Kurz gesagt: Der Plesk PHP-Handler legt fest, wie PHP für eine Website läuft: als FPM-Anwendung mit gemeinsamem Pool, als Dedicated FPM mit eigenem Pool je Website, als FastCGI-Anwendung oder als Apache-Modul (mod_php). Aus Sicherheitssicht ist Dedicated FPM unter Linux meist die beste Wahl, das Apache-Modul die schlechteste. Plesk selbst bezeichnet es als veraltet beziehungsweise unsicher, und bei PHP2Shell sieht das PHP-Team das höchste Risiko genau bei mod_php.
Warum der Handler mehr ist als eine Leistungsfrage
In Plesk wählen Sie für jede Website eine PHP-Version und einen Handler. Viele behandeln den Handler als Detail für Leistung und Speicher. Er entscheidet aber auch darüber, wie stark Websites voneinander getrennt sind, wo Sicherheitseinstellungen wirken und welche Prozesse nach einem Update neu gestartet werden müssen.
Nach PHP2Shell wird diese Wahl konkret. Die Lücken CVE-2026-109618 und CVE-2026-109619 betreffen alle gängigen Betriebsarten, das PHP-Team stuft das Risiko bei mod_php aber am höchsten ein. Wer auf seinem Plesk-Server noch Domains mit dem Apache-Modul betreibt, sollte das jetzt ändern. Wie Sie Versionen prüfen und patchen, beschreibt die Seite Plesk-Server: PHP-Versionen prüfen und patchen; hier geht es um die Wahl der Betriebsart.
Die Plesk PHP-Handler im Überblick
Die folgende Übersicht beruht auf der Plesk-Dokumentation für Plesk Obsidian, ergänzt um die Sicherheitssicht. Unter Linux können FPM-Handler laut Plesk wahlweise über Apache oder nginx ausgeliefert werden, FastCGI immer über Apache.
| Handler | Ausgeliefert über | Isolation | Empfehlung laut Plesk | Sicherheitssicht |
|---|---|---|---|---|
| Dedicated FPM application | Apache oder nginx | eigener Pool je Website | Linux mit Shared Hosting | beste Trennung, eigene Werte je Pool |
| FPM application | Apache oder nginx | gemeinsamer Pool je PHP-Version | dedizierte Linux-Server | eine fehlerhafte Website kann andere mit derselben Version stören |
| FastCGI application | Apache (Linux) | dauerhafte Prozesse, gute Trennung | Windows-Server | solide, unter Linux meist von FPM abgelöst |
| Apache module (mod_php) | Apache | PHP im Webserver-Prozess | nicht empfohlen | höchstes PHP2Shell-Risiko laut PHP-Team |
| CGI application | Apache | neuer Prozess je Anfrage | nicht empfohlen | veraltet |
Hintergründe zu den Betriebsarten selbst erklären die Seiten PHP-FPM erklärt und Warum mod_php das höchste Risiko trägt.
Gemeinsamer oder eigener Pool?
Der Unterschied zwischen FPM und Dedicated FPM wird oft unterschätzt. Beim normalen FPM-Handler teilen sich laut Plesk alle Websites mit derselben PHP-Version einen Prozess-Pool. Das spart Speicher, bedeutet aber auch: Eine Website, die Probleme macht, kann alle anderen mit derselben Version mitreißen, und der gemeinsame Cache wird geteilt.
Dedicated FPM gibt jeder Website einen eigenen Pool. Laut Plesk verbessert das Isolation und Leistung, kostet aber mehr Speicher. Aus Sicherheitssicht ist der eigene Pool die Grundlage, um Einstellungen wie open_basedir, Speichergrenzen oder Upload-Limits je Website getrennt zu setzen. Wie Sie Pools konsequent trennen, beschreibt der Beitrag PHP-FPM-Pools pro Website isolieren.
nginx oder Apache: die .htaccess-Falle
Wählen Sie einen Handler, der über nginx ausgeliefert wird, ändert sich etwas Grundlegendes: Laut Plesk ignorieren diese Handler die .htaccess-Datei. Was dort steht, wirkt nicht mehr.
Das ist ein Sicherheitsthema. Viele Anwendungen und Admins legen Schutzregeln in .htaccess ab, etwa ein Verbot, PHP-Dateien in Upload-Ordnern auszuführen, oder Sperren für Konfigurationsdateien. Nach einem Wechsel zu nginx sind diese Regeln still außer Kraft. Prüfen Sie deshalb vor dem Wechsel, welche Schutzregeln in .htaccess stehen, und übertragen Sie sie in die nginx-Konfiguration der Domain.
Ein Handler-Wechsel ist eine Änderung an der Sicherheitskonfiguration. Testen Sie danach gezielt, ob gesperrte Pfade weiterhin gesperrt sind, und nicht nur, ob die Startseite lädt.
