--- title: "PHP-Sicherheitslücke: Wie viele Websites sind betroffen?" seoTitle: "Veraltete PHP-Version? 100.000 deutsche Websites geprüft" siteName: "onlinewachsen.de" url: "https://onlinewachsen.de/news/php-sicherheitsluecke-betroffene-websites/" canonical: "https://onlinewachsen.de/news/php-sicherheitsluecke-betroffene-websites/" markdown: "https://onlinewachsen.de/news/php-sicherheitsluecke-betroffene-websites.md" describedby: "https://onlinewachsen.de/llms.txt" description: "100.000 deutsche Websites geprüft: Jede vierte mit sichtbarer PHP-Version bekommt keine Sicherheitsupdates mehr. So prüfst du deine eigene." datePublished: "2026-10-24T02:00:47+00:00" dateModified: "2026-10-24T02:05:25+00:00" author: name: "Mika" publisher: name: "onlinewachsen.de" url: "https://onlinewachsen.de/" language: "de" contentType: "text/markdown" image: "https://onlinewachsen.de/wp-content/uploads/2026/10/thumbnail-100000-header.webp" categories: - "News" schema: - "Answer" - "FAQPage" - "HowTo" - "HowToStep" - "Question" --- # PHP-Sicherheitslücke: Wie viele Websites sind betroffen? > 100.000 deutsche Websites geprüft: Jede vierte mit sichtbarer PHP-Version bekommt keine Sicherheitsupdates mehr. So prüfst du deine eigene. ### Abschnitte - News 21min - 24/10/2026 **Version 1.0: 24. Oktober 2026, 03:05 Uhr CEST** Eigene Messung von onlinewachsen am 24. Oktober 2026 zwischen 00:51 und 03:05 Uhr CEST: die 100.000 meistbesuchten .de-Domains aus der vollständigen Tranco-Liste, davon 81.671 erreichbare Websites. Ausgewertet wurde ausschließlich der öffentliche HTTP-Header der Startseite. Ergänzt um das PHP Security Advisory, die Cybersicherheitswarnung des BSI in Version 1.2, Daten von Censys, W3Techs, Amazon und Cloudflare sowie die Statusmeldungen deutscher Hoster. Nächste geplante Aktualisierung: Wiederholung der Messung am 30. Oktober 2026. ## Quick Answer: Wie viele deutsche Websites laufen auf einer veralteten PHP-Version? Knapp drei Tage nach den Notfall-Patches für die PHP Sicherheitslücke PHP2Shell haben wir die 100.000 meistbesuchten .de-Domains passiv geprüft, also nur die Antwort ihrer Startseite gelesen. 81.671 Websites waren erreichbar. Die wichtigsten Befunde: 1. **Jede vierte Website mit sichtbarer PHP-Version läuft ohne Sicherheitsupdates.** 1.954 von 7.761 Websites (25,2 Prozent) nutzen PHP 8.1 oder älter. Am häufigsten ist PHP 7.4, 402 Websites laufen sogar noch auf PHP 5. 2. **Ab Januar 2027 sind es zwei von fünf.** Weitere 16,1 Prozent laufen auf PHP 8.2, das am 31. Dezember 2026 seine letzten Sicherheitsupdates bekommt. Zusammen wären das 41,3 Prozent. 3. **Nur 9,5 Prozent der Websites nennen überhaupt ihre PHP-Version.** Bei den reichweitenstärksten .de-Domains sind es 3,7 Prozent, bei kleineren Websites rund 10 Prozent. 4. **Wer eine unterstützte Version nutzt, ist meist schon aktualisiert:** 5.538 von 5.806 Websites mit PHP 8.2 bis 8.5 zeigen bereits die gepatchte Version, das sind 95,4 Prozent. 5. **Die Versionsnummer allein sagt nichts über den Patch-Stand.** Hoster wie Hostinger und Distributionen wie Ubuntu bauen den Fix in bestehende Versionen ein, ohne die Nummer zu ändern. 