21942"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/webhosting.de\/pl\/wp-json\/wp\/v2\/tags?post=21942"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}