Ist Packagist sicher? Sichern Sie Ihre PHP-Abhängigkeiten

Prüfen Sie den Status von CVEs. Mehr erfahren.

 CVE-Status (wird in einem neuen Tab geöffnet)

Die „php2shell“-Patches (CVE-2026-109618 und CVE-2026-109619) für PHP am Ende des Lebenszyklus (EOL) sind nun verfügbar. Da die Antworten des Vertriebs aufgrund der hohen Nachfrage derzeit langsamer als gewöhnlich ausfallen, ist der schnellste Weg zu den gepatchten Paketen der Online-Kauf von ELS für Runtimes (wird in einem neuen Tab geöffnet). Lesen Sie die FAQ zu den Patches

Das Abhängigkeitsmodell von PHP birgt versteckte Risiken

Packagist bildet die Grundlage für die meisten modernen PHP-Anwendungen.

Doch aufgrund seines offenen Modells ist es anfällig für Missbrauch.

Von kompromittierten Betreuern bis hin zu aufgegebenen Paketen – das Risiko steigt schnell an.

Ein Ökosystem. Anhaltende Belastung.

  • PHP-Git-Server wurde gehackt

    In den offiziellen Quellcode von PHP eingeschleuste Backdoor-Commits. Vor der Veröffentlichung entdeckt, aber eine Erinnerung daran, dass die Laufzeitumgebung selbst Teil der Angriffsfläche ist.  

  • Ausnutzung verlassener Pakete

    Weit verbreitete Bibliotheken, die nicht mehr gepflegt werden und später als Angriffsvektoren ausgenutzt werden.

PHP-Anwendungen überdauern die Pakete, von denen sie abhängen. 

Wie Risiken in Ihre PHP-Abhängigkeiten gelangen

Dieses Risiko ist Teil der Art und Weise, wie Composer Pakete auflöst und installiert.

Bei jeder Installation und jedem Update von Composer

Jede Composer-Installation greift auf ein öffentliches Register zurück.

Dieses Vertrauen kann ausgenutzt werden.

  • Entführte Pakete
  • Manipulierte Veröffentlichungen
  • Schädliche Skripte
  • Verwechslung von Abhängigkeiten

Alles, was nach dem Ende der Wartungsarbeiten geschieht

Jede Composer-Installation greift auf ein öffentliches Register zurück.

Dieses Vertrauen kann ausgenutzt werden.

  • Projekte werden aufgegeben
  • Sicherheitsupdates werden eingestellt
  • Es tauchen weiterhin neue CVEs auf

Deine Anwendung führt sie trotzdem weiter aus.

PHP-Sicherheitslösungen decken jeweils nur eine Ebene ab.
Das Risiko lauert in den Lücken. SecureChain lässt keine Lücken offen. 

SecureChain unterscheidet sich von anderen Lösungen, da es nicht nur beratend wirkt, sondern aktiv eingreift.

Und das hört nicht auf, wenn der Betreuer aufhört.

SecureChain

für Open-Source-Software

Sicherheit über den gesamten Lebenszyklus hinweg für PHP-Pakete

Vom Moment der Installation eines Pakets an – bis lange nachdem die Betreuer ihre Arbeit eingestellt haben.

Lebenszyklus eines Pakets
Adoptieren Entwickeln & Ausliefern Betreiben Nach dem Ende der Lebensdauer

Wird gesichert, bevor es in Ihren Stapel gelangt – kontinuierlich bis zum Ablaufdatum.

Alle Vorteile des Ökosystems. Kein blindes Vertrauen.

Auch lange nach Ablauf der Wartungsfrist abgedeckt

Sicherheit beim spontanen Besuch:

Für Ihre Entwickler ändert sich nichts

Richten Sie Ihren Repository-Manager – oder direkt Ihren Paketmanager – auf
SecureChain ein und arbeiten Sie weiter.

Dieselben Pakete, dieselben APIs, derselbe Arbeitsablauf.

Kompatibel mit:

JFrog Artifactory
JFrog Artifactory
Sonatype Nexus
Sonatype Nexus
GitHub-Pakete
GitHub-Pakete

Sichern Sie Ihre PHP-Pakete in jeder Phase

Fragen Sie uns, wie SecureChain Pakete bei der Installation überprüft, Sicherheitslücken kontinuierlich behebt und Ihre Abhängigkeiten auch lange nach Ablauf des Supports schützt.

Frage stellen

Die Geschwindigkeit und Flexibilität von Open Source –„
“ ohne das Risiko.

Mit SecureChain ist jedes Paket:

Überholt und geprüft

Jedes Paket wird in gesicherten, isolierten Umgebungen aus dem Quellcode neu kompiliert – keine übernommenen Binärdateien, keine undurchsichtigen Artefakte aus dem Upstream. Was Sie installieren, ist genau das, was kompiliert und durchgängig geprüft wurde.