6. **Angriffe laufen, bestätigte Einbrüche gibt es bisher nicht.** Am 23. Oktober kam mit CVE-2026-115560 eine dritte Lücke hinzu, die nur ungewöhnliche Konfigurationen betrifft. Für Unternehmen heißt das: Das größte Risiko sind nicht die verspäteten Patches, sondern veraltete PHP-Versionen, die gar keine regulären Updates mehr bekommen. Frag deinen Hoster oder deine Agentur, welche PHP-Version deine Website nutzt, und lass dir den Patch-Stand bestätigen. Alle Quellen und die Methodik stehen am Ende des Artikels. Kostenlos und ohne Anmeldung Läuft deine Website auf einer veralteten PHP-Version? Unser Website-Sicherheitscheck liest dieselben Header aus wie unsere Messung und zeigt dir in unter einer Minute, ob deine PHP-Version sichtbar ist, ob sie veraltet ist und ob es Spuren eines Angriffs gibt. [Mehr zum Website-Sicherheitscheck](https://onlinewachsen.de/website-sicherheit-pruefen.md) · Verdacht auf einen Angriff? 24/7 Notfall-Service: [**0160 91910214**](tel:+4916091910214) ## Was PHP ist und warum das Thema jeden Unternehmer betrifft PHP ist die Programmiersprache, mit der die meisten Websites im Hintergrund arbeiten. Laut W3Techs setzen 69,3 Prozent aller Websites, deren serverseitige Programmiersprache bekannt ist, auf PHP. Dazu gehören fast alle Seiten mit WordPress, Shopware, TYPO3, Joomla oder Contao, also auch die typische Website eines Handwerksbetriebs, einer Arztpraxis, eines Online-Shops oder eines Mittelständlers. Du kannst dir PHP wie den Motor deiner Website vorstellen. Wie bei einem Auto gibt es für jede Motorgeneration nur eine begrenzte Zeit lang Rückrufe und Sicherheitsreparaturen. Danach fährt der Wagen zwar weiter, aber neue Mängel werden nicht mehr behoben. Genau das passiert bei veralteten PHP-Versionen: Die Website funktioniert, doch jede neu entdeckte Lücke bleibt offen, solange niemand die Version aktualisiert. Für dich als Unternehmer zählen dabei drei Fragen, die du deinem Hoster oder deiner Agentur stellen kannst: 1. **Welche PHP-Version nutzt meine Website?** Alles unter PHP 8.2 ist veraltet, PHP 8.2 nur noch bis Jahresende unterstützt. 2. **Ist der PHP2Shell-Patch installiert?** Lass dir das schriftlich bestätigen. 3. **Wer ist für Updates zuständig?** Bei Shared Hosting meist der Hoster, bei eigenen Servern du oder dein Dienstleister. ## So haben wir gemessen Wer über die Folgen von PHP2Shell spricht, zitiert meist weltweite Zahlen. Laut Censys laufen 3,08 Millionen Server und 56,6 Millionen Web-Properties mit PHP. Für deutsche Websites gab es keine öffentlich zugängliche Auswertung. Deshalb haben wir selbst nachgesehen und 100.000 .de-Domains geprüft. **Die Stichprobe:** Grundlage ist die vollständige Tranco-Liste vom 22. Oktober 2026, eine in der Forschung verbreitete Rangliste meistbesuchter Domains mit rund 4,7 Millionen Einträgen, darunter 167.504 .de-Domains. Wir haben die 100.000 am höchsten platzierten .de-Domains genommen, bis Rang 2.747.126. Für die Auswertung teilen wir sie in drei Gruppen: 2.174 Domains aus den weltweiten Top 100.000, 26.403 Domains bis Rang 1 Million und 71.423 Domains dahinter. Die letzte Gruppe steht