Zwei kritische Sicherheitslücken, dramatische Schlagzeilen und jede Menge Verunsicherung: Seit dem 21. Oktober ist PHP plötzlich in aller Munde. Doch was steckt dahinter? Wie gefährlich ist die Situation wirklich - und was sollten Sie tun, wenn Ihre Website oder Webanwendung noch mit einer alten PHP-Version läuft?
Vielleicht haben Sie es in den vergangenen Tagen bereits gelesen: Kritische Sicherheitslücken in PHP sorgen für Schlagzeilen.
Es ist von gefährdeten Websites, möglichen Hackerangriffen und dringenden Sicherheitsmaßnahmen die Rede. In der digitalen Welt macht sich Aufregung breit - und bei vielen Websitebetreibern dürfte die Frage aufkommen: Ist meine Website jetzt auch in Gefahr?
Die kurze Antwort: Das lässt sich nicht pauschal sagen. Die Sicherheitslücken sind ernst zu nehmen.
Aber nicht jede Website ist automatisch betroffen, und nicht jede Schlagzeile ist ein Grund, sofort in Panik zu verfallen.
Allerdings gibt es einen guten Anlass, sich einmal genauer mit der Technik hinter dem eigenen Internetauftritt zu beschäftigen. Denn PHP ist ein wichtiger Bestandteil unzähliger Websites, Content-Management-Systeme und Webanwendungen. Und wenn diese Technik in die Jahre kommt, kann aus einem zunächst unsichtbaren Problem schnell ein ernstes Sicherheitsrisiko werden.
Stellen Sie sich das Ganze wie ein Auto vor, das seit Jahren keine Inspektion mehr gesehen hat. Es springt noch an, bringt Sie von A nach B und macht auf den ersten Blick keine Probleme. Doch unter der Motorhaube sieht es möglicherweise ganz anders aus. Ersatzteile gibt es kaum noch, ein paar Schrauben fehlen oder sind verrostet und irgendwann wird selbst eine ganz normale Fahrt zum Risiko.
Ähnlich kann es Ihrer Website ergehen - ganz gleich, mit welchem System sie erstellt wurde.
Was ist PHP überhaupt?
PHP ist eine Programmiersprache, die im Hintergrund vieler Websites und Webanwendungen arbeitet. Sie sorgt beispielsweise dafür, dass Inhalte aus einer Datenbank abgerufen, Formulare verarbeitet, Benutzer angemeldet oder dynamische Seiten zusammengestellt werden.
Viele bekannte Content-Management-Systeme, kurz CMS, setzen auf PHP. Dazu gehören WordPress, TYPO3, Joomla und Drupal. Aber auch Onlineshops, Kundenportale, Buchungssysteme und individuell entwickelte Webanwendungen können auf PHP basieren.
Wenn Sie eine Website besuchen, sehen Sie normalerweise nichts davon. Sie sehen Texte, Bilder, Menüs und vielleicht ein Kontaktformular. Ob im Hintergrund eine aktuelle oder eine längst veraltete PHP-Version arbeitet, lässt sich am äußeren Erscheinungsbild kaum erkennen.
Trotzdem ist PHP ein wichtiger Teil des technischen Fundaments. Funktioniert es nicht richtig, kann das Auswirkungen auf die gesamte Anwendung haben.
Wie bei anderen Programmen werden auch PHP-Versionen regelmäßig weiterentwickelt. Fehler werden behoben, Sicherheitslücken geschlossen und neue Funktionen ergänzt. Doch jede Version hat nur eine begrenzte Lebensdauer. Irgendwann endet der offizielle Support. Dann gibt es keine regulären Sicherheitsupdates mehr.
Und genau an diesem Punkt wird es kritisch.
PHP-Sicherheitslücken: Panik im Internet - und was wirklich dahintersteckt
Seit dem 21. Oktober 2026 berichten Medien verstärkt über zwei kritische Sicherheitslücken im PHP-Kern. Die Schwachstellen können unter bestimmten Voraussetzungen dazu führen, dass Angreifer schädlichen Code auf einem betroffenen Server ausführen können.
Das ist keine Kleinigkeit. Solche Schwachstellen müssen ernst genommen und möglichst schnell durch die bereitgestellten Sicherheitsupdates behoben werden.
Gleichzeitig zeigt sich wieder einmal, wie schnell aus einer technischen Meldung eine große Welle der Verunsicherung entstehen kann. Wer die Schlagzeilen liest, könnte meinen, das Internet bestehe plötzlich nur noch aus gefährdeten Websites und lauernden Hackern.
