Kurz gesagt: Wer seinen Server für PHP härten will, sorgt dafür, dass eine einzelne Lücke nicht den ganzen Server öffnet. Wir trennen Websites voneinander, setzen PHP und Webserver sicher auf, beschränken Rechte und Zugänge und dokumentieren jede Änderung. So bleibt der Schaden kleiner, wenn doch etwas passiert.
Warum Härtung nach PHP2Shell wichtiger geworden ist
PHP2Shell hat gezeigt, wie schnell eine Lücke in PHP selbst zum Problem für alle Websites auf einem Server wird. Mit CVE-2026-109618 und CVE-2026-109619 können Angreifer ohne Anmeldung Code ausführen. Der Patch schließt diese Tür. Härtung beantwortet eine andere Frage: Was kann jemand tun, der trotzdem hineinkommt, über diese oder die nächste Lücke?
Auf einem ungehärteten Server laufen oft alle Websites unter demselben Benutzer, PHP darf Systembefehle ausführen, und Zugangsdaten liegen lesbar für alle Prozesse. Ein Einbruch in eine kleine Nebenseite reicht dann bis zum Onlineshop. Eine gute Härtung trennt diese Bereiche. Sie ist keine einmalige Aktion, sondern ein Grundzustand, der bei jeder neuen Website und jedem Versionswechsel erhalten bleiben muss.
Server härten für PHP: was wir konkret anpassen
Isolation je Website
Jede Website erhält einen eigenen Systembenutzer und einen eigenen PHP-FPM-Pool. Mit open_basedir und passenden Dateirechten sieht eine Anwendung nur ihr eigenes Verzeichnis. Mehr dazu unter open_basedir und Isolation pro Website.
Sichere PHP-Konfiguration
Wir setzen die php.ini und die Pool-Konfiguration so, dass Anwendungen sicherheitsrelevante Werte nicht selbst überschreiben können. Ein Auszug, wie er in einem FPM-Pool aussehen kann:
; Werte im FPM-Pool fest vorgeben, nicht per ini_set() änderbar
php_admin_flag[expose_php] = off
php_admin_flag[display_errors] = off
php_admin_flag[log_errors] = on
php_admin_value[open_basedir] = /var/www/kunde1/:/tmp/
php_admin_flag[session.upload_progress.enabled] = off
php_admin_flag[allow_url_include] = off
Welche Funktionen sich zusätzlich sperren lassen, hängt von der Anwendung ab. Hinweise dazu stehen unter php.ini sicher konfigurieren und disable_functions richtig einsetzen.
Dateirechte und Schreibzugriff
Der Webserver darf nur dort schreiben, wo es nötig ist, etwa im Upload-Ordner. In Upload-Verzeichnissen wird die Ausführung von PHP unterbunden. Programmcode gehört einem anderen Benutzer als dem, unter dem PHP läuft. Die Grundsätze erklärt Dateirechte auf dem Webserver.
Zugänge, Dienste und Protokolle
SSH nur mit Schlüssel, Admin-Oberflächen mit Zwei-Faktor-Anmeldung, nicht benötigte Dienste und Ports geschlossen. Logs werden so aufbewahrt und gesichert, dass sie nach einem Vorfall noch vorhanden sind. Backups prüfen wir auf Wiederherstellbarkeit.
Webserver und Sicherheits-Header
Auch der Webserver selbst gehört zur Härtung: Versionsangaben ausblenden, Verzeichnislisten abschalten, Zugriff auf Konfigurations-, Backup- und Versionsverwaltungsdateien sperren und Admin-Bereiche zusätzlich absichern, etwa per IP-Freigabe. Sicherheits-Header wie Content-Security-Policy oder HSTS schützen die Besucher Ihrer Website im Browser.
Was wir bei der Bestandsaufnahme häufig finden
Viele Schwachstellen wiederholen sich von Server zu Server. Typisch sind mehrere Websites unter einem gemeinsamen Benutzer, öffentlich erreichbare Datenbank-Oberflächen, alte Testinstallationen in Unterordnern, vergessene PHP-Versionen neben der aktuellen und Backups, die im Webverzeichnis liegen und herunterladbar sind. Häufig fehlt außerdem jede Protokollierung von Anmeldungen, oder Logs werden nach wenigen Tagen gelöscht.
