IT-LAS-Praxisbericht · November 2026
Eine Webseite kann im Browser einwandfrei aussehen, während darunter eine verwundbare PHP-Version läuft. Als am 21. Oktober 2026 Sicherheitsupdates für zwei kritische PHP-Lücken erschienen, mussten wir bei IT-LAS deshalb zuerst herausfinden, welche unserer Anwendungen betroffen sein konnten. Für ausgewählte Angebote stellten wir vorübergehend statische Wartungsseiten bereit. So konnten wir die öffentlich erreichbare Angriffsfläche begrenzen und die Aktualisierung kontrolliert vorbereiten.
Aus der Sicherheitsmeldung wurde ein Modernisierungsprojekt für unsere Hosting-Umgebung. Wir sicherten den Server extern, migrierten von Debian 10 auf Debian 11.11 und stellten wichtige Dienste auf PHP 8.2.35 um. Roundcube 1.7.6 richteten wir parallel zum bisherigen Webmail ein und testeten die wichtigsten Funktionen. Der nächste Debian-Schritt und die produktive Aktualisierung des Gambio-Shops stehen noch aus.
Inhaltsverzeichnis
- PHP-Sicherheitsmeldung und Sofortmaßnahmen
- Bestandsaufnahme und Datensicherung
- Debian 11.11 als Zwischenstand
- PHP 8.2.35 für wichtige Hosting-Dienste
- Ältere Webseiten und Gambio-Shop
- Roundcube-Webmail und Praxistest
- Projektchronologie
- Ergebnisse und nächste Schritte
PHP-Sicherheitsmeldung und Sofortmaßnahmen
Warum die PHP-Meldung mehrere Anwendungen betraf
Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 betrafen die Speicherverwaltung von PHP. Unter bestimmten Bedingungen konnten präparierte Anfragen die Ausführung von Schadcode ermöglichen. Da viele Webseiten, Shops und Verwaltungsoberflächen dieselbe PHP-Technik nutzen, bewerteten wir zuerst die tatsächlich verwendete Laufzeit der einzelnen Anwendungen.
Die europäische Sicherheitsmeldung beschreibt die Dringlichkeit der Aktualisierung. Gemeinsame Erklärung der Europäischen Kommission und ihrer Partner
Statische Wartungsseiten als Sofortmaßnahme
Bei ausgewählten öffentlich erreichbaren Angeboten ersetzten wir vorübergehend die dynamische Anwendung durch einen Hinweis in statischem HTML. Die Hinweise brauchten keine PHP-Ausführung. Daten und Konfiguration der ursprünglichen Anwendungen blieben für die spätere Wiederinbetriebnahme erhalten.
Zwischenfazit. Die Wartungsseiten verschafften Zeit für die Bestandsaufnahme. Für die spätere Freigabe waren die Aktualisierung und die Prüfung der jeweiligen Anwendung entscheidend.
Bestandsaufnahme und Datensicherung
Ermitteln, welche PHP-Version eine Webseite wirklich nutzt
In einer gewachsenen Hosting-Umgebung können mehrere PHP-Versionen parallel installiert sein. Eine Abfrage auf der Kommandozeile zeigt zunächst die Version für diesen Aufruf. Webseiten können über ein Apache-Modul oder über FastCGI beziehungsweise PHP-FPM mit einer anderen Version laufen. Darum prüften wir je Dienst die Zuordnung, die benötigten PHP-Erweiterungen und die Datenbankanbindung.
Auch die Herkunft der Pakete spielte eine Rolle. Einige der bisherigen Debian-Paketquellen lieferten Fehler. Separat bereitgestellte PHP-Laufzeiten mussten außerdem unabhängig vom Debian-Upgrade berücksichtigt werden.
Vor dem Upgrade extern sichern
Vor den größeren Eingriffen kontrollierten wir den Zustand der Datenträger und richteten eine externe Serversicherung mit Synology Active Backup for Business ein. Die Sicherung lief erfolgreich. Wichtige Konfigurations- und Datenbankinformationen der Hosting-Verwaltung flossen in die Vorbereitung ein.