Doch es lohnt sich, genauer hinzusehen.
Eine Sicherheitslücke bedeutet nicht automatisch, dass jede Website gehackt wurde. Sie bedeutet zunächst, dass ein Risiko besteht. Ob eine Anwendung konkret betroffen ist, hängt unter anderem von der eingesetzten PHP-Version, der Serverkonfiguration und dem installierten Sicherheitsstand ab.
Für unterstützte PHP-Versionen wurden korrigierte Versionen veröffentlicht. Wer eine solche Version einsetzt, sollte prüfen, ob das entsprechende Update installiert ist. Wer hingegen eine PHP-Version verwendet, deren Support bereits beendet wurde, hat ein größeres Problem: Für diese Version stellt das PHP-Projekt keine regulären Sicherheitsupdates mehr bereit.
Dabei spielt es keine Rolle, ob die betroffene Website mit WordPress, TYPO3 oder einem anderen System erstellt wurde. Entscheidend ist zunächst, welche PHP-Version tatsächlich auf dem Server läuft und ob die Anwendung von der konkreten Schwachstelle betroffen ist.
Und damit kommen wir zu einem Punkt, der in der ganzen Aufregung leicht untergeht.
Denn das eigentliche Problem beginnt nicht erst dann, wenn eine Sicherheitslücke in den Nachrichten auftaucht. Es beginnt häufig viel früher - nämlich dann, wenn eine Website oder Webanwendung über Jahre technisch nicht mehr richtig gepflegt wird.
Wenn die Technik in die Jahre kommt
Stellen Sie sich eine Website vor, die noch mit PHP 7.4 läuft.
Das klingt vielleicht nicht besonders dramatisch. Schließlich funktioniert die Seite ja noch. Besucher können die Inhalte aufrufen, Bilder werden angezeigt und das Kontaktformular scheint seinen Dienst zu tun.
Das Problem ist aber: Der offizielle Support für PHP 7.4 endete bereits am 28. November 2022.
Seitdem gibt es für diese Version keine regulären Sicherheitsupdates mehr. Werden neue Schwachstellen entdeckt, bleiben diese unter Umständen dauerhaft offen.
Das bedeutet nicht, dass jede Website mit PHP 7.4 zwangsläufig gehackt wird. Das Risiko ist jedoch deutlich problematischer, weil Sicherheitslücken nicht mehr regulär geschlossen werden. Und gerade bei Websites und Anwendungen, die über viele Jahre gewachsen sind, wird das Thema gerne übersehen.
Vielleicht wurde vor Jahren ein CMS installiert, anschließend regelmäßig mit neuen Inhalten gefüllt und immer wieder um Funktionen erweitert. Irgendwann kamen ein Onlineshop, ein Buchungssystem oder ein geschützter Kundenbereich hinzu. Die Website wurde größer, die Anforderungen stiegen - doch die technische Grundlage blieb weitgehend unverändert.
Das ist allerdings kein reines WordPress-Problem. Auch umfangreiche TYPO3-Installationen, Joomla- oder Drupal-Websites und individuell programmierte Anwendungen können mit der Zeit in einen solchen Zustand geraten.
Denn seien wir ehrlich: Solange die Website funktioniert, gibt es meist dringendere Dinge zu erledigen.
Neue Inhalte müssen online, Anfragen beantwortet und andere Aufgaben erledigt werden.
Die technische Grundlage läuft einfach mit - bis sie irgendwann zum Problem wird.
Man könnte auch sagen: Die Website fährt noch - nur beim TÜV war das Ding schon lange nicht mehr.
Warum wird PHP nicht einfach aktualisiert?
Jetzt könnte man meinen: Dann stellen Sie PHP eben auf eine aktuelle Version um, und schon ist alles erledigt.
Leider ist es nicht immer so einfach.
PHP ist zwar die technische Grundlage, doch darauf bauen weitere Komponenten auf. Bei einem CMS sind das beispielsweise das eigentliche System, Erweiterungen, Themes und individuelle Anpassungen. Bei einer eigens entwickelten Webanwendung können es selbst programmierte Module, Schnittstellen zu anderen Systemen oder spezielle Datenbankfunktionen sein.
All diese Bestandteile müssen mit der verwendeten PHP-Version zusammenarbeiten.
Wurde eine Anwendung über viele Jahre erweitert, kann sich einiges ansammeln. Eine Erweiterung stammt vielleicht noch aus einer Zeit, in der PHP 7.4 aktuell war. Ein anderes Modul wird nicht mehr weiterentwickelt. Und eine individuelle Programmierung wurde möglicherweise nie für neuere PHP-Versionen getestet.