eher für kleinere Unternehmen, Praxen, Vereine und lokale Betriebe. **Die Abfrage:** Pro Domain haben wir einen Aufruf der Startseite gesendet, so wie ihn auch ein Browser auslöst, und nur die Antwort-Header ausgewertet. Entscheidend ist der Header `X-Powered-By`, in dem viele Server ihre PHP-Version nennen, zum Beispiel `X-Powered-By: PHP/8.3.36`. Die Messung lief in zwei Durchgängen. Domains, die im ersten Durchgang wegen zu vieler gleichzeitiger Abfragen nicht antworteten, haben wir im zweiten Durchgang mit weniger Parallelität erneut abgefragt. Es gab keine Angriffsversuche, keine Login-Tests und keine Abfrage geschützter Bereiche. Mehrere Domains, die auf dieselbe Website weiterleiten, haben wir nur einmal gezählt. **Die Erreichbarkeit:** 85.027 der 100.000 Domains haben geantwortet, nach dem Zusammenfassen von Weiterleitungen blieben **81.671 eindeutige Websites**. Nicht erreichbar waren 14.973 Domains, meist wegen Zeitüberschreitungen, nicht mehr existierender Server oder Zertifikatsfehlern. Besonders bei den weniger besuchten Domains hinter Rang 1 Million sind viele Websites schlicht nicht mehr online. **Was die Messung nicht kann:** Sie zeigt eine Momentaufnahme aus der Nacht zum 24. Oktober. Sie erfasst nur Websites, die ihre PHP-Version freiwillig preisgeben, und das sind vermutlich eher die weniger gehärteten. Und sie kann nicht feststellen, ob ein Server wirklich gepatcht ist, dazu mehr im Abschnitt [Warum die Versionsnummer nach PHP2Shell oft nicht stimmt](#versionsnummer). ## Ergebnis 1: Nur jede zehnte Website verrät ihre PHP-Version Nur **7.761 von 81.671 Websites (9,5 Prozent)** nennen ihre PHP-Version im Header. Das ist die gute Nachricht unserer Messung. Viele Hoster und Server-Setups schalten die Option `expose_php` ab, die diese Angabe steuert, oder ein vorgeschalteter Dienst wie ein CDN entfernt den Header. Zwischen den Gruppen gibt es einen deutlichen Unterschied: | Gruppe | Erreichbare Websites | PHP-Version sichtbar | Davon veraltet (8.1 und älter) | Davon PHP 8.2 | | --- | --- | --- | --- | --- | | Top 100.000 weltweit | 1.900 | 70 (3,7 %) | 10 (14,3 %) | 15 (21,4 %) | | Rang 100.001 bis 1 Million | 23.025 | 2.132 (9,3 %) | 574 (26,9 %) | 342 (16,0 %) | | Ab Rang 1 Million | 56.746 | 5.559 (9,8 %) | 1.370 (24,6 %) | 895 (16,1 %) | | **Gesamt** | **81.671** | **7.761 (9,5 %)** | **1.954 (25,2 %)** | **1.252 (16,1 %)** | Kleinere Websites zeigen ihre Version also mehr als doppelt so oft wie die großen. Das deckt sich mit unserer Erfahrung aus der Agentur: Große Unternehmen haben meist eigene IT oder ein gehärtetes Hosting, kleinere Websites laufen oft jahrelang mit den Standardeinstellungen, die beim Einrichten aktiv waren. In der Top-Gruppe nennen nur 70 Websites ihre Version, die Anteile dort sind deshalb mit Vorsicht zu lesen. Warum das wichtig ist: Eine sichtbare Versionsnummer ist keine Lücke, aber eine Einladung. Automatisierte Scanner suchen gezielt nach Servern mit bestimmten Versionen. Nach PHP2Shell meldeten Cloudflare und Amazon genau solche Scans in großer Zahl. ## Ergebnis 2: Wer eine unterstützte Version zeigt, ist meist schon gepatcht