Ein klarer Auftrag.
Ein überprüfbares Ergebnis.
Für Unternehmen, die eine Warnung bewerten müssen und noch keinen belegten Einbruch festgestellt haben.
- Systemliste mit Anwendung, Web-Laufzeit und Betreiber
- Bewertung anhand der Paket- und Herstellerinformationen
- Prüfergebnis mit offenen Nachweisen und nächsten Schritten
Konkrete Durchführung durch die im Auftrag benannten Beteiligten. Alle Arbeiten nur mit autorisiertem Zugriff.
Die Prüfung beginnt hinter der Website
Aus sichtbaren Webseiten lässt sich der Sicherheitszustand einer Serverlaufzeit nicht zuverlässig ableiten. Auch eine Versionsangabe im Hostingmenü kann unvollständig sein, wenn mehrere Domains unterschiedliche Laufzeiten nutzen. Wir erfassen deshalb die Zuordnung von Anwendung, Hostingkonto, PHP-Betriebsart und zuständigem Administrator.
Eine typische Stolperfalle ist die getrennte PHP-Version für Kommandozeilenaufgaben und Webanfragen. Für die Bewertung einer Website muss die aktive Webumgebung betrachtet werden. Hintergrundjobs und administrative Werkzeuge werden zusätzlich erfasst, wenn sie zum vereinbarten Systemumfang gehören.
Paketstände nachvollziehbar bewerten
Die Sicherheitsveröffentlichungen des PHP-Projekts dienen als Ausgangspunkt. Bei Betriebssystem- und Hostingpaketen sind außerdem deren eigene Sicherheitshinweise relevant, weil Korrekturen in bestehenden Paketlinien zurückportiert werden können. Eine kurze Versionsnummer allein entscheidet deshalb nicht jeden Fall.
Das Ergebnis unterscheidet zwischen bestätigtem Fix, notwendiger Aktualisierung und noch fehlenden Informationen. Für offene Punkte wird festgehalten, welcher Nachweis vom Hoster oder Paketlieferanten benötigt wird. Ein unsicherer Zustand wird nicht durch eine grüne Ampel ersetzt, nur weil bisher keine Ausfälle beobachtet wurden.
Vom Befund zur Entscheidung
Sie erhalten eine Reihenfolge nach öffentlicher Erreichbarkeit, betrieblichen Auswirkungen und verfügbaren Schutzmaßnahmen. Ein Kundenportal mit sensiblen Daten kann eine andere Priorität haben als eine isolierte Testumgebung. Wichtig ist, dass die Entscheidung auf dem tatsächlichen Betrieb und nicht nur auf einer Domainliste beruht.
Die Prüfung ist keine automatische Untersuchung aller möglichen Angriffsfolgen. Werden verdächtige Änderungen sichtbar, wird der Umfang mit Ihnen erweitert. Auf diese Weise bleiben präventive Aktualisierung und Untersuchung eines möglicherweise bereits erfolgten Zugriffs fachlich sauber miteinander verbunden.
Ihre Checkliste für den nächsten Schritt
- Domains einschließlich Test- und Nebenanwendungen nennen.
- Paketquelle und Hoster-Ansprechpartner zusammentragen.
- Warnmeldung mit Datum für die Prüfung bereithalten.
Häufige Fragen
Ist dies ein Online-Schwachstellenscanner?
Nein. Das Formular führt keinen Scan durch. Eine technische Prüfung erfolgt erst mit vereinbartem Umfang und autorisiertem Zugang.
Reicht ein Screenshot der PHP-Version?
Er hilft bei der Erstaufnahme. Für eine belastbare Bewertung werden meist die konkrete Laufzeitzuordnung und der Paketnachweis benötigt.
Quellen & weiterführende Informationen
PHP-Projekt: Sicherheitsveröffentlichungen Oktober 2026 ↗CERT-EU: Critical Vulnerabilities in PHP, 2026-018 ↗Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.