Bei TYPO3 beispielsweise können neben der PHP-Version auch die konkrete TYPO3-Version und die eingesetzten Extensions eine Rolle spielen. Eine ältere Installation lässt sich unter Umständen nicht einfach auf die neueste PHP-Version umstellen, ohne zunächst das CMS und einzelne Erweiterungen zu aktualisieren oder anzupassen.
Ähnliches gilt für Joomla, Drupal, WordPress und andere Systeme. Und bei einer individuell programmierten Webanwendung hängt vieles davon ab, wie die Software entwickelt wurde und ob der ursprüngliche Code noch mit modernen PHP-Versionen kompatibel ist.
Stellen Sie sich das Ganze wie ein Orchester vor: Die einzelnen Instrumente funktionieren für sich genommen vielleicht noch wunderbar.
Doch wenn einige in C-Dur spielen und andere in D-Dur, klingt das Zusammenspiel plötzlich ziemlich schräg.
Genau das kann beim Umstieg auf eine neuere PHP-Version in einem veralteten System passieren.
Im schlimmsten Fall erscheint statt der gewohnten Website nur noch eine Fehlermeldung.
Vielleicht funktioniert auch der Warenkorb nicht mehr, eine Schnittstelle liefert keine Daten oder der geschützte Kundenbereich lässt sich nicht mehr aufrufen.
Das bedeutet nicht, dass eine PHP-Aktualisierung grundsätzlich schwierig oder gefährlich ist. Bei einer gut gepflegten Anwendung läuft sie häufig problemlos. Je älter und komplexer das System jedoch ist, desto wichtiger wird es, die Umstellung sorgfältig vorzubereiten.
Welche PHP-Version ist sicher?
Grundsätzlich gilt: Verwenden Sie eine PHP-Version, für die noch offizielle Sicherheitsupdates bereitgestellt werden.
Welche Versionen aktuell unterstützt werden, veröffentlicht das PHP-Projekt auf seiner offiziellen Website.
Dabei wird zwischen aktivem Support und Sicherheitsunterstützung unterschieden.
Während des aktiven Supports werden Fehler behoben und die Version weiter gepflegt. In der anschließenden Sicherheitsphase konzentrieren sich die Aktualisierungen auf sicherheitsrelevante Probleme. Ist auch diese Phase beendet, gibt es keine regulären Sicherheitsupdates mehr.
Welche Version für Ihre Website oder Anwendung infrage kommt, hängt allerdings nicht nur davon ab, welche PHP-Version gerade die neueste ist. Auch das verwendete CMS, dessen Version, Erweiterungen und individuelle Programmierungen müssen damit kompatibel sein.
Bei TYPO3, WordPress, Joomla und Drupal sollten Sie deshalb nicht nur auf PHP achten, sondern auch prüfen, welche PHP-Version Ihre konkrete Version unterstützt und wie lange diese Version noch gepflegt wird. Bei einer individuell entwickelten Anwendung müssen gegebenenfalls die Entwickler oder die technische Betreuung prüfen, ob der vorhandene Code mit einer aktuellen PHP-Version funktioniert.
Wichtig ist also nicht einfach nur, möglichst neues PHP zu verwenden.
Entscheidend ist eine unterstützte PHP-Version, mit der Ihre gesamte Anwendung sicher und zuverlässig betrieben werden kann.
Die offiziellen Informationen finden Sie hier:
- PHP: Unterstützte und nicht mehr unterstützte Versionen
- TYPO3: PHP-Kompatibilität und Supportzeiträume
- WordPress: Technische Voraussetzungen
- Joomla: Systemanforderungen
- Drupal: PHP-Anforderungen
Ein weiterer Punkt wird häufig übersehen: Nur weil Ihr Hosting-Anbieter eine neue PHP-Version anbietet, bedeutet das nicht automatisch, dass Ihre Website bereits damit läuft. Die tatsächlich verwendete Version muss gegebenenfalls im Hosting-Kundenbereich umgestellt werden.
Warum alte PHP-Versionen ein Sicherheitsproblem sind
Veraltete Software ist ein beliebtes Angriffsziel.
Das gilt nicht nur für PHP, sondern auch für CMS-Systeme, Erweiterungen, Bibliotheken und andere Bestandteile einer Webanwendung.
Sobald eine Sicherheitslücke bekannt wird, können Angreifer gezielt nach Anwendungen suchen, die noch verwundbare Versionen einsetzen. Je nach Schwachstelle und technischer Umgebung kann das unterschiedliche Folgen haben - von unerwünschten Änderungen an der Website bis hin zum Zugriff auf sensible Daten oder zur Ausführung schädlichen Codes.
