Noch PHP 8.1 oder älter? Deine Möglichkeiten nach PHP2Shell

WindowsMacAktualisiert

PHP 8.1 hat laut der Liste nicht mehr unterstützter Versionszweige des PHP-Projekts am 31. Dezember 2025 sein Supportende erreicht, die letzte Version war 8.1.34. Als das Projekt am 21. Oktober 2026 zwei kritische Lücken schloss, erschien für 8.1 und ältere Versionen keine neue Version. Stand dieses Ratgebers: 23. Oktober 2026.

Kurze Antwort

Stand 23. Oktober 2026 bekommen nur PHP 8.2, 8.3, 8.4 und 8.5 Sicherheitskorrekturen, und für 8.2 enden sie am 31. Dezember 2026. Läuft deine Website mit 8.1 oder älter, frag deinen Hoster nach einer zurückportierten Korrektur, aktualisiere CMS und Plugins und wechsle dann auf eine unterstützte Version. Dazu rät auch das BSI.

Welche PHP-Versionen bekommen noch Sicherheitskorrekturen?

Die Seite des PHP-Projekts zu unterstützten Versionen nennt vier Versionszweige. Jeder wird zwei Jahre ab der ersten stabilen Version voll unterstützt und danach zwei weitere Jahre nur noch bei kritischen Sicherheitsproblemen. Nach diesen vier Jahren erreicht der Zweig sein Supportende und wird nicht mehr unterstützt.

VersionszweigVolle Unterstützung bisSicherheitskorrekturen bis
8.231.12.202431.12.2026
8.331.12.202531.12.2027
8.431.12.202631.12.2028
8.531.12.202731.12.2029

Wann endete der Support für PHP 8.1, 8.0 und 7.4?

Die Seite des PHP-Projekts zu nicht mehr unterstützten Versionszweigen nennt diese Daten und letzten Versionen:

  • PHP 8.1: 31. Dezember 2025, letzte Version 8.1.34
  • PHP 8.0: 26. November 2023, letzte Version 8.0.30
  • PHP 7.4: 28. November 2022, letzte Version 7.4.33

Was das Supportende bedeutet, sagt die Seite zu unterstützten Versionen deutlich: Wer eine solche Version nutzt, sollte so bald wie möglich aktualisieren, weil sie ungeschlossene Sicherheitslücken haben kann.

Was sagen PHP-Hinweis und BSI zu alten Versionen?

Der PHP-Hinweis vom 21. Oktober sagt, PHP 8.1 und älter bekämen vom PHP-Projekt keine Updates mehr. Manche Distributionen und LTS-Anbieter böten zurückportierte Korrekturen an; man solle sich an seinen Anbieter wenden oder auf eine unterstützte Version wechseln. LTS steht für Langzeitunterstützung. Eine zurückportierte Korrektur ist die Sicherheitsreparatur, übertragen auf eine ältere Version.

Wegen der Schwere der Lücken hat das PHP-Sicherheitsteam laut Hinweis minimale Korrekturen im Quellcode für 7.4, 8.0 und 8.1 veröffentlicht, gedacht für Leute, die PHP selbst kompilieren oder keinen LTS-Anbieter haben. Eine neue offizielle Version für 7.4, 8.0 oder 8.1 nennt der Hinweis nicht.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schreibt in seinem IT-Sicherheitshinweis (Version 1.2 vom 22.10.2026), alle PHP-Versionen vor 8.2 hätten ihr Supportende bereits erreicht und auch 8.2 werde nur noch bis Jahresende mit Sicherheitsupdates versorgt. Betreiber von PHP-Anwendungen auf diesen Versionen sollten deshalb grundsätzlich auf eine noch unterstützte Version migrieren. Das BSI schreibt außerdem, laut gängigen Suchmaschinen sei die Zahl verwundbarer Systeme weltweit noch sehr hoch, teils weil Systeme seit Langem ihr Supportende erreicht haben und gar nicht mit Updates versorgt werden können.

Die US-Behörde CISA wird noch deutlicher: Wer nicht sofort aktualisieren kann oder weiter PHP 8.1 oder ältere, nicht unterstützte Versionen nutzt, solle PHP-Systeme vom Netz nehmen, bis sie gepatcht oder aktualisiert sind.