Ein gespiegelter Datenträgerverbund kann den Ausfall eines Laufwerks abfangen. Für das Wiederherstellen nach einer fehlerhaften Änderung braucht es einen separaten Sicherungsstand. Regelmäßige Wiederherstellungstests zeigen, welche Daten und Dienste sich daraus tatsächlich zurückholen lassen. Synology & Datensicherung bei IT-LAS
Debian 11.11 als Zwischenstand
Vom Ausgangssystem zum geprüften Zwischenstand
Nach der Sicherung und den Vorprüfungen migrierten wir von Debian 10.13 auf Debian 11.11 „Bullseye“. Nach dem Neustart kontrollierten wir den Betriebssystemstand, die Webserver-Konfiguration, die Datenbankdienste und die Erreichbarkeit der IT-LAS-Webseite.
Der nächste Debian-Schritt bleibt offen
Debian 11.11 dokumentiert die erreichte Zwischenetappe. Der reguläre Long-Term-Support für Debian 11 endete Ende August 2026. Die weitere Migration auf eine unterstützte Debian-Version steht deshalb noch aus. Für sie müssen der Upgrade-Pfad, die Abhängigkeiten und die Dienstprüfungen erneut abgestimmt werden. Debian-Mitteilung zum Ende des LTS-Zeitraums
Zwischenfazit. Eine erreichbare Webseite bestätigt, dass der Webserver antwortet. Ob Datenbankzugriffe, Verwaltungsfunktionen und andere Abläufe funktionieren, lässt sich mit gezielten Tests feststellen.
PHP 8.2.35 für wichtige Hosting-Dienste
Froxlor und phpMyAdmin auf die vorgesehene Laufzeit umstellen
Froxlor verwaltet Hosting-Einstellungen, darunter die PHP-Zuordnungen für Webanwendungen. Im Zuge vorbereitender Arbeiten aktualisierten wir Froxlor und führten die zugehörige Datenbankmigration durch. Im nächsten Schritt banden wir die Hosting-Verwaltung über PHP-FPM an PHP 8.2.35 an. Auch phpMyAdmin lief mit der aktualisierten Umgebung.
PHP-FPM verwaltet PHP-Prozesse getrennt vom Webserver. Das erlaubt es, Anwendungen einzeln umzustellen und dabei ihre Erweiterungen, Einstellungen und Datenbankzugriffe zu prüfen. PHP 8.2.35 enthält die Korrekturen für die beiden beschriebenen Schwachstellen in der 8.2-Reihe. Die Umstellung ist für die genannten Dienste dokumentiert. Verbliebene ältere PHP-Abhängigkeiten werden gesondert bearbeitet.
Ältere Webseiten und Gambio-Shop
Wann statisches HTML ausreicht
Bei älteren Informationsseiten prüften wir, welche Funktionen tatsächlich noch genutzt werden. Für eine Seite mit wenigen festen Inhalten kann statisches HTML genügen. Dadurch entfällt die serverseitige PHP-Ausführung für diesen Auftritt. Für ausgewählte ältere Projekte wurden solche Varianten geprüft oder vorbereitet.
Gambio zuerst in der Testumgebung vorbereiten
Ein Shop hat andere Anforderungen. Darstellung, Warenkorb, Bestellung, Zahlungsabläufe, Verwaltung und Schnittstellen hängen von PHP, Datenbank, Erweiterungen und Konfiguration ab. Für das Gambio-Upgrade übertrugen wir Update-Dateien und benötigte Komponenten in eine separate Testinstallation.
Zwischenfazit. Die Vorbereitung in der Testumgebung ist erfolgt. Die vollständigen Funktions- und Kompatibilitätsprüfungen sowie die Freigabe für den produktiven Shop stehen noch aus.
Roundcube-Webmail und Praxistest
Neue Oberfläche für bestehende Postfächer
Roundcube ist die Browseroberfläche für vorhandene Postfächer. Es liest Nachrichten über IMAP und übergibt ausgehende Nachrichten per SMTP. Wir richteten Roundcube 1.7.6 mit PHP 8.2.35 und PHP-FPM parallel zur bestehenden Webmail-Lösung ein. Die Postfächer blieben dabei an die vorhandenen Maildienste angebunden.
Warum ein gültiges Zertifikat allein nicht ausreichte
Der IMAP-Dienst war erreichbar, doch die TLS-Prüfung schlug zunächst fehl. Das Serverzertifikat war gültig. Für eine vertrauenswürdige Verbindung benötigt der Client aber auch die passenden Zwischenzertifikate, um die Kette bis zu einer vertrauenswürdigen Stelle nachvollziehen zu können. Nach Korrektur der bereitgestellten Zertifikatskette und erneutem Laden der Konfiguration verlief die Prüfung erfolgreich.
