Alte PHP-Version: Was Websites mit PHP 7.4 bis 8.1 jetzt tun sollten

Gründer und Digitalisierungs-Experte

Aktualisiert: Oktober 22, 2026

Lesezeit ca.: 12 Minuten

Bei Google als Quelle merken Gefällt Ihnen dieser Beitrag? Merken Sie uns bei Google als Quelle — dann taucht unsere Recherche bei Ihrer nächsten Suche wieder auf, statt unterzugehen. Fünf Sekunden, jederzeit widerrufbar.

Eine alte PHP-Version macht die kritische Lücke PHP2Shell für Ihre Website besonders gefährlich. Gegen die Lücke vom 21. Oktober 2026 hat das PHP-Projekt fertige Updates nur für PHP 8.2 bis 8.5 veröffentlicht. Für PHP 8.1, 8.0, 7.4 und alles Ältere gibt es vom PHP-Projekt kein fertiges Update. Diese Websites bleiben angreifbar, bis sie auf eine neue PHP-Version umziehen oder ihr Anbieter eine eigene Korrektur einspielt.

Das betrifft mehr Websites, als man denkt. Viele ältere WordPress- und Joomla-Seiten laufen seit Jahren unverändert, weil ein Wechsel der PHP-Version die Seite lahmlegen könnte. Hier lesen Sie, welche Möglichkeiten Sie jetzt haben, wie ein geplanter Umstieg abläuft und wobei wir Sie unterstützen. Was hinter der Lücke selbst steckt, steht in PHP-Sicherheitslücke PHP2Shell. Wie der 21. Oktober für Websites und Hoster verlief, lesen Sie in Störungen bei Hostern am 21. Oktober.

Stand: 22. Oktober 2026, 2:45 Uhr.

Update 22. Oktober 2026, 1:30 Uhr

Wir haben den Beitrag in der Nacht zum 22. Oktober auf den neuen Stand gebracht:

Das BSI hat seine Warnung aktualisiert und geht nun davon aus, dass verwundbare Systeme kurzfristig angegriffen werden. Beispiel-Angriffscode ist laut BSI öffentlich. Für alte PHP-Versionen weist das BSI darauf hin, dass Linux-Distributionen und Anbieter mit Langzeitunterstützung eigene Korrekturen herausbringen können.
Ubuntu hat korrigierte Pakete für PHP 8.1 und, über Ubuntu Pro, auch für PHP 7.4 veröffentlicht.
Laut Cloudflare versuchen Angreifer, die Schutzregeln der Firewall mit veränderten Anfragen zu umgehen. Vollständig schützt laut BSI nur eine korrigierte PHP-Version oder die Trennung vom Internet.

Präzisiert haben wir deshalb: Auch für eine alte PHP-Version kann es eine Korrektur geben, etwa von Ihrem Hoster oder Ihrer Linux-Distribution. Ob Ihre Website sie hat, erfahren Sie nur dort.

Auf einen Blick: Für PHP 8.1 und älter gibt es vom PHP-Projekt kein fertiges Update gegen PHP2Shell, für 7.4, 8.0 und 8.1 nur Korrekturen im Quellcode. Manche Linux-Distributionen und Anbieter mit Langzeitunterstützung liefern eigene Korrekturen. Ob Ihr Hoster eine solche Korrektur einspielt, erfahren Sie nur bei ihm. Das BSI rät Betreibern alter Versionen, grundsätzlich auf eine unterstützte Version umzusteigen. Ziel sollte PHP 8.3 oder 8.4 sein, denn für PHP 8.2 enden die Sicherheitsupdates am 31. Dezember 2026. Vor dem Wechsel gehören eine Sicherung und ein Test auf einer Kopie dazu, sonst droht eine weiße Seite oder ein Fehler 500.

Warum eine alte PHP-Version keine Updates mehr bekommt

Jede PHP-Version erhält vier Jahre lang Updates: zwei Jahre Fehlerkorrekturen und Sicherheitsupdates, danach zwei Jahre nur noch Sicherheitsupdates. Dann ist Schluss.

