Auf den Webhostings von PulseHeberg setzen wir auf TuxCare ELS, um alle von uns angebotenen PHP-Versionen zu warten. Dieser Dienst ermöglicht es uns, Sicherheitspatches für eine breite Palette von Versionen bereitzustellen, auch wenn deren Support durch das PHP-Projekt beendet ist.

Wir setzen gezielt auf TuxCare ELS, um Sicherheitskorrekturen schnell zu erhalten: PHP-Schwachstellen werden durch Patches behoben, darunter rückportierte Korrekturen, die wir automatisch auf unseren Hostings bereitstellen. Ihre angezeigte PHP-Version kann somit unverändert bleiben und dennoch weiterhin Sicherheitsupdates erhalten.

Wie werden Sicherheitsupdates angewendet?#

Die von TuxCare ELS bereitgestellten PHP-Updates werden automatisch auf unseren Hostings installiert und bereitgestellt. Sie müssen weder in Plesk etwas unternehmen noch den Support kontaktieren, um diese Patches zu erhalten.

Diese automatische Bereitstellung kann je nach verfügbaren Patches mehrmals täglich erfolgen. Ihr Hosting erhält so regelmäßig Sicherheitsupdates, wobei die Kompatibilität mit Ihren Websites so weit wie möglich erhalten bleibt.

Diese Updates können die Form neuer Paketrevisionen annehmen: Die Software erhält einen Patch, ohne dass sich die sichtbare PHP-Versionsnummer unbedingt ändert. Es handelt sich nicht zwangsläufig um neue funktionale PHP-Versionen.

Was ist ein rückportierter Patch?#

Das Rückportieren, oder Backport, besteht darin, einen Sicherheitspatch an eine frühere Version der Software anzupassen, ohne eine Migration auf die neueste PHP-Version zu erzwingen.

Beispielsweise kann ein Paket, das PHP 8.5.11 anzeigt, die Korrekturen für eine Schwachstelle enthalten, die in der offiziellen Version PHP 8.5.12 behoben wurde. Die Nummer bleibt dann 8.5.11, aber der von der Schwachstelle betroffene Code wurde in der von TuxCare bereitgestellten Paketrevision korrigiert.

Die CloudLinux-Dokumentation zu den PHP-Updates vom Oktober 2026 bestätigt, dass korrigierte Pakete Nummern behalten, die niedriger sind als die der offiziellen Versionen des PHP-Projekts.

Beispiel: die Schwachstellen vom Oktober 2026#

Nach einer vorherigen Ankündigung am 20. Oktober veröffentlichte das PHP-Projekt am 21. Oktober 2026 Patches für CVE-2026-109618 und CVE-2026-109619, insbesondere in PHP 8.5.12. Diese beiden Schwachstellen und die offiziellen korrigierten Versionen werden von der PHP Foundation beschrieben.

Für diese beiden CVEs haben TuxCare und CloudLinux Pakete mit rückportierten Korrekturen bereitgestellt und dabei niedrigere Versionsnummern als die neuen offiziellen Versionen beibehalten. Dieses Verfahren nutzen wir mit automatischer Bereitstellung auf unseren Hostings. Maßgeblich für die Nachverfolgung der Korrekturen sind die Paketrevision und ihre Sicherheitshistorie, nicht allein die angezeigte PHP-Versionsnummer.

Warum kann ein Audit-Tool eine alte Version melden?#

Einige Tools vergleichen nur die erkannte Versionsnummer mit einer Liste anfälliger Versionen. Sie können dann eine Warnung melden, ohne rückportierte Patches zu berücksichtigen.

Wenn Ihr Audit eine PHP-Schwachstelle meldet, senden Sie unserem Support:

  • Die betroffene Domain.
  • Die erkannte PHP-Versionsnummer.
  • Die Kennung der Schwachstelle, zum Beispiel eine CVE-Referenz.
  • Den Bericht des Tools und das Datum der Prüfung.

Unser Team kann Ihnen die angewendeten Patches bestätigen und die für Ihr Audit benötigten Details bereitstellen. Sie müssen deren Installation nicht beantragen: TuxCare ELS-Updates werden automatisch bereitgestellt.

Wird eine Version am Ende ihres Lebenszyklus noch gewartet?#

Das Ende des offiziellen Supports durch das PHP-Projekt und das Ende der Wartung durch PulseHeberg sind zwei verschiedene Dinge. TuxCare ELS ermöglicht es, die Sicherheitsupdates für abgedeckte Versionen über ihr offizielles Lebensende hinaus zu verlängern.

Diese Wartung gibt Ihnen Zeit, Ihre Website anzupassen. Es bleibt ratsam, den Wechsel zu einer aktuellen, mit Ihrer Anwendung kompatiblen Version vorzubereiten. PHP-Updates ersetzen nicht die Updates Ihres CMS, seiner Erweiterungen oder Ihres eigenen Codes.

Um die angebotenen Versionen zu erfahren, lesen Sie die verfügbaren PHP-Versionen. Um die Version einer Website zu ändern, folgen Sie dem Verfahren zur Auswahl der PHP-Version in Plesk.