PHP2Shell in Azure App Service (PHP): betroffen und wie beheben

So prüfen Sie die PHP-Version von Azure App Service (PHP)

Führen Sie den passenden Befehl aus. Eine Version ab 8.2.35, 8.3.36, 8.4.27 bzw. 8.5.12 im jeweiligen Zweig ist gepatcht; ältere Zweige nur mit einem Hersteller-Build, der das ausdrücklich sagt.

php --version
echo $PHP_VERSION

In der SSH-Konsole der App ausführen (Kudu WebSSH: https://<app-name>.scm.azurewebsites.net/webssh/host). Im Portal zeigt Stack settings die PHP-Hauptversion und den Plattform-Release-Kanal.

Das Kommandozeilen-php kann sich vom PHP unterscheiden, das die Website ausliefert. Prüfen Sie sicherheitshalber die Web-SAPI (temporäre phpinfo()-Seite hinter Login oder die PHP-Einstellungen im Panel) und entfernen Sie sie danach. Unser Versions-Check vergleicht die Nummer für Sie.

🔎 Versionsnummer gefunden? Prüfen Sie sie im PHP2Shell-Checker →

So beheben Sie PHP2Shell in Azure App Service (PHP)

1. Läuft die App im Kanal Extended, auf Standard oder Latest umstellen (Portal → App → Stack settings → Platform Release Channel → Speichern). Für internetseitige oder riskante Apps empfiehlt Microsoft Latest.
2. Per SSH prüfen, dass 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 oder neuer läuft; sonst die App neu starten.
3. Eigener Container oder eigenes PHP: Image auf einem gefixten PHP-Release neu bauen und neu bereitstellen. Azure patcht das nicht.
4. PHP 8.1 oder älter: Kanalwechsel hilft nicht. App auf eine unterstützte PHP-Version migrieren und testen.
5. WordPress on App Service auf Alpine: auf das Debian-Image migrieren.
6. Installieren Sie das oben genannte gepatchte Hersteller-Release bzw. die Pakete.
7. Starten Sie jeden PHP-Prozess neu (PHP-FPM-Pools, Apache mit mod_php, LiteSpeed-lsphp, Queue-Worker); ein laufender Prozess behält das alte PHP im Speicher.
8. Prüfen Sie die laufende Version erneut mit den Prüfbefehlen.

Die Prüfung lieber einem KI-Agenten überlassen? Betroffenheit prüfen · Mit KI-Agent beheben

Wenn Sie noch nicht patchen können

• session.upload_progress.enabled = 0 dort setzen, wo Anwendungen es nicht überschreiben können (php.ini, php_admin_value im FPM-Pool oder in der Apache-Konfiguration), und PHP neu starten.
• Unter PHP 8.5 fatal_error_backtraces = 0 setzen.
• PHPs Übergangsempfehlung umfasst auch memory_limit und ein niedriges post_max_size; folgen Sie genau der Abhilfe-Seite, denn diese Einstellungen decken nur einige Pfade ab.
• Bei PHP 8.1 oder älter ohne Hersteller-Backport Zugriff beschränken (VPN, IP-Allowlist) oder den Dienst offline nehmen. WAF-Regeln helfen, sind aber kein Fix.

FAQ

Verwandte Produkte

• Laravel ForgeOS-/Host-PHP patchen
• RunCloudKein Hersteller-Advisory
• ServerPilotKein Hersteller-Advisory
• AWS: Amazon Linux, Elastic Beanstalk, LightsailTeilweise behoben

← Alle Produkte mit eingebautem PHP

Siehe auch: Abhilfe nach Plattform · Betroffene Versionen · Herstellerstatus

Inoffizielle Zusammenfassung öffentlicher Quellen. Diese Website ist weder mit dem Hersteller noch mit dem PHP-Projekt verbunden und hostet keinen Exploit-Code.