FAQ
Häufige Fragen
Kurze Antworten zum Funktionsumfang, zu Ergebnissen und zur Datenverarbeitung.
Was prüft PHP Checker?
PHP Checker ordnet PHP-Versionshinweise für genau zwei Sicherheitslücken ein: CVE-2026-109618 und CVE-2026-109619. Beim Außencheck ruft der Dienst die eingegebene Adresse einmal ab und liest geeignete Antwortheader (X-Powered-By, Server). Alternativ kannst du eine Version oder Paketangabe selbst eingeben. Beide Wege nutzen dieselben Bewertungsregeln.
Welche zwei Sicherheitslücken berücksichtigt die erste Version?
CVE-2026-109618 (Codeausführung nach einem Speichermangel-Abbruch) und CVE-2026-109619 (Codeausführung durch veralteten globalen Zustand in Worker-Prozessen). Beide sind laut PHP-Projekt in 8.2.35, 8.3.36, 8.4.27 und 8.5.12 behoben. Details und Quellen findest du unter PHP-Lücken.
Kann der Check feststellen, ob meine Website infiziert ist?
Nein. Der Dienst prüft keinen Befall und untersucht keine Serverdateien. Im Ergebnis steht deshalb immer „Befall: Nicht geprüft“. Wenn du einen Angriff vermutest, lass den Server von Fachleuten untersuchen – ein späteres Update entfernt keine bereits eingeschleuste Schadsoftware.
Warum lässt sich meine PHP-Version nicht erkennen?
Viele Websites oder vorgeschaltete Dienste (Proxy, CDN, Schutzsystem) blenden Versionsangaben aus. Das ist üblich und für sich kein Sicherheitsproblem. Daraus folgt aber auch kein Sicherheitsurteil. Du musst Versionsangaben nicht öffentlich einschalten: Prüfe die aktive PHP-Version im Hosting-Panel oder frag deinen Hoster und nutze dann den Reiter „Version einordnen“.
Bedeutet ein passender Versionshinweis, dass meine gesamte Website sicher ist?
Nein. Ein Versionshinweis bezieht sich nur auf die betrachteten Versionen und diese beiden CVEs. Er ist nicht verifiziert, bestätigt nicht das tatsächlich installierte Paket oder alle laufenden PHP-Prozesse und schließt weder andere Risiken noch eine frühere Kompromittierung aus.
Was sind Hersteller-Backports?
Linux-Distributionen und Hoster übernehmen Sicherheitskorrekturen oft in ältere Paketversionen, ohne die PHP-Versionsnummer zu erhöhen – erkennbar an einer Herstellerrevision wie „8.3.6-0ubuntu0.24.04.5“. Entscheidend ist dann der Sicherheitshinweis des Herstellers für genau diese Paketversion und beide CVEs. Ohne diesen Nachweis lautet das Ergebnis „Herstellerprüfung erforderlich“.
Warum kann die PHP-Version im Terminal abweichen?
Webserver, PHP-FPM-Pools, Container und die Kommandozeile können unterschiedliche PHP-Laufzeiten verwenden. php -v zeigt nur die Version der Kommandozeile. Am aussagekräftigsten ist die Version, die die Website tatsächlich ausführt, zum Beispiel aus dem Hosting-Panel oder einer geschützten phpinfo()-Seite.
Was soll ich bei einem älteren Stand tun?
Prüfe mit deinem Hoster oder Administrator den tatsächlich eingesetzten Paketstand. Lass ein bestätigtes Update einspielen, starte die betroffenen PHP-Prozesse (z. B. PHP-FPM, Apache) neu und kontrolliere die laufende Version danach erneut. Bei Verdacht auf einen früheren Angriff gehört zusätzlich eine Untersuchung des Servers dazu.
Welche Daten werden für die Prüfung verarbeitet?
Beim Außencheck sendet dein Browser die eingegebene Adresse an unseren Server. Dieser fragt das DNS ab und ruft die Adresse einmal ab; die Zielwebsite sieht dabei die IP-Adresse unseres Servers, nicht deine. Das Ergebnis wird nur an deinen Browser zurückgegeben und nicht gespeichert. Für den Missbrauchsschutz speichern wir kurzzeitig einen pseudonymisierten Schlüssel deiner IP-Adresse. Die manuelle Einordnung läuft vollständig in deinem Browser. Einzelheiten stehen in der Datenschutzerklärung.
Deine Frage ist nicht dabei? Kontaktiere Denkcode.