Ein klarer Auftrag.
Ein überprüfbares Ergebnis.
Für Hostingumgebungen mit PHP-FPM, mehreren Pools oder mehreren installierten PHP-Zweigen.
- Zuordnung der Websites zu Pools und Laufzeiten
- Liste bearbeiteter und noch offener Instanzen
- Kontrolle nach Dienst- und Paketänderungen
Konkrete Durchführung durch die im Auftrag benannten Beteiligten. Alle Arbeiten nur mit autorisiertem Zugriff.
Mehrere Laufzeiten sichtbar machen
Ein Server kann verschiedene PHP-Zweige gleichzeitig bereitstellen. Welche Anwendung welchen Pool verwendet, ergibt sich aus der tatsächlichen Webserver- und FPM-Konfiguration. Eine einzelne Kommandozeilenabfrage kann diese Zuordnung nicht zuverlässig ersetzen. Der Auftrag beginnt daher mit der Aufnahme der vorgesehenen Instanzen.
Neben der Hauptanwendung müssen vereinbarte Stagingseiten, Altinstallationen und interne Weboberflächen berücksichtigt werden. Sie können andere Poolkonfigurationen besitzen und bei einer allgemeinen Updateaussage leicht übersehen werden. Das Ergebnis zeigt ausdrücklich, welche Systeme untersucht wurden.
Änderungen mit dem laufenden Betrieb vereinbaren
Bei der Wartung zählen bestehende Anfragen, Prozesszustände und die vom Paketlieferanten empfohlenen Schritte. Die Durchführung wird mit dem Betreiber abgestimmt, einschliesslich möglicher kurzer Unterbrechungen. Eine geänderte Paketdatei auf dem Datenträger ist noch kein alleiniger Nachweis für den wirksamen Zustand aller laufenden Prozesse.
Die technischen Änderungen werden pro Instanz protokolliert. Bei mehrstufigen Umgebungen kann eine abgestimmte Reihenfolge den Betrieb entlasten. Welche Möglichkeiten tatsächlich bestehen, hängt von Redundanz, Trafficverteilung und Anwendungszustand ab und wird vor einer Verfügbarkeitszusage geprüft.
Berechtigungen und Beobachtungen einordnen
Pooltrennung und restriktive Berechtigungen können den Betrieb strukturieren, sind aber keine automatische Bestätigung, dass eine konkrete Schwachstelle geschlossen ist. Patchnachweis und Konfigurationsprüfung werden deshalb getrennt behandelt. Bei ungewöhnlichen Prozessen oder Dateien wird ein zusätzlicher Untersuchungsbedarf festgehalten.
Zur Abnahme gehören die aktive Laufzeitzuordnung und ausgewählte Anwendungsprüfungen. Fehlerprotokolle werden im vereinbarten Zeitfenster ausgewertet, ohne daraus eine grenzenlose Sicherheitsgarantie abzuleiten. Sie erhalten einen nachvollziehbaren Stand für die nächste Wartung und mögliche weitere Härtungsarbeiten.
Ihre Checkliste für den nächsten Schritt
- PHP-Zweige und Domains zusammentragen.
- Verantwortliche für Webserver und FPM benennen.
- Wartungs- und Prüfzeitfenster abstimmen.
Häufige Fragen
Ist PHP-FPM von der Warnung ausgenommen?
Nein. Die Herstellerbewertung muss auch für diese Betriebsart und das verwendete Paket geprüft werden.
Muss jeder Pool neu eingerichtet werden?
Nicht pauschal. Notwendige Änderungen hängen von Paketierung, Dienstaufbau und konkreter Konfiguration ab.
Quellen & weiterführende Informationen
PHP-Projekt: Sicherheitsveröffentlichungen Oktober 2026 ↗CERT-EU: Critical Vulnerabilities in PHP, 2026-018 ↗Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.