Prüfumfang

Methoden, Aussagekraft und Grenzen

Was PHP Checker tatsächlich tut, welche Aussage ein Ergebnis trägt und wo die Grenzen liegen.

Zwei Prüfwege, eine Bewertung

Beide Reiter verwenden dieselben, festen Bewertungsregeln. Es kommt keine generative KI zum Einsatz. Unterschieden wird die Herkunft der Angabe:

Website prüfen: Der Versionshinweis stammt aus einem HTTP-Antwortheader. Er gilt als unverifizierter Versionshinweis.
Version einordnen: Die Angabe stammt von dir. Sie gilt als manuelle Angabe und wird nicht vom Dienst überprüft.

So läuft der Außencheck ab

Die Adresse wird auf unserem Server geprüft: nur http:// oder https://, Standardports, keine Zugangsdaten, keine Parameter, keine IP-Adressen. Ohne Protokoll wird https:// ergänzt; internationale Domainnamen werden in ihre ASCII-Form umgewandelt.
Der Domainname wird per DNS aufgelöst. Zeigt auch nur eine Adresse auf ein internes, reserviertes oder gesperrtes Netz, wird nicht abgerufen.
Die Verbindung wird fest an die geprüfte IP-Adresse gebunden. Zertifikat und Servername werden dabei normal geprüft.
Es folgt eine HEAD-Anfrage. Nur wenn der Server HEAD nicht unterstützt (HTTP 405 oder 501), folgt ein GET, dessen Antwortkörper sofort abgebrochen wird.
Höchstens drei Weiterleitungen werden verfolgt, jedes Ziel wird erneut geprüft. Von HTTPS auf HTTP wird nicht herabgestuft.
Bewertet wird nur die finale Antwort. Ausgewertet werden die Header X-Powered-By und Server, und nur ausdrücklich als PHP gekennzeichnete Angaben (z. B. PHP/8.3.36).

Der gesamte Vorgang ist auf 20 Sekunden begrenzt. Cookies, Zugangsdaten oder Header deines Browsers werden nicht an die Zielwebsite weitergegeben. Die Zielwebsite sieht die IP-Adresse unseres Servers (195.90.214.181) und die Kennung PHP-Checker/1.0 (+https://php-checker.de/pruefumfang).

Ergebnisse und ihre Bedeutung

Versionshinweis unter dem Fixstand: Die gemeldete Version liegt im selben Zweig unter dem ersten korrigierten Stand. Prüfe, ob dein Anbieter einen Fix zurückportiert hat, und kläre das Update.
Versionshinweis entspricht korrigiertem Stand: Die gemeldete Version erreicht den korrigierten Stand. Der Hinweis ist nicht verifiziert und gilt nicht automatisch für alle PHP-Prozesse.
Herstellerprüfung erforderlich: Ein Herstellerpaket mit älterer Basisversion. Ein Backport ist nur mit passendem Herstellernachweis für genau dieses Paket und beide CVEs belegt.
Vorabversion – gesonderte Prüfung erforderlich: Alpha-, Beta-, RC- oder Entwicklungsversionen erhalten keine Produktionsfreigabe.
Zweig ohne offiziellen Fixstand: Für alte Zweige (z. B. 8.1 und älter) nennt das PHP-Projekt keinen Fix. Sie gelten nicht wegen ihrer Versionsnummer als behoben.
Zweig nicht in den Prüfdaten: Neue oder unbekannte Zweige werden erst nach Aufnahme belastbarer Quellen eingeordnet.
Patchstatus von außen nicht bestimmbar: Kein verwertbarer, eindeutiger oder widerspruchsfreier PHP-Hinweis. Das ist kein Sicherheitsurteil – weder positiv noch negativ.
Prüfung nicht abgeschlossen: Fehler, Zeitüberschreitung, Sperre oder Abbruch. Eine nicht abgeschlossene Prüfung erzeugt keine Entwarnung.

Grenzen der Aussage

Ein Versionshinweis ist kein Patchnachweis. Header können von einem Cache, Proxy, Schutzsystem, einer Fehlerseite oder einer anderen Anwendung stammen.
Eine passende Version bestätigt weder das installierte Paket noch alle laufenden PHP-Prozesse. PHP-FPM ist von den Lücken nicht pauschal ausgenommen.
Die tatsächliche Ausnutzbarkeit wird nicht geprüft.
Befall: Nicht geprüft. Ein Update schließt einen früheren Befall nicht aus.

Was PHP Checker nicht bietet

Malware-Erkennung, Portscans, vollständige WordPress- oder CMS-Prüfungen, Prüfungen weiterer Software und automatische Serverreparaturen gehören nicht zum Funktionsumfang. Für jede dieser Aufgaben wäre ein eigener, definierter Prüfumfang nötig.

Schutz vor Missbrauch

Damit der Dienst nicht als offener Proxy oder gegen fremde Server missbraucht wird, gelten feste Grenzen pro Aufrufer, pro Zielwebsite und für den gesamten Dienst, außerdem eine begrenzte Zahl gleichzeitiger Prüfungen. Wird eine Grenze erreicht, erhältst du einen Wartehinweis. Fällt die Begrenzung aus, werden keine Abrufe gestartet.