Aktualisiert im Oktober 2026:
Dieser Beitrag erschien erstmals 2022. Ich habe ihn komplett überarbeitet, mit aktuellem Stand der PHP-Versionen und dem Anlass PHP2Shell.
Deine Website zeigt plötzlich Fehlermeldungen, ein Plugin streikt oder die Seite bleibt einfach weiß? Oft wird dann zuerst das Theme verdächtigt. Häufig steckt aber etwas ganz anderes dahinter: die PHP-Version auf dem Server. Und die ist nicht nur eine Frage der Technik, sondern auch der Sicherheit, wie der Oktober 2026 gerade eindrucksvoll zeigt.
Aktueller Anlass: PHP2Shell (Oktober 2026)
Am 21. Oktober 2026 hat das PHP-Team ein Notfall-Update veröffentlicht. Es schließt zwei kritische Sicherheitslücken in PHP selbst, bekannt unter dem Namen „PHP2Shell“. Sie sind mit 9.2 von 10 Punkten bewertet. Angreifer könnten darüber ohne Login Code auf dem Server ausführen. Betroffen sind praktisch alle WordPress-Websites, ganz egal, welches Theme oder welche Plugins Du nutzt.
Behoben sind die Lücken in den PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es keinen Fix mehr.
Ein WordPress-Update brauchst Du dafür übrigens nicht. Das Update passiert auf dem Server, also bei Deinem Hoster.
PHP was?
PHP ist eine Skriptsprache, mit der Websites seit 1995 dynamisch werden. Sie ist das Fundament von WordPress. Jede Seite, die jemand auf Deiner Website aufruft, baut der Server mit PHP zusammen: aus den Dateien Deines Themes wie header.php, single.php oder footer.php, aus Deinen Plugins und aus den Inhalten in der Datenbank. Selbst Dein Login läuft über eine PHP-Datei, die wp-login.php.
Warum die PHP-Version so wichtig ist
Sicherheit: Jede PHP-Version bekommt zwei Jahre lang Fehlerbehebungen und danach zwei weitere Jahre nur noch Sicherheitsupdates. Danach ist Schluss. Wird dann eine Lücke wie PHP2Shell entdeckt, bleibt sie in der alten Version für immer offen.
Kompatibilität: Die PHP-Versionen unterscheiden sich teils deutlich. WordPress, Dein Theme und alle Plugins müssen zur Version auf dem Server passen. Ist die Version zu alt, fehlen Sicherheitsupdates. Ist sie zu neu, kommen manche Plugins noch nicht mit und es hagelt Fehlermeldungen.
So findest Du Deine PHP-Version
Melde Dich in WordPress an und gehe zu Werkzeuge → Website-Zustand → Bericht. Klappe dort den Bereich Server auf. In der Zeile „PHP-Version“ steht, was auf Deinem Server läuft.
So liest Du die Nummer: Bei 8.3.36 ist „8.3“ der Zweig. Er entscheidet, ob Deine Version überhaupt noch unterstützt wird. Die „36“ ist der Patch-Stand. Er zeigt, ob die neuesten Sicherheitsfixes drin sind.
Kleiner Haken: Manche Hoster schließen Lücken, ohne die Versionsnummer zu ändern. Wenn Du unsicher bist, ob Dein Server schon abgesichert ist, frag einfach beim Support Deines Hosters nach.
Welche PHP-Version ist die richtige?
Stand Oktober 2026 sieht es so aus:
| Version | Sicherheitsupdates bis | Meine Empfehlung |
| 8.1 und älter | beendet (8.1 seit 31.12.2025) | Dringend umstellen |
| 8.2 | 31.12.2026 | Noch sicher, Umstieg jetzt planen |
| 8.3 | 31.12.2027 | Gute Wahl |
| 8.4 | 31.12.2028 | Beste Wahl für die meisten Websites |
| 8.5 | 31.12.2029 | Erst nach einem Test |
WordPress selbst empfiehlt PHP 8.3 oder neuer. Warum also nicht gleich die neueste Version 8.5? Weil noch nicht alle Plugins zuverlässig damit laufen. 8.3 und 8.4 bekommen noch lange Sicherheitsupdates und laufen mit den meisten Plugins stabil. Auf 8.5 wechselst Du am besten erst, wenn Du weißt, dass alle Deine Plugins mitziehen, idealerweise nach einem Test auf einer Kopie Deiner Website.
Wer ist eigentlich zuständig?
Dein Hoster installiert PHP auf dem Server und spielt die Sicherheitsupdates ein. Bei normalen Hosting-Paketen musst Du Dich darum nicht kümmern.
Du bzw. Deine Webdesignerin wählt im Hosting-Panel den passenden Zweig, also zum Beispiel 8.4. Außerdem gehört dazu, WordPress, Theme und Plugins aktuell zu halten und vor einer Umstellung die Kompatibilität zu prüfen.
Sicherheits-Plugins helfen bei vielem, aber nicht bei Lücken in PHP selbst. Die greifen nämlich, bevor WordPress überhaupt startet.
Nimm Mails Deines Hosters ernst, wenn er das Ende einer PHP-Version ankündigt. Manche Hoster bieten an, alte Versionen gegen Aufpreis weiterlaufen zu lassen („Extended Support“). Das verschafft Dir Zeit, ist aber nur eine Notlösung und kein Dauerzustand.
Schritt für Schritt: PHP-Version umstellen
- Backup machen. Sichere Dateien und Datenbank, bevor Du etwas änderst.
- Alles aktualisieren. Bring WordPress, Theme und Plugins auf den neuesten Stand.
- Kompatibilität prüfen. Schau auf der Plugin-Seite oder im Changelog, ob die neue PHP-Version unterstützt wird. Plugins, die seit Jahren kein Update bekommen haben, ersetzt Du besser durch eine Alternative.
- Wähle im Kundenbereich Deines Hosters die neue PHP-Version aus.
- Klick Dich durch Startseite, Formulare, Login und, falls vorhanden, den Shop. Gibt es Probleme, stell die Version zurück und such in Ruhe nach dem Plugin, das hakt.
Deine Checkliste
- PHP-Version im Website-Zustand nachgesehen
- Zweig 8.2 oder neuer, besser 8.3 oder 8.4
- Aktuelle Patch-Version installiert oder vom Hoster bestätigt, dass die Lücken geschlossen sind
- Aktuelles Backup vorhanden
- WordPress, Theme und Plugins aktuell
- Mails Deines Hosters im Blick
Keine Lust auf Server-Themen?
Verstehe ich gut. Genau dafür gibt es meine Wartung: Ich behalte PHP-Version, Updates und Backups Deiner Website im Blick und melde mich, wenn etwas zu tun ist. Und wenn es doch einmal brennt, hilft Dir mein Feuerwehr-Service schnell weiter.
Fazit
Die PHP-Version ist so etwas wie das Fundament Deiner Website: Man sieht es nicht, aber alles steht darauf. Schau einmal im Jahr nach, ob Deine Version noch unterstützt wird, und reagiere, wenn Dein Hoster sich meldet. Dann sind Lücken wie PHP2Shell kein Grund zur Panik, sondern nur ein Update, das Dein Hoster für Dich einspielt.
Welche PHP-Version läuft bei Dir? Schreib es gern in die Kommentare.
0 Kommentare