Auf Malware geprüft

Jedes Paket wird auf bekannte Malware, verdächtige Codemuster und Risiken in der Lieferkette überprüft. Alles, was die Überprüfung nicht besteht, wird blockiert, bevor es Ihre Umgebung erreicht.

Laufend aktualisiert

Aktive Komponenten werden im Rahmen des SLA überwacht und bei Auftreten von CVEs gepatcht. Wenn die Wartung durch den Upstream-Entwickler endet, stellt der Endless Lifecycle Support (ELS) weiterhin Korrekturen bereit, solange Sie das Paket nutzen.

Vorschriftskonform und prüfungsbereit

Behalten Sie den genauen Überblick darüber, welche Software läuft und welche Patches installiert wurden. SLSA Level 3-Provenienz, SBOM und VEX bieten umfassende Sicherheit in der Lieferkette – genau die Nachweise, die Ihre Prüfer auf Abruf benötigen.

+ Berichterstattung auf Abruf

Sollte ein Paket, auf das Sie angewiesen sind, noch nicht im Katalog enthalten sein, nehmen wir es ohne zusätzliche Kosten in
auf: geprüft, gepatcht und unterstützt wie jedes andere auch.

Entwickelt für Teams, die das Risiko tragen:

Sicherheit und Entwicklung (
) DevSecOps

Komponenten werden bei der Installation geprüft, danach besteht kontinuierlicher Schutz. Keine Lücken während des gesamten Lebenszyklus.

Führungskräfte im Bereich Ingenieurwesen

Keine Änderungen am Arbeitsablauf. Keine erzwungenen Neuprogrammierungen, wenn Abhängigkeiten das Ende ihrer Lebensdauer erreichen.

Compliance-
- und GRC-Lösungen

Integrierte SBOMs, VEX, Herkunftsdaten und Patch-Abdeckung – von Grund auf auditfähig.

Warum TuxCare?


Innovatoren auf der ganzen Welt vertrauen

Häufig gestellte Fragen

In der Regel nicht direkt von Packagist. Packagist fungiert als Verzeichnis, das Composer auf externe Repositorys wie GitHub oder GitLab verweist, von denen der Code bei der Installation abgerufen wird. SecureChain ersetzt dieses Modell durch ein kontrolliertes Repository, in dem jedes PHP-Paket vor der Bereitstellung überprüft wird.

Die Installation von Composer kann ein größeres Risiko darstellen, als Teams erwarten. Composer kann in der Datei „composer.json“ definierte Skripte ausführen, und Abhängigkeiten können Code enthalten, der während der Installation oder beim Start der Anwendung ausgeführt wird. SecureChain überprüft den Quellcode auf solche Verhaltensweisen und blockiert bösartige PHP-Pakete, bevor sie in Ihre Umgebung gelangen.

Sie können sehr umfangreich sein. Frameworks wie Laravel und Symfony können weit über hundert transitive Pakete mit sich bringen. Viele davon werden nie manuell überprüft, beeinflussen aber dennoch die Anwendungssicherheit. SecureChain überprüft, scannt und patcht kontinuierlich jede Abhängigkeit im PHP-Paketbaum.

Sie müssen die Kontrolle darüber haben, was installiert wird und wie es sich verhält. SecureChain bietet eine verifizierte Quelle für Composer-Pakete, blockiert schädliche Pakete und behebt kontinuierlich Sicherheitslücken im gesamten Abhängigkeitsbaum.

Nein. SecureChain überwacht kontinuierlich Sicherheitslücken und stellt geprüfte Korrekturen für die von Ihnen verwendeten Versionen bereit, wodurch der Bedarf an manuellen Composer-Prüfungen sinkt.

Sicherheitspatches werden eingestellt, doch die Sicherheitslücken bleiben bestehen. SecureChain wird durch den „Endless Lifecycle Support“ für PHP-Pakete ergänzt, sodass Sie die Sicherheit gewährleisten können, ohne Frameworks sofort aktualisieren oder Code neu schreiben zu müssen.

Nein. SecureChain ist ein direkter Ersatz. Entwickler können weiterhin dieselben Composer-Befehle und Arbeitsabläufe verwenden.

Ihre PHP-Abhängigkeiten – bei der Installation vertrauenswürdig, auch nach Ablauf der Lebensdauer sicher

Überprüfen Sie jedes Paket bei der Übernahme, beheben Sie Sicherheitslücken, sobald sie auftreten, und stellen Sie sicher, dass Ihre Abhängigkeiten so lange abgesichert sind, wie sie in Ihrer Infrastruktur vorhanden sind.

Stellen Sie uns eine Frage Angebot anfordern