PHP-Update: so aktualisieren Sie Ihre PHP-Version sicher
Ein PHP-Update ist fällig, sobald Ihre Version keine Sicherheitsupdates mehr bekommt. Hier sehen Sie, welche Versionen noch unterstützt werden, wie Sie Ihre finden und wie Sie aktualisieren, ohne dass die Website ausfällt.
Welche PHP-Versionen noch Updates bekommen
Jede PHP-Version bekommt etwa zwei Jahre lang normale Updates und danach noch zwei Jahre Sicherheitsupdates. Danach gibt es nichts mehr, auch nicht bei kritischen Lücken. Die letzte Spalte zeigt, ab welcher Version die PHP2Shell-Lücken behoben sind.
| Version | Status | Zeitraum | PHP2Shell behoben |
|---|---|---|---|
| PHP 8.5 | Aktiv unterstützt | Sicherheitsupdates bis Ende 2029 | ab 8.5.12 |
| PHP 8.4 | Aktiv unterstützt | Sicherheitsupdates bis Ende 2028 | ab 8.4.27 |
| PHP 8.3 | Nur noch Sicherheitsupdates | Sicherheitsupdates bis zum 31. Dezember 2027 | ab 8.3.36 |
| PHP 8.2 | Nur noch Sicherheitsupdates | Sicherheitsupdates bis zum 31. Dezember 2026 | ab 8.2.35 |
| PHP 8.1 | Keine Updates mehr | Seit 31. Dezember 2025 ohne Updates | Kein Fix |
| PHP 8.0 | Keine Updates mehr | Seit November 2023 ohne Updates | Kein Fix |
| PHP 7.x | Keine Updates mehr | PHP 7.4 seit November 2022 ohne Updates | Kein Fix |
| PHP 5.x | Keine Updates mehr | PHP 5.6 seit Ende 2018 ohne Updates | Kein Fix |
Aktuelles Beispiel: PHP2Shell
Im Oktober 2026 wurden zwei kritische Lücken in PHP selbst bekannt (CVE-2026-109618 und CVE-2026-109619, CVSS 9.2 (CVSS v4.0)). Ein Angreifer kann damit Code auf Ihrem Server ausführen, ohne Login und unabhängig davon, ob Ihre Plugins aktuell sind. Wie leicht das gelingt, hängt vom Server-Setup ab. Erste Angriffe gab es schon am 17. Oktober, inzwischen laufen sie massenhaft. Behoben sind sie in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es keinen Fix.
Am 23. Oktober kam eine dritte Lücke dazu (CVE-2026-115560), die bei einer bestimmten Session-Konfiguration auch die gepatchten Versionen betrifft. Bis zur nächsten PHP-Version gilt deshalb: session.upload_progress.enabled = 0 in der Serverkonfiguration setzen, nicht in einer .user.ini.
Alle Details, betroffene Server-Setups und laufende Updates stehen in unserer PHP2Shell-Warnung. Sie ist auf Niederländisch; die Versionsnummern und Befehle sind aber auch ohne Sprachkenntnisse verständlich.
So finden Sie Ihre PHP-Version
- WordPress: Werkzeuge → Website-Zustand → Bericht → Server.
- Hoster: im Kundenbereich, meist unter „PHP-Einstellungen“ oder in Plesk bzw. cPanel unter „PHP-Version“.
- Per Kommandozeile:
php -vauf dem Server. Achtung: Die Website kann eine andere Version nutzen als die Kommandozeile. - Von außen: Unser Website-Sicherheitscheck zeigt die Version, wenn Ihr Server sie im Header mitschickt.
PHP-Version aktualisieren, ohne dass etwas ausfällt
- Backup machen von Dateien und Datenbank, und zwar außerhalb des Servers.
- Alles andere zuerst aktualisieren: WordPress, Plugins und Theme. Neue Versionen sind meist schon mit neuem PHP getestet.
- Code prüfen. Mit PHPCompatibility für PHP_CodeSniffer finden Sie Stellen, die mit der Zielversion nicht mehr laufen. Bei eigenen Themes und selbst geschriebenen Plugins ist das besonders wichtig.
- Auf einer Testkopie (Staging) umstellen. Viele Hoster bieten Staging mit einem Klick. Klicken Sie dort alle wichtigen Seiten, Formulare und den Checkout durch.
- Fehlerprotokoll lesen. Warnungen und Deprecated-Meldungen zeigen, was mit der nächsten Version nicht mehr funktioniert.
- Live umstellen, am besten zu einer ruhigen Zeit. Geht etwas schief, stellen Sie im Hoster-Menü auf die alte Version zurück und suchen den Fehler in Ruhe auf der Testkopie.