PHP-Version	Sicherheitsupdates bis	Update gegen PHP2Shell
PHP 8.5	31. Dezember 2029	Ja, 8.5.12
PHP 8.4	31. Dezember 2028	Ja, 8.4.27
PHP 8.3	31. Dezember 2027	Ja, 8.3.36
PHP 8.2	31. Dezember 2026	Ja, 8.2.35
PHP 8.1 und älter	abgelaufen	Nein, nur Korrekturen im Quellcode für 7.4, 8.0 und 8.1

Das BSI weist in seiner Warnung zu PHP2Shell ausdrücklich darauf hin: Alle PHP-Versionen vor 8.2 haben ihr Lebensende erreicht. Auch PHP 8.2 bekommt nur noch bis Jahresende Sicherheitsupdates. Wer eine Anwendung auf diesen Versionen betreibt, sollte grundsätzlich auf eine unterstützte Version umsteigen.

Auch die Systeme selbst ziehen mit. WordPress empfiehlt PHP 8.3 oder neuer. Es läuft zwar noch mit PHP 7.4, warnt aber, dass solche Versionen die Website Sicherheitslücken aussetzen können. Joomla 6 setzt mindestens PHP 8.3 voraus.

Gibt es nicht doch eine Korrektur für PHP 7.4 bis 8.1?

Teilweise. Wegen der Schwere der Lücke hat das PHP-Team ausnahmsweise Korrekturen für PHP 7.4, 8.0 und 8.1 im Quellcode veröffentlicht. Ein fertiges Update ist das nicht. Die Korrekturen helfen Betreibern, die PHP selbst bauen oder keinen Anbieter mit Langzeitunterstützung haben.

Für Sie heißt das:

Im Shared Hosting hängt alles an Ihrem Hoster. Ob er für Ihre alte PHP-Version eine eigene Korrektur gegen PHP2Shell einspielt, erfahren Sie nur bei ihm.
Auf einem eigenen Server liefern manche Linux-Distributionen mit Langzeitunterstützung eigene Korrekturen für ihre PHP-Pakete. Ubuntu etwa hat korrigierte Pakete für PHP 8.1 und, über Ubuntu Pro, auch für PHP 7.4 veröffentlicht. Prüfen Sie den Sicherheitshinweis Ihrer Distribution.
Für PHP 7.3 und älter gibt es vom PHP-Projekt auch keine Korrektur im Quellcode.

Eine alte PHP-Version mit nachträglichen Korrekturen bleibt eine Übergangslösung. Regulär bekommt sie vom PHP-Projekt keine Sicherheitsupdates mehr, die Korrekturen gegen PHP2Shell sind eine Ausnahme. Bei der nächsten Lücke gibt es vielleicht gar keine Korrektur mehr.

Warum Sie nicht einfach umschalten sollten

Bei den meisten Hostern stellen Sie die PHP-Version mit einem Klick um. Bei einer älteren Website ist genau das riskant. Neue PHP-Versionen entfernen alte Funktionen und gehen strenger mit Fehlern um. Was unter PHP 7.4 lief, kann unter PHP 8.3 abbrechen.

Typische Folgen eines unvorbereiteten Wechsels:

eine weiße Seite oder ein Fehler 500
ein Kontaktformular, das keine Mails mehr verschickt
ein Shop, in dem Warenkorb oder Zahlung hängen
Fehlermeldungen im Adminbereich, mit denen Sie nichts mehr bearbeiten können

Häufigste Ursache sind veraltete Plugins, Themes und Erweiterungen, für die es keine Updates mehr gibt. Bei sehr alten Systemen reicht ein PHP-Wechsel allein oft nicht, etwa bei Joomla 3 oder einer seit Jahren nicht aktualisierten WordPress-Installation. Dann muss erst das System selbst aktualisiert werden. Wie das bei Joomla geht, lesen Sie in Joomla Update. Den Umstieg auf Joomla 5 oder 6 übernehmen wir auf Wunsch mit unserem Joomla Update-Service.

Sie sind unsicher, ob Ihre Website den Wechsel verträgt? Sprechen Sie uns an, wir schauen uns Ihre Lage an. Die Erstberatung ist kostenlos.

