Die vollständige Paketidentität erfassen

Notieren Sie Paketname, Versionszweig, vollständige Revision und Bezugsquelle. Prüfen Sie anschliessend, ob der zuständige Hersteller die konkrete Sicherheitslücke für genau dieses Paket als korrigiert ausweist. Eine allgemeine Aussage zu einer Produktfamilie reicht nicht immer für eine bestimmte Installation.

Die cPanel-Dokumentation zu den PHP-Korrekturen vom Oktober 2026 zeigt unterschiedliche Paketstände je Lieferweg, darunter zurückportierte Korrekturen. Dieses Beispiel verdeutlicht den Prüfbedarf, ist aber keine pauschale Empfehlung für jeden dort genannten Zweig oder jedes Hostingprodukt.

Den Widerspruch im Prüfbericht auflösen

Wenn ein Scanner nur anhand einer Versionskennung urteilt, sollte sein Befund mit den Paketinformationen abgeglichen werden. Dokumentieren Sie die begründete Bewertung und verknüpfen Sie sie mit dem Herstellerbulletin. Ein weggeklickter Alarm ohne Nachweis bleibt für spätere Prüfer unverständlich.

Unterscheiden Sie zwischen einem belegten Backport und einer blossen Behauptung. Können Paketrevision oder Bulletin nicht zugeordnet werden, bleibt der Status offen. Eine schriftliche Rückfrage an den Betreiber sollte die genaue CVE und die betroffene Anwendung nennen.

Supportumfang nicht überdehnen

Eine Korrektur für eine einzelne Lücke beantwortet nicht automatisch die Frage nach der langfristigen Wartung. Prüfen Sie Laufzeit, abgedeckte Komponenten und den Prozess für kommende Meldungen. Besonders bei Altanwendungen gehört die geplante Ablösung weiterhin in die Bewertung.

Bewahren Sie den Nachweis zusammen mit dem Prüfdatum auf. Bei einem späteren Paketwechsel oder einer neuen Sicherheitsmeldung muss die Aussage erneut eingeordnet werden. Eine einmal begründete Ausnahme darf nicht unbegrenzt als allgemeine Sicherheitsfreigabe weiterleben.

Ihre Checkliste für den nächsten Schritt

  • Vollständige Paketrevision und Lieferweg erfassen.
  • CVE-bezogenes Herstellerbulletin zuordnen.
  • Bewertung mit Datum und künftigem Prüfbedarf dokumentieren.

Häufige Fragen

Ist jede alte Versionsnummer automatisch ungepatcht?

Nein. Ein Hersteller kann Korrekturen zurückportieren. Entscheidend ist ein passender Nachweis für die tatsächlich installierte Paketrevision.

Ist ein Backport genauso wie ein Versionsupgrade?

Er kann eine bestimmte Korrektur liefern, übernimmt aber nicht zwingend sämtliche Änderungen eines neueren Zweigs. Umfang und zukünftiger Support müssen separat geprüft werden.

Quellen & weiterführende Informationen

cPanel: PHP-Sicherheitskorrekturen und Paketstände ↗PHP: Reguläre Supportzeiträume ↗

Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.