Dabei ist wichtig, zwischen einer Schwachstelle in PHP selbst und einer Sicherheitslücke in einer einzelnen Anwendungskomponente zu unterscheiden.
Eine Lücke im PHP-Kern kann grundsätzlich verschiedene PHP-Anwendungen betreffen, sofern die entsprechenden Voraussetzungen erfüllt sind. Eine Schwachstelle in einer bestimmten CMS-Erweiterung kann dagegen nur Anwendungen betreffen, die genau diese Erweiterung in einer verwundbaren Version einsetzen.
Deshalb reicht es nicht aus, nur darauf zu achten, ob die Website optisch noch gut aussieht und alle Seiten erreichbar sind. Auch die Technik im Hintergrund muss gepflegt werden. Eine Website kann für Besucher völlig normal wirken und trotzdem mit veralteten Komponenten arbeiten. Äußerlich ist das Problem dann nicht zu erkennen.
Gerade deshalb ist es wichtig, zwischen zwei Dingen zu unterscheiden: dem akuten Sicherheitsproblem, über das gerade berichtet wird, und dem grundsätzlichen Zustand Ihrer Anwendung.
Die aktuellen PHP-Sicherheitslücken sind ein konkreter Anlass, den eigenen technischen Stand zu überprüfen. Eine veraltete PHP-Version ist allerdings auch unabhängig davon ein Risiko. Sie sollten also nicht erst aktiv werden, wenn das Thema wieder in den Schlagzeilen auftaucht.
Was sollten Sie jetzt tun?
Zunächst sollten Sie herausfinden, welche PHP-Version Ihr Hosting-Anbieter für Ihre Website oder Webanwendung verwendet. Häufig lässt sich diese Information im Kundenbereich des Hosters finden. Bei manchen Systemen ist sie auch in der Administrationsoberfläche sichtbar.
Anschließend sollten Sie prüfen, ob für Ihre PHP-Version ein Sicherheitsupdate bereitsteht und ob es bereits installiert wurde. Gerade bei den aktuell diskutierten Sicherheitslücken ist das ein wichtiger erster Schritt.
Doch damit ist es nicht getan. Auch das CMS, die verwendeten Erweiterungen und individuelle Programmierungen sollten auf einem unterstützten und gepflegten Stand sein.
Vor einer Umstellung empfiehlt sich ein vollständiges Backup. Bei umfangreicheren Websites und Webanwendungen ist es außerdem sinnvoll, die Aktualisierung zunächst in einer Testumgebung durchzuführen. So lassen sich mögliche Probleme erkennen, bevor sie Ihre Besucher oder Mitarbeiter zu Gesicht bekommen.
Wenn alles kompatibel ist, kann die PHP-Version aktualisiert werden. Anschließend sollten Sie die Anwendung gründlich testen: Funktionieren Formulare, Buchungen, Suchfunktionen, Schnittstellen und andere wichtige Bereiche weiterhin wie vorgesehen?
Bei einem Onlineshop gehören dazu beispielsweise der Warenkorb, die Bestellabwicklung und die Zahlungsanbindung. Bei einem Kundenportal sollten Anmeldungen, Berechtigungen und geschützte Inhalte geprüft werden. Bei einem CMS ist wichtig, dass sowohl die öffentliche Website als auch die Administrationsoberfläche zuverlässig funktionieren.
Sollte Ihre Anwendung nach der Umstellung Fehler anzeigen, ist es wichtig, die Ursache gezielt zu ermitteln.
Einfach wieder auf eine alte, nicht mehr unterstützte PHP-Version zurückzustellen, ist keine nachhaltige Lösung. Damit wird das eigentliche Problem lediglich verschoben - und das Sicherheitsrisiko bleibt bestehen.
Manchmal genügt es, eine einzelne Erweiterung zu aktualisieren oder auszutauschen. In anderen Fällen sind umfangreichere Anpassungen notwendig.
Und wenn eine Anwendung über viele Jahre gewachsen ist und aus zahlreichen veralteten Komponenten besteht, kann auch ein grundlegender technischer Umbau oder ein kompletter Neuaufbau die sinnvollere Lösung sein.
Manchmal ist ein Neustart die bessere Lösung
Das klingt zunächst nach viel Arbeit. Doch wenn eine Website oder Webanwendung technisch stark veraltet ist, kann es auf Dauer aufwendiger und teurer werden, immer wieder einzelne Probleme zu beheben.