Daniel Haenle
Gründer & Ihr Ansprechpartner

Haben Sie Fragen oder benötigen Hilfe bei dem Thema „PHP-Update"?

Unsere Full-Service-Agentur kann Ihnen bei Fragen und der Umsetzung zur Seite stehen. Zögern Sie nicht, uns zu kontaktieren. Wir freuen uns darauf, von Ihnen zu hören.

Jetzt einfach Kontakt aufnehmen

So läuft ein geplanter Umstieg

So gehen wir bei einem PHP-Update vor:

Bestandsaufnahme: PHP-Version, CMS-Version, Plugins, Themes und Sonderfunktionen erfassen. Dabei fällt auf, was nicht mehr gepflegt wird.
Vollständige Sicherung: Dateien und Datenbank so ablegen, dass sie sich im Notfall vollständig zurückspielen lassen.
Testkopie mit neuer PHP-Version: Die Website läuft als Kopie unter einer eigenen Adresse auf PHP 8.3 oder 8.4. Dort prüfen wir die Fehlerprotokolle, die echte Website bleibt unberührt.
Fehler beheben: CMS und Erweiterungen aktualisieren, Veraltetes ersetzen, eigenen Code anpassen.
Umschalten: Erst wenn die Kopie fehlerfrei läuft, stellen wir die echte Website um. Formulare, Shop und Login prüfen wir direkt danach.
Rückweg bereithalten: Taucht trotzdem ein Fehler auf, setzen wir die Website aus der Sicherung auf den alten Stand zurück.

Der Rückweg auf die alte PHP-Version ist nur für den Notfall gedacht. Wegen PHP2Shell sollte eine Website nicht mehr lange auf PHP 8.1 oder älter laufen.

Einen Teil der Bestandsaufnahme können Sie vorab selbst erledigen.

Kostenloses Werkzeug: CMS-Checker Welches System meldet Ihre Website?

Unser kostenloser CMS-Checker zeigt, ob Ihre Website mit WordPress, Joomla oder einem anderen System läuft und welche Version sie nach außen meldet. Die PHP-Version zeigt er nicht, die finden Sie im Adminbereich oder beim Hoster.

CMS-Checker öffnen

Wenn die Umstellung länger dauert

Manchmal ist eine Website so alt, dass der Umstieg größere Arbeiten braucht, bis hin zu einer neuen Website. Bis dahin können Sie das Risiko verkleinern. Vollständig schützen laut BSI aber nur eine korrigierte PHP-Version oder die vorübergehende Trennung vom Internet.

Beim Hoster nachfragen: Fragen Sie, ob er für Ihre PHP-Version eine eigene Korrektur gegen PHP2Shell einspielt. Spielt er keine ein, hat der Umstieg Vorrang.
Firewall vorschalten: Eine Web Application Firewall wie Cloudflare fängt bekannte Angriffsmuster ab. Cloudflare hat laut eigenem Blog am 21. Oktober Schutzregeln gegen PHP2Shell aktiviert, für alle Tarife mit Firewall, auch den kostenlosen. Laut der Dokumentation von Cloudflare greifen solche Regeln nur bei Websites, deren Aufrufe über Cloudflare laufen.
Vorübergehend vom Netz: Das BSI rät, eine vorübergehende Trennung vom Internet zu erwägen, wenn ein Server nicht umgehend gepatcht werden kann. Einige Betreiber haben das am 21. Oktober laut BSI vorsorglich getan. Eine einfache Hinweisseite ohne PHP hält Ihre Besucher so lange auf dem Laufenden.

Eine Firewall ist keine Lösung auf Dauer. Laut Cloudflare versuchen Angreifer, die Schutzregeln mit veränderten Anfragen zu umgehen. Gegen spätere Lücken hilft eine Firewall nur, wenn es passende Regeln gibt. Cloudflare selbst rät, PHP trotzdem zu aktualisieren.

