SAPI erklärt: Wie PHP mit dem Webserver spricht

Kurz gesagt: SAPI steht für Server Application Programming Interface, die Schnittstelle, über die PHP mit seiner Umgebung spricht. Typische SAPIs sind fpm-fcgi (PHP-FPM), apache2handler (mod_php), cgi-fcgi (php-cgi), litespeed und cli für die Kommandozeile. Die SAPI bestimmt, wie Anfragen ankommen, welche php.ini gilt und welche Prozesse nach einem Update neu starten müssen. Bei PHP2Shell hängt sogar die Risikoeinstufung davon ab.

Was ist eine SAPI?

PHP selbst ist ein Programm, das Code ausführt. Damit es Webseiten ausliefern kann, braucht es eine Verbindung zu einem Webserver, zur Kommandozeile oder zu einer anderen Anwendung. Diese Verbindung ist die SAPI. Sie nimmt Anfragedaten entgegen, reicht sie an die Zend Engine weiter und gibt die Ausgabe zurück.

Man kann sich die SAPI wie einen Stecker vorstellen: Der Motor bleibt gleich, aber je nach Stecker passt er an Apache, an Nginx über FastCGI, an LiteSpeed oder an das Terminal. Jede Variante hat eigene Stärken, eigene Konfigurationswege und eigene Fallstricke.

Die SAPI entscheidet vor allem über drei Dinge, die im Alltag zählen:

1. Prozessmodell: Läuft PHP im Webserver, als eigener Dienst mit dauerhaften Workern oder als kurzlebiger Prozess je Aufruf?
2. Konfiguration: Welche php.ini wird gelesen, und wo dürfen zusätzliche Einstellungen stehen, etwa in .htaccess, in einer .user.ini oder im FPM-Pool?
3. Rechte und Trennung: Unter welchem Benutzer läuft der Code, und lassen sich mehrere Websites voneinander trennen?

In Hosting-Panels tauchen SAPIs unter anderen Namen auf. Plesk spricht zum Beispiel von PHP-Handlern wie „FPM application“, „FastCGI application“ oder „Apache module“. Gemeint sind dieselben Betriebsarten, die diese Seite beschreibt. Im Zweifel hilft die Prüfdatei weiter unten, die den tatsächlichen SAPI-Namen anzeigt.

Welche PHP-SAPIs gibt es?

Das PHP-Handbuch nennt für php_sapi_name() unter anderem diese Rückgabewerte: apache, apache2handler, cgi (bis PHP 5.3), cgi-fcgi, cli, cli-server, embed, fpm-fcgi, litespeed und phpdbg. Die Liste ist ausdrücklich nicht abschliessend.

FrankenPHP ist ein moderner Anwendungsserver, der PHP direkt einbettet. Er ist ebenfalls von PHP2Shell betroffen und hat eigene Update-Wege; Details unter FrankenPHP absichern.

So prüfen Sie die SAPI Ihres Servers

Die SAPI einer Website erfahren Sie nur über den Webserver, nicht über die Kommandozeile. Eine kleine Prüfdatei genügt:

<?php
// sapi-check.php: nach dem Aufruf sofort wieder löschen
header('Content-Type: text/plain');
echo PHP_SAPI, "\n", PHP_VERSION, "\n", php_ini_loaded_file(), "\n";

Auf der Kommandozeile lassen sich die installierten Varianten und Dienste lesend erfassen:

php -r 'echo PHP_SAPI, PHP_EOL;'          # immer "cli"
ls /usr/sbin/php-fpm* 2>/dev/null           # installierte FPM-Versionen
systemctl list-units --type=service | grep -i -E "php|lsws|apache2|httpd"
apachectl -M 2>/dev/null | grep -i php     # mod_php geladen?

Warum jede SAPI ihre eigene php.ini haben kann

Laut PHP-Handbuch sucht PHP zuerst nach einer Datei php-SAPI.ini, also etwa php-cli.ini, und erst danach nach php.ini. Distributionen wie Debian und Ubuntu gehen weiter und legen je SAPI eigene Ordner an, zum Beispiel /etc/php/8.3/fpm/ und /etc/php/8.3/cli/.

Auch der Zeitpunkt unterscheidet sich: Bei Servermodulen liest PHP die Konfiguration laut Handbuch nur einmal beim Start des Webservers, bei CGI und CLI bei jedem Aufruf. Wer eine Einstellung ändert, muss deshalb wissen, welche SAPI betroffen ist. Mehr dazu unter Die php.ini erklärt.

SAPI und Sicherheit: was PHP2Shell gezeigt hat

Von PHP2Shell sind laut den Meldungen PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed betroffen. Das PHP-Team stuft das Risiko bei mod_php am höchsten ein, weil dort ein Exploit gezeigt wurde, bevor Anwendungscode läuft. Die Gründe stehen unter Warum mod_php das höchste Risiko trägt.

Für den Betrieb bedeutet die SAPI vor allem eines: Sie bestimmt, was nach dem Update neu starten muss.

1. PHP-FPM: alle Pools und Worker jeder installierten Version
2. mod_php: der komplette Apache-Dienst, nicht nur ein Reload
3. php-cgi und FastCGI-Setups: alle verbliebenen PHP-Prozesse
4. LiteSpeed: die PHP-Prozesse des Webservers laut Anleitung des Anbieters
5. CLI: keine Dauerprozesse, aber Paket mit aktualisieren, damit Prüfungen stimmen

Mittelfristig lohnt der Wechsel weg von mod_php. Das PHP-Handbuch empfiehlt für neue Apache-Installationen PHP-FPM mit mod_proxy_fcgi. Die Grundlagen beschreibt PHP-FPM erklärt.

Wie hilft PHP SOS konkret?

• SAPIs erfassen: Wir ermitteln für jeden Server, welche Betriebsarten und PHP-Versionen tatsächlich aktiv sind.
• Richtig neu starten: Über den PHP-Patch-Service aktualisieren wir jede SAPI und belegen den Neustart aller Prozesse.
• Konfiguration zuordnen: Wir zeigen, welche php.ini und welche Pool-Einstellungen für Ihre Website gelten.
• Umstieg planen: Wo mod_php oder php-cgi läuft, planen und testen wir den Wechsel auf PHP-FPM.

Häufige Fragen

Quellen

• PHP-Handbuch: php_sapi_name()
• PHP-Handbuch: Konfigurationsdatei
• PHP-Handbuch: Apache 2 unter Unix
• php.net: Sicherheitsmeldungen