PHP-Version prüfen: Ist deine Website betroffen?
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt, genannt „PHP2Shell“. Abgesichert sind nur PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer. Gib deine Domain ein, und der Check liest aus, welche PHP-Version deine Website öffentlich anzeigt.
Was die Ampel bedeutet
- Grün: abgesichertDie angezeigte Version enthält die Korrekturen gegen PHP2Shell.
- Gelb: Update fällig oder prüfen lassenDie Versionsreihe wird noch gepflegt, das Update fehlt aber. Oder die Version stammt aus einer Linux-Distribution, die Korrekturen ohne neue Nummer einspielt. Dann kann nur der Hoster Klarheit geben.
- Rot: keine Updates mehrPHP 8.1 und älter bekommen vom PHP-Projekt keine Sicherheitsupdates mehr. Der Wechsel auf eine aktuelle Version ist dringend.
- Grau: Version nicht sichtbarHäufig und eigentlich gut. Die Version musst du dann selbst nachsehen, siehe unten.
PHP-Version selbst nachsehen
- WordPressIm Dashboard unter Werkzeuge → Website-Zustand → Bericht → Server. Dort steht die PHP-Version.
- WebhostingIm Kundenmenü deines Hosters bei den Einstellungen zur Domain oder unter einem Punkt wie „PHP-Version“ bzw. „PHP-Einstellungen“. Dort kannst du sie meist auch umstellen.
- Eigener ServerDein Administrator sieht die Version auf dem Server mit
php -v. Wichtig ist die Version, mit der die Website läuft, nicht nur die auf der Kommandozeile.
Vor einer Umstellung: Backup anlegen und prüfen, ob Theme und Plugins die neue Version unterstützen.
Was der Check kann und was nicht
Der Check ruft deine Startseite einmal ganz normal auf und liest die Angaben, die dein Server dabei von sich aus mitschickt. Er greift nichts an, probiert nichts aus und meldet sich nirgends an.
Deshalb sieht er nur, was öffentlich sichtbar ist. Ist die Versionsanzeige abgeschaltet, kann er nichts auslesen. Und eine angezeigte Nummer sagt nicht immer alles: Linux-Distributionen wie Ubuntu oder Debian spielen Sicherheitskorrekturen oft ein, ohne die Versionsnummer zu ändern. In diesem Fall zeigt der Check bewusst Gelb statt Rot.
Häufige Fragen zum PHP-Check
Warum zeigt der Check bei meiner Website keine Version an?
Viele Hoster blenden die PHP-Version bewusst aus, weil sie Angreifern einen Hinweis liefert. Das ist gute Praxis. Die Version steht dann im Kundenmenü deines Hosters oder in WordPress unter Werkzeuge → Website-Zustand → Bericht → Server.
Ist meine Website sicher, wenn der Check grün zeigt?
Grün heißt: Die angezeigte PHP-Version enthält die Korrekturen gegen PHP2Shell. Über die übrige Sicherheit deiner Website, etwa veraltete Plugins oder schwache Passwörter, sagt der Check nichts aus.
Speichert ihr die geprüften Domains?
Nein. Die Domain wird nur für die eine Abfrage verwendet und nicht gespeichert. Gegen Missbrauch wird die Zahl der Prüfungen pro Besucher kurzzeitig begrenzt, dafür wird ein verschlüsselter Kurzwert der IP-Adresse höchstens zehn Minuten vorgehalten. Details in der Datenschutzerklärung.
Was mache ich bei Gelb oder Rot?
Bei normalem Webhosting: beim Hoster nachfragen, wann das PHP-Update eingespielt wird, und eine alte Version im Kundenmenü auf eine aktuelle umstellen. Vorher Theme und Plugins auf Verträglichkeit prüfen und ein Backup anlegen. Bei einem eigenen Server spielt der Administrator das Update ein.
Hintergrund zur Lücke: Was PHP2Shell ist und welche vier Schritte jetzt sinnvoll sind, steht im Ratgeber PHP-Sicherheitslücke PHP2Shell. Offizielle Warnung: BSI-Cybersicherheitswarnung.
Stand der Prüfregeln: 21. Oktober 2026 (gepatchte Versionen laut php.net).
Wir schauen gemeinsam drauf
Wenn du die Version nicht findest oder dich an die Umstellung nicht herantraust: Im kostenlosen Erstgespräch schauen wir gemeinsam in dein Hosting. 30 Minuten, aus Viersen, ohne Verpflichtung.