Was ist PHP, und warum betrifft eine PHP-Lücke auch Menschen, die nie programmiert haben?

WindowsMacAktualisiert 2026-10-24

PHP ist eine Programmiersprache, mit der Websites gebaut werden. Das PHP-Projekt beschreibt sie als „widely-used open source general-purpose scripting language that is especially suited for web development“, also als verbreitete, quelloffene Skriptsprache, die sich besonders für die Webentwicklung eignet. PHP läuft auf dem Computer, der eine Webseite ausliefert, dem Server, und nicht auf dem Handy oder Laptop, auf dem du die Seite liest. Stand dieses Ratgebers: 23. Oktober 2026.

Kurze Antwort

PHP ist eine Open-Source-Sprache, in der viele Websites geschrieben sind. Ihr Code läuft auf dem Server der Website, der jede Seite zusammenbaut und das fertige Ergebnis an deinen Browser schickt. Deshalb ist eine Lücke in PHP ein Problem für die Betreiber von Websites, und die Korrektur ist ein Update auf dem Server, nicht auf deinem Gerät.

Wofür wird PHP verwendet?

Vor allem für Webseiten, die sich verändern. Eine einfache Webseite ist eine feste Datei. Eine PHP-Seite ist ein kleines Programm, das die Seite in dem Moment schreibt, in dem du sie aufrufst, und so deinen Warenkorb, dein Kundenkonto oder die neuesten Beiträge zeigen kann.

Laut PHP-Handbuch liegt der Schwerpunkt auf serverseitigen Skripten. Als Beispiele nennt es, Formulardaten zu verarbeiten, Seiteninhalte beim Aufruf zu erzeugen und Cookies zu senden und zu empfangen. Die Startseite von php.net sagt, PHP treibe alles an, vom eigenen Blog bis zu den meistbesuchten Websites der Welt.

PHP begegnet dir oft, ohne dass du den Namen siehst. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt in seiner Warnung zu PHP2Shell als Beispiele für Open-Source-Projekte, die mit PHP entwickelt wurden, WordPress, Drupal, TYPO3, Joomla, Magento und Nextcloud. Das PHP-Handbuch ergänzt, dass PHP auch ohne Webserver auf der Kommandozeile laufen kann, für zeitgesteuerte Skripte und einfache Textverarbeitung.

Was heißt „serverseitig“ für eine Website und ihre Besucher?

Die Arbeit passiert auf dem Computer der Website, bevor etwas bei dir ankommt. Das PHP-Handbuch erklärt den Unterschied zu JavaScript, das in deinem Browser läuft: Bei PHP wird der Code auf dem Server ausgeführt, der daraus HTML erzeugt und an den Client schickt. Der Client ist dein Browser.

Laut Handbuch bekommt der Browser nur das Ergebnis und erfährt nicht, wie der zugrunde liegende Code aussah. Ein Server lässt sich sogar so einrichten, dass Nutzer gar nicht erkennen können, dass PHP verwendet wird.

Für Besucher heißt das zweierlei: Du brauchst kein PHP, um eine PHP-Website zu nutzen, und du siehst einer Website meist nicht an, ob sie PHP verwendet.

Warum betrifft eine einzige PHP-Lücke so viele Websites?

Weil alle Websites mit PHP denselben Kern nutzen. Eine Lücke in diesem Kern haben alle, bis jede einzelne aktualisiert ist. Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Lücken veröffentlicht, CVE-2026-109618 und CVE-2026-109619, und als gefährdet „all PHP installations serving web requests“ genannt, also alle PHP-Installationen, die Webanfragen verarbeiten. Das BSI schreibt in seinem IT-Sicherheitshinweis (BITS-H Nr. 2026-297981-1232, Version 1.2 vom 22.10.2026), PHP sei einer der zentralen Bausteine in Webanwendungen weltweit und sein Einsatz daher sehr weit verbreitet.

Keine der Quellen dieses Ratgebers nennt eine Zahl oder einen Anteil der Websites mit PHP, also nennen wir auch keine. Das BSI weist aber darauf hin, dass PHP-Code nicht nur in klassischen PHP-Webseiten steckt, sondern auch in Teilen verschiedener proprietärer Produkte. Die US-Behörde CISA schreibt, PHP sei oft Bestandteil anderer Software und seine Verbreitung womöglich nicht direkt sichtbar.