Ein Neuaufbau bietet die Möglichkeit, die Anwendung von Grund auf sauber zu strukturieren, nicht mehr benötigte Erweiterungen auszusortieren und nur die Funktionen einzubauen, die tatsächlich gebraucht werden.
Bei einem CMS kann es sinnvoll sein, auf eine aktuelle, langfristig unterstützte Version umzusteigen und veraltete Erweiterungen durch gepflegte Alternativen zu ersetzen. Bei einer individuell entwickelten Webanwendung kann eine Überarbeitung des Codes notwendig sein, damit zukünftige PHP-Updates nicht jedes Mal zu einem größeren Projekt werden.
Gleichzeitig lässt sich die technische Grundlage so gestalten, dass zukünftige Updates einfacher und planbarer werden. Eine übersichtliche Installation mit gut gepflegten Komponenten ist langfristig meist leichter zu warten als ein über Jahre gewachsenes System, bei dem niemand mehr genau weiß, welche Funktion von welchem Modul abhängt.
Natürlich muss nicht jede ältere Website komplett neu erstellt werden. Entscheidend ist, wie umfangreich die vorhandenen Probleme sind und ob sich die bestehende Installation zuverlässig modernisieren lässt. Eine gründliche Bestandsaufnahme hilft dabei, die richtige Entscheidung zu treffen.
Manchmal reicht eine Wartung. Manchmal ist eine technische Überarbeitung notwendig. Und manchmal ist es tatsächlich vernünftiger, nicht länger an der alten Lösung festzuhalten.
Das ist ein wenig wie bei einem alten Auto: Irgendwann stellt sich nicht mehr nur die Frage, welches Ersatzteil ausgetauscht werden muss. Sondern ob sich die nächste Reparatur überhaupt noch lohnt.
Keine Panik - aber bitte auch kein Wegschauen
Die aktuellen Schlagzeilen rund um PHP zeigen, wie wichtig die technische Sicherheit einer Website oder Webanwendung ist. Kritische Sicherheitslücken sollten ernst genommen und bereitgestellte Updates zeitnah installiert werden.
Gleichzeitig hilft es wenig, sich von jeder dramatischen Meldung verrückt machen zu lassen. Entscheidend ist, die eigene Situation zu prüfen und gezielt zu handeln.
Wenn Ihre Anwendung mit einer unterstützten PHP-Version läuft und die erforderlichen Sicherheitsupdates installiert sind, ist das eine gute Ausgangslage. Eine absolute Sicherheitsgarantie ist das allerdings nicht: Auch das CMS, Erweiterungen, individuelle Programmierungen, die Serverkonfiguration und Zugangsdaten spielen eine wichtige Rolle.
Läuft Ihre Website hingegen noch mit einer PHP-Version, deren Support seit Jahren beendet ist, sollten Sie das Thema nicht länger aufschieben.
Und das betrifft eben nicht nur WordPress. Auch TYPO3, Joomla, Drupal, Onlineshops, Kundenportale und individuell entwickelte Webanwendungen benötigen eine gepflegte technische Grundlage. Welches System zum Einsatz kommt, ändert nichts an der grundsätzlichen Notwendigkeit, Sicherheitsupdates einzuspielen und veraltete Komponenten rechtzeitig zu ersetzen.
Denn das Problem beginnt nicht erst dann, wenn Hacker eine Sicherheitslücke ausnutzen oder die Medien darüber berichten. Es beginnt häufig viel früher - wenn Updates ausbleiben, Erweiterungen veralten und die technische Grundlage langsam aus dem Blick gerät.
Eine Website ist kein Gegenstand, den man einmal erstellt und anschließend für immer sich selbst überlassen kann. Sie benötigt regelmäßige Pflege - bei den Inhalten genauso wie bei der Technik.
Dazu gehören ein gepflegtes CMS, aktuelle Erweiterungen, eine unterstützte PHP-Version und eine technische Umgebung, die sich zuverlässig aktualisieren lässt.
Und denken Sie an das Auto vom Anfang: Nur weil es noch fährt, bedeutet das nicht automatisch, dass es auch sicher unterwegs ist.
Prüfen Sie deshalb regelmäßig, auf welcher PHP-Version Ihre Website oder Webanwendung läuft. Denn im besten Fall bemerken Sie ein technisches Problem, bevor Ihre Besucher es tun - und lange bevor die nächste große Schlagzeile für Aufregung sorgt.
Haben Sie weitere Fragen zur Datensicherheit oder Digitalisierung?
Hier klicken und starten!
Ansprechpartner: Robert Krause, Transformationscoach