Was wir im Browser und im Postfach geprüft haben
Der Praxistest umfasste die Anmeldung an einem bestehenden Postfach, das Öffnen des Posteingangs und den Versand einer Testnachricht. Die Nachricht kam an und erschien im Ordner für gesendete Nachrichten. Zusätzlich prüften wir die deutschsprachige Anmeldeseite mit IT-LAS-Logo über HTTPS.
Projektchronologie
Der Bericht umfasst die Arbeiten im Oktober und November 2026. Die folgenden Etappen geben die dokumentierte Reihenfolge wieder. Mehrere Arbeiten liefen parallel.
- 21. Oktober 2026 · Sicherheitsmeldung. PHP-Sicherheitsupdates erscheinen. IT-LAS bewertet die betroffenen Anwendungen und begrenzt die öffentliche Erreichbarkeit ausgewählter Angebote.
- Vor den größeren Änderungen · Bestandsaufnahme und Sicherung. PHP-Zuordnungen und Paketquellen prüfen, externen Sicherungslauf abschließen.
- Systemetappe · Debian 11.11. Migration von Debian 10.13 durchführen, neu starten und grundlegende Dienste prüfen.
- Parallel zur Systemetappe · Anwendungen. Wichtige Dienste auf PHP 8.2.35 umstellen, statische Alternativen prüfen und das Gambio-Upgrade im Staging vorbereiten.
- Webmail-Etappe · Einrichtung und Test. Roundcube 1.7.6 anbinden, Zertifikatskette korrigieren und Anmeldung, Posteingang sowie Versand prüfen.
Ergebnisse und nächste Schritte
| Status | Maßnahme | Ergebnis oder nächster Schritt |
|---|---|---|
| Abgeschlossen | Sofortmaßnahmen und Bestandsaufnahme | Für ausgewählte Anwendungen statische Wartungsseiten eingerichtet und Abhängigkeiten erfasst. |
| Abgeschlossen | Externe Datensicherung | Serversicherung vor den umfangreichen Änderungen erfolgreich ausgeführt. |
| Abgeschlossen | Debian 10.13 → 11.11 | Zwischenetappe durchgeführt, Neustart und grundlegende Dienstprüfungen erfolgt. |
| Abgeschlossen | PHP 8.2.35 für wichtige Dienste | Froxlor, phpMyAdmin und Roundcube mit der vorgesehenen Laufzeit betrieben. |
| Abgeschlossen | Roundcube 1.7.6 | Eingerichtet, TLS-Zertifikatsprüfung erfolgreich sowie Login, Posteingang und Versand getestet. |
| Vorbereitet | Statische Alternativen | Für ausgewählte ältere Webprojekte geprüft oder vorbereitet. |
| Vorbereitet | Gambio-Upgrade | Update-Dateien in die Testumgebung übertragen. |
| Offen | Gambio produktiv aktualisieren | Funktions- und Kompatibilitätstests abschließen, anschließend über Freigabe entscheiden. |
| Offen | Debian auf unterstützte Version migrieren | Zielversion, Upgrade-Pfad und Diensttests festlegen und den nächsten Schritt durchführen. |
| Offen | Alte Abhängigkeiten und Wiederherstellung | Verbleibende PHP-Abhängigkeiten abbauen und Wiederherstellungsverfahren regelmäßig prüfen. |
Was wir beim nächsten Wartungsfenster wieder so machen würden
Die Reihenfolge hat sich bewährt: Erreichbarkeit bei Bedarf gezielt einschränken, die tatsächlich verwendeten Laufzeiten erfassen, extern sichern und jede Änderung anhand konkreter Funktionen prüfen. Für den nächsten Debian-Schritt und den Shop bleiben diese Prüfpunkte die Grundlage der Freigabe.
Wir unterstützen Unternehmen bei der Bestandsaufnahme, der Planung von Wartungsfenstern und der Betreuung ihrer Internetdienste. Domains, Webhosting & E-Mail · IT-Sicherheit & ESET
Redaktioneller Stand: 9. November 2026.