PHP-Sicherheitsleitfäden
PHP-Sicherheitsleitfäden
Abseits von PHP2Shell gehen die meisten Kompromittierungen von PHP-Sites auf eine Handvoll bekannter Fehlerklassen im Anwendungscode zurück. Diese Leitfäden erklären jede verständlich, wie Sie sie im eigenen Code finden und wie Sie sie beheben.
Zuletzt aktualisiert
Häufige PHP-Schwachstellenklassen
- PHP Object Injection: was es ist und wie Sie es behebenPHP Object Injection entsteht, wenn benutzerkontrollierte Eingaben unserialize() erreichen, das Objekte erzeugen kann, deren magische Methoden vom Angreifer gewählte Logik ausführen.
- PHP File Inclusion (LFI/RFI): was es ist und wie Sie es behebenFile Inclusion entsteht, wenn Benutzereingaben den Pfad für include oder require steuern; Angreifer lesen dann lokale Dateien (LFI) oder führen bei aktivem allow_url_include entfernten Code aus (RFI).
- SSRF in PHP: was es ist und wie Sie es behebenServer-Side Request Forgery (SSRF) entsteht, wenn eine PHP-App eine vom Benutzer gesteuerte URL abruft, sodass Angreifer über Ihren Server interne Dienste oder Cloud-Metadaten-Endpunkte erreichen.
- XSS in PHP: was es ist und wie Sie es verhindernCross-Site Scripting (XSS) entsteht, wenn eine PHP-Seite benutzerkontrollierte Daten ohne Escaping in HTML ausgibt, sodass das Skript eines Angreifers im Browser anderer Besucher läuft.
- phpinfo()-Offenlegung: warum sie zählt und wie Sie sie behebenEine öffentliche phpinfo()-Seite verrät die genaue PHP-Version, geladene Module, Dateipfade und oft Umgebungsvariablen oder Geheimnisse, was Angreifern hilft, Fehler wie PHP2Shell gezielt auszunutzen.
Versionen, Distributionen und verwandte Hinweise
- Ist meine PHP-Version noch sicher?Support- und PHP2Shell-Status für PHP 7.4 bis 8.5.
- PHP2Shell-Fixes nach DistributionFix-Versionen für Debian, Ubuntu, RHEL, SUSE, Alpine und Amazon Linux.
- Magento SessionReaperCVE-2025-54236 in Adobe Commerce und Magento: betroffene Versionen und Hotfix.
- Verwandte SicherheitsvorfälleeMudhra-CA-Schlüssel, CMS-Webshells, Packagist-Lieferkette, OpenSSL.
Quellen
Externe Links verlassen diese Website. Wir hosten keinen Exploit-Code.
- Cross Site Scripting Prevention Cheat Sheet — OWASP Cheat Sheet Series
- Server-Side Request Forgery Prevention Cheat Sheet — OWASP Cheat Sheet Series
- Supported Versions — PHP project (php.net)
- Security update available for Adobe Commerce | APSB25-88 — Adobe