Von PHP 7.4 auf 8.x: was am häufigsten Probleme macht
Mit PHP 8.0 sind viele alte Funktionen weggefallen, und vieles ist strenger geworden. Diese Änderungen machen am häufigsten Ärger:
| Änderung | Was passiert |
|---|---|
| Entfernte Funktionen | each(), create_function() und die alten Magic-Quotes-Funktionen gibt es seit PHP 8.0 nicht mehr. Alte Plugins, die sie noch aufrufen, brechen mit einem Fatal Error ab. |
| Strengere Typen | Viele eingebaute Funktionen werfen bei falschen Argumenten jetzt einen TypeError statt einer Warnung. Was vorher still weiterlief, stoppt jetzt. |
| Vergleiche von Zahl und Text | 0 == "abc" ist seit PHP 8.0 false statt true. Das kann Login-Prüfungen und Filter verändern. |
| Dynamische Eigenschaften | Seit PHP 8.2 als veraltet markiert (Deprecated). Noch kein Fehler, aber das Fehlerprotokoll füllt sich, und in PHP 9 soll daraus ein echter Fehler werden. |
| Veraltete Schreibweisen | Etwa "${var}" in Strings (veraltet seit 8.2) oder Pflichtparameter nach optionalen Parametern (veraltet seit 8.0). |
Läuft ein Plugin nur mit PHP 7.4, ist das ein Warnsignal: Es wird vermutlich nicht mehr gepflegt. Suchen Sie einen Ersatz, statt beim alten PHP zu bleiben.
Die Alternative: gar kein PHP
Jedes PHP-Update ist Wartungsarbeit, die nur nötig ist, weil die Website auf dem Server Code ausführt. Eine statische Website besteht aus fertigen Dateien. Es gibt kein PHP, das veraltet, und keine Lücke wie PHP2Shell, die Sie betrifft.
Für die meisten Firmenwebsites reicht das völlig: ein paar Seiten, ein Kontaktformular, ein Blog. Wir bauen Ihre Website so neu, übernehmen Inhalte und Google-Rankings und kümmern uns danach um den Betrieb. Wie der Umstieg abläuft, lesen Sie auf unserer Seite zur WordPress-Alternative.
Einmalig, für die neue Website
- Kleine Website1 bis 3 Seiten
- 399 €
- Mittlere WebsiteMehr Seiten, Blog oder mehrere Leistungen
- 750 €
- Große Website oder ShopNach einem kurzen Gespräch
- Auf Anfrage
Danach pro Monat
- BasisHosting, Backups, Sicherheit und jeden Monat eine Stunde Änderungen
- 39 €
- SEOBasis plus laufende Arbeit an Ihrer Sichtbarkeit bei Google
- 179 €
- SEO ProBasis plus ein umfassendes SEO-Programm
- 399 €
Alle Preise zzgl. MwSt. Sie zahlen erst, wenn Sie den Entwurf gesehen haben und weitermachen möchten.
Häufige Fragen
Wie finde ich heraus, welche PHP-Version meine Website nutzt?
In WordPress unter Werkzeuge → Website-Zustand → Bericht → Server. Sonst im Kundenbereich Ihres Hosters, oft unter „PHP-Einstellungen“. Unser Website-Sicherheitscheck zeigt die Version auch, wenn Ihr Server sie mitschickt.
Kann beim PHP-Update etwas kaputtgehen?
Ja, vor allem beim Sprung von 7.4 auf 8.x. Alte Plugins oder selbst geschriebener Code lösen dann einen Fehler aus, und die Website zeigt nur noch eine weiße Seite. Deshalb erst auf einer Testkopie (Staging) aktualisieren und vorher ein Backup machen.
Auf welche PHP-Version sollte ich aktualisieren?
Auf die neueste Version, die Ihre Plugins und Ihr Theme unterstützen, mindestens aber PHP 8.3. PHP 8.2 bekommt nach dem 31. Dezember 2026 keine Sicherheitsupdates mehr.
Mein Hoster sagt, er habe PHP gepatcht, zeigt aber eine ältere Versionsnummer. Stimmt das?
Das kann stimmen. Linux-Distributionen wie Debian und Ubuntu bauen Sicherheitsfixes oft in ältere Versionsnummern ein (Backport). Fragen Sie Ihren Hoster, ob CVE-2026-109618 und CVE-2026-109619 behoben sind.
Bieten Sie PHP-Updates als Dienstleistung an?
Nein, wir aktualisieren keine bestehenden PHP-Server. Wir bauen Websites neu, die gar kein PHP mehr brauchen, und warten sie für 39 € im Monat.
Bleiben Sie bei WordPress? Dann lesen Sie, was gute WordPress-Wartung umfasst.
Nie wieder ein PHP-Update?
Schicken Sie uns die Adresse Ihrer Website. Sie bekommen einen kostenlosen Entwurf einer neuen Website ohne PHP.