So helfen wir Ihnen

Wir stellen Websites mit WordPress und Joomla auf aktuelle PHP-Versionen um, auch ältere Seiten, an die sich lange niemand herangetraut hat. Ihre Website bleibt dabei bei Ihrem bisherigen Hoster. Sie bekommen von uns:

eine Bestandsaufnahme mit klarer Einschätzung, ob ein PHP-Wechsel reicht oder erst CMS und Erweiterungen aktualisiert werden müssen
die Umstellung auf PHP 8.3 oder 8.4 mit Sicherung, Testkopie und Rückweg
bei älteren Joomla-Websites auf Wunsch das Update auf eine aktuelle Joomla-Version
eine Suche nach Spuren eines Angriffs, falls Ihre Website bis dahin offen war, und Hilfe bei der Bereinigung, wenn wir etwas finden

Unsere Leistungen rund um den Umstieg

Umstellung PHP-Update

Wir prüfen Ihre Website, legen eine Sicherung an, testen die neue PHP-Version auf einer Kopie und stellen erst dann um.

Den Aufwand nennen wir Ihnen, bevor wir anfangen.

Zum PHP-Update →

Für Joomla-Websites Joomla Update-Service

Wir bringen Joomla 3 oder 4 auf eine aktuelle Version, sichern die Website vor jedem Update vollständig und prüfen Erweiterungen auf Verträglichkeit.

Ablauf: Analyse, Sicherung, Update, Optimierung, Abschluss.

Zum Update-Service →

Nach einem Angriff Hilfe bei gehackten Websites

Wir analysieren den Vorfall, entfernen Schadcode und sichern Ihre Website technisch ab.

Abrechnung meist nach Stundensatz oder individuellem Angebot.

WordPress gehackt → Joomla gehackt →

Kostenlos Kostenlose Erstberatung

Wir schauen uns Ihre Lage an und sagen Ihnen ehrlich, was sinnvoll ist und was nicht.

Telefonisch Mo. bis Fr. von 9 bis 18 Uhr

Beratung anfragen →

Für die Zeit nach dem Umstieg gibt es unsere laufende Wartung.

Website-WartungLaufend gepflegt

Paket Basic und größere Pakete

Nach dem Umstieg spielen wir Updates für CMS, Plugins und Theme ein, legen regelmäßig Sicherungen an und behalten im Blick, ob Ihre PHP-Version noch Sicherheitsupdates bekommt.

✓Updates und Sicherheits-Patches für CMS, Plugins und Theme

✓Regelmäßige Sicherheitskopien Ihrer Website

✓PHP-Version mit Sicherheitsupdates im Blick

✓Fehlerbehebung bis zu 60 Minuten im Monat

Pakete und Preise ansehen

Leistungen des Pakets Basic. Das Paket Standard enthält zusätzlich Änderungen an Design und Inhalten und einen monatlichen Bericht.

Das sind die nächsten Schritte

Prüfen Sie die PHP-Version Ihrer Website im Kundenbereich Ihres Hosters oder im Adminbereich Ihres CMS. Wo Sie sie finden, zeigt unser Beitrag zur PHP-Sicherheitslücke PHP2Shell.
Läuft sie auf PHP 8.1 oder älter, fragen Sie Ihren Hoster, ob er eine eigene Korrektur gegen PHP2Shell einspielt.
Planen Sie den Umstieg auf PHP 8.3 oder 8.4 jetzt und nicht erst beim nächsten Problem.
Legen Sie vor jeder Änderung eine vollständige Sicherung an und testen Sie die neue PHP-Version erst auf einer Kopie.
Lassen Sie die Website auf Spuren eines Angriffs prüfen, wenn sie seit dem 20. Oktober ohne Korrektur online war. Wie eine Bereinigung abläuft, lesen Sie in WordPress gehackt und Joomla gehackt.
Brauchen Sie Unterstützung, melden Sie sich bei uns. Die Erstberatung ist kostenlos.

Häufige Fragen

Gibt es ein Update gegen PHP2Shell für PHP 7.4?