Den Handler prüfen und umstellen
Zuerst verschaffen Sie sich einen Überblick, welche Domains welchen Handler nutzen. Die Befehle sind rein lesend.
# Alle registrierten Handler mit ID, Version und Typ
plesk bin php_handler --list
# Domains, die einen bestimmten Handler nutzen (ID aus der Liste)
plesk bin php_handler --get-usage -id <handler-id>
# Läuft PHP im Apache-Prozess? (Debian/Ubuntu: apache2ctl, RHEL-Familie: httpd)
apache2ctl -M 2>/dev/null | grep -i php
Für die Umstellung gehen Sie Domain für Domain vor:
- Schutzregeln aus
.htaccesserfassen, falls der neue Handler über nginx ausgeliefert wird. - Übergangswerte gegen PHP2Shell, etwa
session.upload_progress.enabled=0, für den neuen Handler setzen. Bei FPM gehören sie alsphp_admin_valuein die zusätzlichen Direktiven des Pools, bei FastCGI wirken andere Wege. - Handler in den PHP-Einstellungen der Domain wechseln, möglichst zuerst auf einer Kopie.
- Funktionen testen und prüfen, ob die Domain von Prozessen mit aktuellem Code bedient wird.
- Wird das Apache-Modul von keiner Domain mehr genutzt, den Handler deaktivieren.
In welcher Reihenfolge umstellen?
Auf einem gewachsenen Plesk-Server lässt sich selten alles an einem Tag umstellen. Eine Reihenfolge nach Risiko hilft, die knappe Zeit sinnvoll einzusetzen:
- Zuerst Domains mit dem Apache-Modul, denn dort ist das Risiko durch PHP2Shell laut PHP-Team am höchsten und Plesk rät ohnehin ab.
- Dann Domains mit sensiblen Daten, etwa Shops, Kundenportale oder Formulare mit Gesundheits- oder Vertragsdaten. Hier lohnt der eigene Pool besonders.
- Danach Domains auf alten PHP-Versionen, die ohnehin umgestellt werden müssen. Handler und Version lassen sich in einem Wartungsfenster gemeinsam wechseln.
- Zuletzt der Wechsel vom gemeinsamen zum eigenen Pool für die übrigen Domains, sofern der Speicher des Servers es erlaubt.
Prüfen Sie vor der letzten Stufe die Speicherauslastung. Plesk weist darauf hin, dass Dedicated FPM mehr Speicher braucht, und rät bei vielen Websites zur Überwachung. Ein Server, der nach der Umstellung Speicher auslagert, wird langsam, und ein knapper Speicher ist gerade bei PHP2Shell kein guter Zustand.
Wie hilft PHP SOS konkret?
- Wir erfassen, welche Domains auf Ihrem Plesk-Server welchen Handler nutzen, und markieren Domains mit Apache-Modul.
- Wir stellen auf Dedicated FPM um und übertragen Schutzregeln aus
.htaccessin die nginx-Konfiguration, wo nötig. - Wir setzen Übergangswerte und Grenzen je Pool und prüfen, dass sie im Webkontext greifen.
- Im Rahmen der Server-Härtung deaktivieren wir veraltete Handler und dokumentieren die Konfiguration.
Häufige Fragen
Welchen PHP-Handler empfiehlt Plesk?
Laut Plesk-Dokumentation ist FPM der empfohlene Handler auf dedizierten Linux-Servern, Dedicated FPM auf Linux-Servern für Shared Hosting und FastCGI auf Windows-Servern. Das Apache-Modul, CGI und ISAPI bezeichnet Plesk als stark veraltet beziehungsweise unsicher.
Warum ist der Handler Apache-Modul nach PHP2Shell besonders kritisch?
Der Handler entspricht mod_php. Das PHP-Team stuft das Risiko von PHP2Shell bei mod_php am höchsten ein, weil dort ein Exploit gezeigt wurde, bevor Anwendungscode läuft. Zudem rät Plesk selbst von diesem Handler ab.
Was ändert sich, wenn PHP über nginx statt Apache ausgeliefert wird?
Laut Plesk ignorieren Handler, die über nginx ausgeliefert werden, die .htaccess-Datei. Sicherheitsregeln, die dort stehen, etwa Sperren für PHP in Upload-Ordnern, greifen dann nicht mehr und müssen in nginx-Regeln übertragen werden.
Muss ich nach einem Handler-Wechsel PHP neu starten?
Prüfen Sie nach dem Wechsel, welche PHP-Prozesse für die Domain laufen und seit wann. Bei Dedicated FPM erhält die Domain einen eigenen Pool. Ein alter Prozess mit veraltetem Code sollte danach nicht mehr für die Domain arbeiten.
Ist Dedicated FPM immer die beste Wahl?
Für die Isolation ja, denn jede Website erhält einen eigenen Pool. Der Preis ist ein höherer Speicherbedarf. Plesk rät, Server mit vielen Websites dabei zu überwachen.