PHP-Schwachstellen

Prüfe PHP-Installationen auf CVE-2026-109618 und CVE-2026-109619 und ordne Versionsbefunde, Backports und Abdeckungslücken ein.

Der Check PHP-Schwachstellen prüft entdeckte PHP-Installationen auf Windows, Linux und macOS (x64 und Arm64) anhand ihrer Version auf CVE-2026-109618 und CVE-2026-109619. Er läuft auf dem Gerät, standardmäßig alle 60 Minuten. Er führt keinen Angriffstest durch und ist kein allgemeiner PHP-Schwachstellenscanner.

Voraussetzungen

Auf dem Gerät ist der octoja-Agent installiert und verbunden.
Der Agent kann die zu prüfenden PHP-Dateien und die relevanten Verzeichnisse lesen.

Schritte

Gehe zu Geräte und öffne das Gerät.
Klicke im Tab Checks auf Check hinzufügen → PHP-Schwachstellen.
Ergänze bei Installationen außerhalb der üblichen Verzeichnisse Zusätzliche Pfade.
Klicke auf Check hinzufügen.
Öffne nach dem ersten Lauf das Ergebnis. Prüfe neben den gefundenen Installationen auch die Lücken in der Abdeckung.

Für viele Geräte weist du den Check über ein Konfigurationspaket zu. Der Check sucht auf jedem zugewiesenen Gerät selbst; ein PHP-Eintrag im Software-Inventar ist keine Voraussetzung. Willst du unbekannte Installationen finden, weise ihn breit zu statt nur Geräten mit Anwendung enthält PHP.

Einstellungen

Feld	Typ	Erforderlich	Standard	Beschreibung
Zusätzliche Pfade	Liste von Pfaden	Nein	Leer	Absolute Pfade zu PHP-Dateien oder Verzeichnissen, z. B. `C:\php\php.exe` oder `/opt/php`. Zusätzliche Verzeichnisse werden nur begrenzt durchsucht. Relative oder fehlende Pfade führen zu einer Abdeckungslücke.

Der Check sucht über laufende Prozesse, übliche Installationsverzeichnisse, PATH und Webserver-Konfigurationen nach PHP. Unter Linux nutzt er zusätzlich die Paketverwaltung (dpkg-query oder rpm), unter Windows auch IIS-Konfigurationen und Windows-Dienste. Er berücksichtigt unter anderem PHP-CLI, CGI/FPM und Apache-PHP-Module, soweit sie auf diesen Wegen gefunden werden.

Achtung: Die Suche betrifft nur den Host. Container und beliebige inaktive PHP-Kopien sind nicht abgedeckt. Auch zusätzliche Pfade aktivieren keine vollständige Datenträgersuche. Ein Ergebnis OK ist kein Nachweis, dass jede PHP-Kopie auf dem Gerät sicher ist.

Ergebnisse

Die Detailansicht zeigt je Installation Pfad, Version, Paket (falls zugeordnet), Ergebnis und Begründung. Das Gesamtergebnis ist der schlechteste Schweregrad der Installationen und Abdeckungslücken.

Der Check verwendet diese Mindestversionen aus der PHP-Sicherheitsmeldung vom 21. Oktober 2026:

PHP-Zweig	Korrigiert ab
8.2	8.2.35
8.3	8.3.36
8.4	8.4.27
8.5	8.5.12

Befund	Ergebnis
Stabile Version erreicht die Mindestversion ihres Zweigs	OK für diese Installation
Version liegt unter der Mindestversion oder ist eine ältere PHP-Version (5.x bis 8.1), ohne zugeordnetes Linux-Anbieterpaket	Kritisch
Ältere Version mit zugeordnetem Linux-Anbieterpaket	Warnung – Anbieter-Backports prüfen; eine Schwachstelle ist damit nicht bestätigt
Version unbekannt, nicht bewertbar oder eine Vorabversion	Warnung – manuelle Prüfung erforderlich
Keine Installation entdeckt	Bis Version 1.0.4 Warnung, danach OK – kein Nachweis, dass PHP nicht installiert ist
Pfad nicht zugänglich, konfigurierter Pfad fehlt, Paket-/Prozessinventar nicht verfügbar oder Suchlimit erreicht	Mindestens Warnung; ein kritischer Versionsbefund bleibt kritisch
Ein noch laufender Prozess oder ein geladenes Modul verweist auf eine gelöschte Datei	Mindestens Warnung – Neustart der betroffenen Worker prüfen

Bei Abdeckungslücken prüfst du die angegebenen Pfade, Zugriffsrechte und die Verfügbarkeit der Paket- bzw. Prozessabfrage. Ergänze für nicht gefundene Installationen möglichst gezielte zusätzliche Pfade statt großer Verzeichnisbäume.

FAQ

Was bedeutet eine Warnung, wenn keine Installation gefunden wurde?

Bis Version 1.0.4 meldet der Check bei null entdeckten Installationen immer Warnung; neuere Versionen melden OK, solange keine Lücken in der Abdeckung vorliegen. Prüfe zuerst die Lücken in der Abdeckung; dort stehen konkrete Suchfehler. Erwartest du PHP auf dem Gerät, ergänze gezielt Zusätzliche Pfade für den bekannten Ort. Erwartest du kein PHP, nutze Auf diesem Gerät deaktivieren im Tab Checks oder passe die Zuweisungsregeln an.

Reicht die Zuweisungsbedingung „Anwendung enthält PHP“?

Sie beschränkt die Suche auf Geräte, deren Inventar PHP bereits kennt; das eignet sich, um nur bekannte PHP-Geräte zu überwachen. Ein fehlender Inventareintrag belegt nicht, dass auf einem Gerät kein PHP vorhanden ist. Um unbekannte Installationen zu entdecken, weise den Check so breit zu wie die Geräte, die du durchsuchen willst, zum Beispiel alle Server eines Kunden.

Warum bleibt ein aktualisiertes Linux-Paket auf Warnung?

Distributionen können Sicherheitskorrekturen zurückportieren, ohne die angezeigte PHP-Upstream-Version anzuheben. Der Check prüft diese Backports nicht automatisch. Vergleiche das angezeigte Paket samt Version mit den Sicherheitsmeldungen deines Distributions- oder Paketanbieters für beide CVEs. Eine Warnung allein bestätigt keine Verwundbarkeit.

Was ist nach einem PHP-Update zu tun?

Starte die betroffenen PHP-FPM-/CGI-Worker oder Webserver nach den Vorgaben deines Anbieters neu und lasse den Check erneut laufen. Der Check verifiziert nicht, ob alle Worker die korrigierte Version geladen haben. Entferne außerdem nicht mehr benötigte alte Installationen oder aktualisiere sie ebenfalls.

Warum bleibt die Version einer gefundenen Installation unbekannt?

Eine gefundene Datei liefert nicht immer eine auswertbare Version. Unter Linux und macOS führt der Check PHP zur Versionsabfrage nur aus, wenn die Datei und ihre übergeordneten Verzeichnisse root gehören und weder für die Gruppe noch für andere Benutzer schreibbar sind. Bei Modulen nutzt er, sofern vorhanden, die zugeordnete Linux-Paketversion. Prüfe unbekannte Versionen manuell; lockere dafür nicht die Dateirechte.

Siehe auch: Alarmierung für einen Check einrichten

War dies hilfreich?

Brauchen Sie noch Hilfe? Team fragen