Vom PHP-Projekt nicht als fertiges Update. Das PHP-Team hat für PHP 7.4, 8.0 und 8.1 nur Korrekturen im Quellcode veröffentlicht. Die sind für Betreiber gedacht, die PHP selbst bauen. Manche Linux-Distributionen liefern eigene Korrekturen, Ubuntu etwa über Ubuntu Pro auch für PHP 7.4. Ob Ihr Hoster eine solche Korrektur einspielt, erfahren Sie nur bei ihm. Empfohlen ist der Umstieg auf PHP 8.3 oder 8.4.

Auf welche PHP-Version sollte ich umsteigen?

Auf PHP 8.3 oder 8.4. PHP 8.3 bekommt Sicherheitsupdates bis Ende 2027, PHP 8.4 bis Ende 2028. Für PHP 8.2 enden sie schon am 31. Dezember 2026. WordPress empfiehlt selbst PHP 8.3 oder neuer, Joomla 6 setzt mindestens PHP 8.3 voraus.

Reicht PHP 8.2 nach dem Update auf 8.2.35?

Gegen PHP2Shell ja, denn PHP 8.2.35 enthält die Korrektur. Die Sicherheitsupdates für PHP 8.2 enden aber am 31. Dezember 2026. Wer ohnehin umstellt, sollte deshalb gleich PHP 8.3 oder 8.4 wählen.

Kann ich die PHP-Version selbst umstellen?

Bei den meisten Hostern ja, im Kundenbereich bei den Einstellungen der Domain. Bei einer älteren Website sollten Sie vorher eine Sicherung anlegen und den Wechsel auf einer Kopie testen. Sonst kann die Seite nach dem Umschalten weiß bleiben oder einen Fehler 500 zeigen.

Was passiert, wenn ich bei PHP 7.4 bleibe?

Spielt Ihr Hoster keine eigene Korrektur ein, bleibt Ihre Website für PHP2Shell angreifbar. Über PHP2Shell können Angreifer ohne Anmeldung Code auf dem Server ausführen. Regulär bekommt PHP 7.4 vom PHP-Projekt keine Sicherheitsupdates mehr, auch nicht gegen künftige Lücken. Das BSI rät Betreibern solcher Versionen, grundsätzlich auf eine unterstützte Version umzusteigen.

Was kostet der Umstieg auf eine neue PHP-Version?

Das hängt vor allem davon ab, wie alt CMS, Plugins und Themes sind. Eine gepflegte Website lässt sich oft mit wenig Aufwand umstellen. Bei einer seit Jahren nicht aktualisierten Seite kommen Updates oder der Ersatz einzelner Erweiterungen dazu. Den Aufwand nennen wir nach einer Bestandsaufnahme, bevor wir anfangen. Die Erstberatung ist kostenlos.

Reicht eine Firewall wie Cloudflare als Schutz?

Als Übergang kann sie helfen. Cloudflare hat laut eigenem Blog am 21. Oktober Schutzregeln gegen PHP2Shell aktiviert, für alle Tarife mit Firewall, auch den kostenlosen. Angreifer versuchen aber, solche Regeln mit veränderten Anfragen zu umgehen. Vollständig schützen laut BSI nur eine korrigierte PHP-Version oder die Trennung vom Internet. Auf Dauer hilft nur eine unterstützte PHP-Version.

Kann die Unicorn Factory meine Website auf eine neue PHP-Version umstellen?

Ja, für Websites mit WordPress und Joomla. Wir prüfen PHP-Version, CMS und Erweiterungen, legen eine Sicherung an und testen PHP 8.3 oder 8.4 zuerst auf einer Kopie. Erst danach stellen wir die echte Website um. Bei älteren Joomla-Websites bringen wir auf Wunsch auch Joomla selbst auf eine aktuelle Version. Die Erstberatung ist kostenlos, den Aufwand nennen wir Ihnen vorher.

Quellen

Rate this post

Florian Konrad

Florian Konrad, Mitbegründer und Geschäftsführer der Unicorn Factory, begann bereits in der Schule mit Webentwicklung und Online-Marketing. Mit Jahren der Erfahrung hat er umfassende Expertise in SEO, Automatisierung und Webentwicklung entwickelt.

Florian Konrad

Diesen Beitrag teilen!