Keiner dieser Punkte ist für sich spektakulär. Zusammen entscheiden sie aber darüber, ob ein Einbruch auf eine Website begrenzt bleibt oder den ganzen Server betrifft.
Wie hilft PHP SOS konkret?
- Bestandsaufnahme: Wir erfassen Betriebssystem, Webserver, PHP-Versionen, Websites, Benutzer, offene Dienste und bestehende Sicherungen.
- Maßnahmenplan: Sie erhalten eine priorisierte Liste mit Aufwand und möglichen Auswirkungen je Punkt. Sie entscheiden, was umgesetzt wird.
- Umsetzung in Schritten: Wir ändern Konfigurationen nach Absprache, testen die Websites nach jedem Schritt und halten fest, wie sich jede Änderung zurücknehmen lässt.
- Kontrolle: Nach der Umsetzung prüfen wir die Wirkung, etwa ob eine Website wirklich keine fremden Verzeichnisse mehr lesen kann.
- Übergabe: Sie erhalten eine Dokumentation des neuen Stands, die auch Ihr Hoster oder Ihre Agentur nachvollziehen kann.
Was Sie bekommen und was wir brauchen
Sie bekommen einen Härtungsbericht mit Ausgangslage, umgesetzten Maßnahmen, bewusst offen gelassenen Punkten samt Begründung und einer Empfehlung für die regelmäßige Kontrolle. Änderungen an Konfigurationsdateien sind nachvollziehbar dokumentiert.
Von Ihnen brauchen wir:
- Root- oder Administratorzugang zum Server, bei Panels zusätzlich den Panel-Zugang
- eine Liste der Anwendungen und ihrer Besonderheiten, zum Beispiel Uploads, Schnittstellen, Cronjobs
- einen technischen Ansprechpartner, der Funktionen nach Änderungen bestätigen kann
- Wartungsfenster für Neustarts
- ein aktuelles Backup oder den Auftrag, vorher eines anzulegen
Was wir nicht versprechen
Härtung macht einen Server nicht unangreifbar. Sie reduziert die Angriffsfläche und begrenzt Schäden, ersetzt aber weder Updates noch Überwachung. Eine nicht gepatchte PHP-Version bleibt verwundbar, egal wie gut der Rest eingestellt ist. Deshalb verbinden wir die Härtung mit dem PHP-Patch-Service und empfehlen danach eine laufende Betreuung über einen Security-Wartungsvertrag.
Bei Shared Hosting ist vieles nicht einstellbar, weil der Hoster die Konfiguration vorgibt. Dann zeigen wir, was im Rahmen Ihres Pakets möglich ist und wo ein Wechsel auf einen eigenen oder verwalteten Server sinnvoll wäre.
Häufige Fragen
Was bedeutet es, einen Server zu härten?
Härten heißt, alles abzuschalten oder einzuschränken, was für den Betrieb nicht nötig ist. Dazu gehören überflüssige Dienste, zu weite Rechte, offene Ports und unsichere Standardeinstellungen. Ziel ist, dass ein einzelner Fehler nicht gleich den ganzen Server öffnet.
Hätte Härtung PHP2Shell verhindert?
Nein, gegen eine Lücke in PHP selbst hilft nur der Patch. Härtung begrenzt aber, was ein Angreifer nach einem erfolgreichen Einbruch erreichen kann, etwa ob er auf andere Websites oder Zugangsdaten zugreifen kann.
Geht durch die Härtung meine Website kaputt?
Das Risiko besteht, wenn Einstellungen ohne Test geändert werden. Wir setzen Änderungen schrittweise um, prüfen die Funktionen nach jedem Schritt und halten fest, wie sich jede Änderung zurücknehmen lässt.
Wie oft sollte die Härtung überprüft werden?
Spätestens nach größeren Updates, einem Wechsel der PHP-Version oder neuen Anwendungen auf dem Server. Sinnvoll ist eine regelmäßige Kontrolle im Rahmen der laufenden Wartung.