Die Lücken selbst, ihre Schwere und die korrigierten Versionen erklärt unser Überblick Sicherheitslücke in PHP (PHP2Shell) einfach erklärt.

Warum läuft das PHP einer Website nicht auf meinem Gerät?

Weil PHP dort läuft, wo die Website liegt. Dein Browser fragt beim Server eine Seite an, der Server führt sein PHP aus, und zurück kommt die fertige Seite in HTML. Der PHP-Hinweis vom 21. Oktober nennt als gefährdet Server-Einrichtungen wie PHP-FPM, Apache mit mod_php und LiteSpeed, die alle auf Webservern laufen.

Eine Website mit altem oder ungepatchtem PHP zu besuchen, bringt dieses PHP nicht auf dein Handy oder deinen Laptop. Für Besucher ist das Risiko ein anderes: Übernehmen Angreifer eine Website, können sie ändern, was sie dir zeigt. Darum geht es in Gehackte Webseite besucht?

Die eine Ausnahme: Du hast PHP selbst installiert, etwa um Websites auf dem eigenen Computer zu bauen oder zu testen. Dann hast du eine Kopie, die du wie jede andere Software aktualisierst.

Was bedeutet eine PHP-Sicherheitslücke, einfach erklärt?

Eine Sicherheitslücke ist eine Schwäche in Software, die jemand ausnutzen könnte, um sie etwas tun zu lassen, was sie nicht soll. Das PHP-Projekt sagt, die Lücken vom Oktober 2026 könnten „unauthenticated remote code execution“ ermöglichen. Einfach gesagt: Jemand könnte einen Server eigene Befehle ausführen lassen, ohne sich anzumelden. Das BSI schreibt dazu, für eine Ausnutzung seien weder eine Anmeldung noch ein Zutun der Nutzer nötig.

Die Antwort des PHP-Projekts ist das Update. In den Versionshinweisen steht: „There are no complete mitigations, updating is the only safe choice.“ Außer dem Update gibt es keine vollständige Abhilfe. Betreust du eine Website, finde zuerst heraus, welche Version sie nutzt: PHP-Version prüfen zeigt, wo du nachsiehst, und nennt die korrigierten Versionen.

Weitere Fragen

Ist PHP ein Virus oder ein Programm auf meinem Computer?

Nein. PHP ist eine Programmiersprache und die Software, die sie ausführt, keine Schadsoftware. Sie läuft auf den Servern, auf denen Websites liegen. Ob dein eigener Computer eine Kopie hat, zeigt unser Ratgeber Ist PHP installiert? mit einem einzigen Befehl.

Wofür steht PHP?

Laut PHP-Handbuch ist der Name ein rekursives Akronym für „PHP: Hypertext Preprocessor“. Rekursiv heißt, dass das erste Wort der Auflösung der Name selbst ist. „Preprocessor“ beschreibt, was PHP tut: Es bearbeitet eine Seite, bevor sie an deinen Browser geht.

Wer entscheidet, welche PHP-Version meine Website nutzt?

Meist dein Hoster. Die deutsche WordPress-Seite zum PHP-Update sagt, PHP liege auf dem Server und werde in den Hosting-Einstellungen oder vom Hoster geändert. PHP-Version prüfen zeigt, wo du nachsiehst.

Kann ich erkennen, ob eine Website PHP nutzt?

Oft nicht. Laut PHP-Handbuch lässt sich ein Server so einrichten, dass Nutzer nicht erkennen können, dass PHP verwendet wird. Betreibst du die Website selbst, nennt dir dein Kundenmenü oder dein Hoster die Version.

Ist PHP sicher?

Das hängt von der Version ab, die eine Website nutzt: Unterstützte Versionen bekommen Sicherheitskorrekturen, Versionen nach dem Supportende nicht. Unser Ratgeber Ist PHP sicher? erklärt, wie die Unterstützung bei PHP funktioniert.