Ist PHP sicher? Die Sprache und die Version, die du nutzt

Das PHP-Projekt unterstützt jede PHP-Version vier Jahre lang, danach behebt es keine Sicherheitsprobleme mehr in ihr. Ob PHP für deine Website sicher ist, hängt also weniger von der Sprache ab als davon, welche Version deine Website nutzt und ob diese gepatcht ist. Stand dieses Ratgebers: 23. Oktober 2026.

Ist PHP an sich sicher?

Das PHP-Handbuch ist da offen. Sein Kapitel zur Sicherheit sagt, PHP könne auf einem Server auf Dateien zugreifen, Befehle ausführen und Netzwerkverbindungen öffnen, und genau diese Fähigkeiten machten alles, was auf einem Webserver läuft, „insecure by default“, also von Haus aus unsicher. Mit den richtigen Einstellungen und sauberem Code biete PHP aber die Verbindung von Freiheit und Sicherheit, die man brauche.

Die Sprache ist also ein Werkzeug, und wie sicher eine Website ist, hängt davon ab, wie sie eingerichtet und gepflegt wird. Laut Handbuch liegt die Sicherheit einer PHP-Umgebung weitgehend beim PHP-Entwickler. Bei einer privaten Website teilen sich diese Arbeit meist du, dein Hoster und die Macher deiner Website-Software, etwa WordPress. Was PHP überhaupt tut, erklärt Was ist PHP?

Was ist der Unterschied zwischen der Sprache und meiner Version?

PHP gibt es in Versionszweigen wie 8.3 oder 8.4, und jeder Zweig bekommt kleine nummerierte Ausgaben mit Korrekturen, etwa 8.3.36. Die sinnvolle Frage ist also: Wird mein Zweig noch unterstützt, und habe ich seine neueste Ausgabe?

Laut der Seite des PHP-Projekts zu unterstützten Versionen wird jeder Zweig zwei Jahre ab der ersten stabilen Version voll unterstützt und bekommt danach zwei weitere Jahre lang nur Korrekturen für kritische Sicherheitsprobleme. Nach diesen vier Jahren endet der Support. Stand 23. Oktober 2026 nennt die Seite 8.2, 8.3, 8.4 und 8.5 als unterstützt, wobei die Sicherheitsunterstützung für 8.2 am 31. Dezember 2026 endet. Die ganze Tabelle steht auf der Seite zu unterstützten Versionen auf php.net.

Läuft deine Website mit einem älteren Zweig, zeigt Noch PHP 8.1 oder älter?, welche Möglichkeiten du hast.

Warum sind Sicherheitsupdates so wichtig?

Weil eine bekannte und behobene Lücke auf jedem Server offen bleibt, der die Korrektur nicht eingespielt hat. Die PHP-Seite zu unterstützten Versionen sagt über Versionen nach dem Supportende, ihre Nutzer sollten so bald wie möglich aktualisieren, weil sie ungeschlossenen Sicherheitslücken ausgesetzt sein können.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) sagt dasselbe für Software allgemein. Auf seinen Seiten für Verbraucher rät es: „Installieren Sie alle Updates sofort oder zeitnah nach ihrer Veröffentlichung“, und schreibt, stetige Updates verringerten das Risiko, Opfer eines Angriffs zu werden.

Bei einer Website betrifft das Update meist zwei Ebenen: PHP auf dem Server, das oft dein Hoster verwaltet, und die Website-Software mit ihren Plugins darüber. Das BSI betont in seiner Warnung zu PHP2Shell, dass die Lücken in der PHP-Laufzeitumgebung selbst liegen: Ein Update der Anwendungen reiche nicht aus, auch die PHP-Laufzeitumgebung müsse gepatcht werden. Umgekehrt ersetzt ein PHP-Update keine Updates von WordPress und Plugins.

Was zeigt PHP2Shell dazu?

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Lücken geschlossen, die laut der US-Behörde CISA als „php2shell“ bekannt sind, und zwar mit neuen Ausgaben nur für die vier unterstützten Zweige. Laut Hinweis bekommen PHP 8.1 und älter keine Updates mehr vom PHP-Projekt. Wer sie nutzt, ist auf eine zurückportierte Korrektur eines Anbieters angewiesen oder wechselt auf einen unterstützten Zweig. Unser Überblick Sicherheitslücke in PHP (PHP2Shell) einfach erklärt beschreibt die Lücken ausführlich.

Woran sehe ich, ob meine Website eine unterstützte, gepatchte Version nutzt?

Finde die genaue PHP-Version deiner Website heraus und vergleich sie mit den unterstützten Zweigen und der neuesten korrigierten Ausgabe des jeweiligen Zweigs. Findest du die Zahl nicht selbst, kann dein Hoster sie dir nennen.

PHP-Version prüfen zeigt, wo du in WordPress und im Kundenmenü des Hosters nachsiehst und was du den Hoster fragst. Musst du die Version wechseln, erklärt PHP-Version in WordPress aktualisieren die Schritte, mit Backup vorab.

Weitere Fragen

Ist PHP 2026 noch sicher nutzbar?

Ja, mit einer unterstützten und gepatchten Version. Stand 23. Oktober 2026 nennt die PHP-Seite zu unterstützten Versionen 8.2, 8.3, 8.4 und 8.5. Ältere Zweige haben ihr Supportende erreicht, und laut derselben Seite können Nutzer solcher Versionen ungeschlossenen Sicherheitslücken ausgesetzt sein.

Ist PHP 8.2 sicher?

Laut PHP-Projekt endet die Sicherheitsunterstützung für 8.2 am 31. Dezember 2026. Noch PHP 8.1 oder älter? erklärt, was du für 8.2 einplanen solltest.

Gefährdet der Besuch einer PHP-Website meinen Computer?

PHP läuft auf dem Webserver, nicht auf deinem Gerät, und der PHP2Shell-Hinweis betrifft Installationen, die Webanfragen verarbeiten. Die Korrektur ist Sache der Betreiber. Die Seite der Besucher beschreibt Gehackte Webseite besucht?

Ist meine Website sicher, wenn PHP aktuell ist?

Nicht allein dadurch. Laut PHP-Handbuch hängt die Sicherheit einer PHP-Umgebung auch von ihrer Einrichtung und davon ab, wie der Code geschrieben ist. Website-Software, Themes und Plugins brauchen eigene Updates, und für den Server darum herum ist dein Hoster zuständig.

Wer aktualisiert PHP bei einer gehosteten Website?

Oft dein Hoster, manchmal du selbst über das Kundenmenü. Weißt du nicht, wer bei dir zuständig ist, frag den Hoster, welche Version deine Website nutzt und ob es die korrigierte Ausgabe ist.

Quellen

• Supported versions, PHP
• Security: introduction, PHP Manual
• Security advisory: Critical remote code execution vulnerabilities, update now, PHP (21 Oct 2026)
• PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit, Version 1.2, BSI (22.10.2026)
• Updates, Browser & Open Source Software, BSI
• Critical vulnerabilities in PHP require immediate patching, CISA