Die korrigierten Versionen der unterstützten Zweige sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP-Version prüfen zeigt, wie du deine findest und vergleichst.

Ist PHP 8.2 sicher, und wann endet es?

PHP 8.2.35 ist die korrigierte Version für den Zweig 8.2. Die Versionsnotiz auf php.net warnt zugleich: PHP 8.2 erreicht sein Supportende am 31. Dezember 2026 und bekommt danach keine Sicherheitskorrekturen mehr. Plane also den Wechsel auf eine unterstützte Version.

Eine Website mit 8.2.35 hat damit die Korrektur für die beiden Lücken vom 21. Oktober, aber nur noch rund zehn Wochen Sicherheitskorrekturen vom Projekt. Wechselst du gerade von 8.1, sparst du dir mit 8.3 oder neuer den zweiten Umzug. Die deutsche WordPress-Seite zum PHP-Update empfiehlt 8.3 oder höher.

Welche Möglichkeiten habe ich mit einer alten Version?

Bei einem Blog, einer Vereinsseite oder einem kleinen Shop teilt sich die Arbeit meist zwischen dir und deinem Hoster.

  1. Stell deinem Hoster zwei Fragen. Mit welcher PHP-Version läuft meine Website? Und falls es 8.1 oder älter ist: Wurde eine zurückportierte Korrektur für CVE-2026-109618 und CVE-2026-109619 eingespielt? Der PHP-Hinweis verweist Nutzer alter Versionen dafür an ihren Anbieter, bei gehosteten Websites also an den Hoster.
  2. Mach die Website umzugsbereit. WordPress rät vor einem PHP-Wechsel zu einem Backup und dazu, WordPress, Themes und Plugins unter Dashboard > Aktualisierungen auf den neuesten Stand zu bringen. Unser Ratgeber PHP-Version in WordPress aktualisieren zeigt die Schritte in der richtigen Reihenfolge. Nutzt du ein anderes CMS, etwa TYPO3 oder Joomla, steht in dessen Dokumentation, welche PHP-Versionen es unterstützt.
  3. Wechsle auf eine unterstützte Version. Ist die Website aktuell, lass sie vom Hoster umstellen oder stell sie selbst um, wenn dein Kundenmenü das erlaubt.

Geht nichts davon schnell, empfiehlt das BSI, eine vorübergehende Trennung vom Internet zu erwägen, weil alle Workarounds keinen vollständigen Schutz bieten.

Weitere Fragen

Ist PHP 7.4 von PHP2Shell betroffen?

Das BSI nennt als betroffene Versionen „alle PHP-Versionen“, und das PHP-Sicherheitsteam hat wegen der Schwere der Lücken eine minimale Quellcode-Korrektur für 7.4 veröffentlicht. Eine neue offizielle 7.4-Version gibt es nicht. Frag deinen Hoster nach einer zurückportierten Korrektur und plane den Wechsel.

Mein Hoster sagt, er habe die Korrektur auf PHP 8.1 zurückportiert. Reicht das?

Laut PHP-Hinweis bieten manche Distributionen und LTS-Anbieter solche Korrekturen an, also muss dein Hoster das bestätigen. Der Zweig bleibt aber nach seinem Supportende, und das BSI rät, auf eine noch unterstützte Version zu migrieren.

Geht meine Website kaputt, wenn ich auf eine neuere PHP-Version wechsle?

Das kann passieren, deshalb zählt die Reihenfolge. Die WordPress-Seite zum PHP-Update rät zu Backup und aktuellen Themes und Plugins vorab. Um ein Backup zurückzuspielen, müsste dein Hoster laut WordPress auch die bisherige PHP-Version wiederherstellen.

Was passiert mit PHP 8.2 nach dem 31. Dezember 2026?

Laut PHP-Projekt bekommt 8.2 danach keine Sicherheitskorrekturen mehr, und Nutzer sollen den Wechsel auf eine unterstützte Version planen. Eine Website mit 8.2 läuft dann wie 8.1 und älter auf einer nicht mehr unterstützten Version.

Quellen