Das PHP-Projekt hat die Fixes am 21. Oktober 2026 in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Knapp drei Tage später zeigen **5.538 von 5.806 Websites** auf diesen unterstützten Versionen bereits die gepatchte Versionsnummer. Das sind 95,4 Prozent. Die häufigsten Versionen in unserer Messung waren: - **PHP 8.3.36:** 2.032 Websites - **PHP 8.4.27:** 1.652 Websites - **PHP 8.2.35:** 1.181 Websites - **PHP 8.5.12:** 673 Websites **268 Websites** nannten eine Nummer vor dem Fix, am häufigsten 8.3.35, 8.2.34, 8.5.11. Bei 115 davon zeigte der Header `platform: hostinger`, bei 13 weiteren einen Ubuntu- oder Debian-Server. Genau dort ist eine alte Nummer kein sicheres Zeichen für einen fehlenden Patch, wie der Abschnitt zur Versionsnummer zeigt. Dieses Tempo passt zu den Statusmeldungen deutscher Hoster. Viele haben noch am Abend des 21. Oktober gepatcht, einige haben dafür Websites vorübergehend offline genommen. Für Shared Hosting und Managed WordPress Hosting sieht der Patch-Stand damit gut aus. Offen bleibt das Risiko vor allem bei eigenen Servern und bei alten PHP-Versionen. ## Ergebnis 3: Jede vierte sichtbare Installation nutzt eine veraltete PHP-Version 1.954 der 7.761 Websites mit sichtbarer Version laufen auf einer PHP-Version, die vom PHP-Projekt keine Sicherheitsupdates mehr bekommt. Für PHP 8.1 und älter gab es zu PHP2Shell kein offizielles Release, nur Quellcode-Backports für 7.4, 8.0 und 8.1. Die Verteilung der veralteten PHP-Versionen: - **PHP 8.0 und 8.1:** 432 Websites - **PHP 7.x:** 1.109 Websites, davon allein 805 mit PHP 7.4 - **PHP 5.x:** 402 Websites, davon 189 mit PHP 5.6 - **PHP 4.x:** 11 Websites, die älteste davon mit PHP 4.3 Unter den 2.176 WordPress-Websites, die wir am Link-Header erkannt haben und die ihre Version zeigen, laufen 322 auf veralteten PHP-Versionen (14,8 Prozent). WordPress-Websites stehen also etwas besser da als der Durchschnitt, vermutlich weil WordPress selbst im Dashboard vor alten PHP-Versionen warnt. Das Bild passt zu den weltweiten Zahlen. Laut W3Techs nutzen 5,8 Prozent aller PHP-8-Websites noch PHP 8.0 und 15,1 Prozent PHP 8.1, zusammen also gut jede fünfte. Websites mit PHP 7 und PHP 5 sind in diesen Anteilen noch gar nicht enthalten. **Heißt das, diese Websites sind gehackt oder sicher angreifbar?** Nein. Mehrere Hoster haben auch ihre alten PHP-Versionen nachgebaut. Hostinger nennt gepatchte Builds für alle Versionen von 5.2 bis 8.5, Hetzner meldete Patches für PHP 5.6, 7.3, 7.4 und 8.0 bis 8.5. Das Problem ist ein anderes: Auf veralteten PHP-Versionen hängt jede künftige Lücke davon ab, ob der Hoster sie freiwillig nachrüstet. Die dritte Lücke vom 23. Oktober wird laut PHP-Projekt erst im nächsten regulären Release geschlossen, und das gibt es für 7.4 und 8.1 nicht mehr. ## Ergebnis 4: Für PHP 8.2 läuft die Zeit ab 1.252 Websites in unserer Messung laufen auf PHP 8.2, das sind 16,1 Prozent aller Websites mit sichtbarer Version. PHP 8.2 bekommt nur noch bis zum **31. Dezember 2026** Sicherheitsupdates. Ab Januar 2027 kämen diese Websites zu den veralteten hinzu. Rechnet man beide Gruppen zusammen, laufen heute **41,3 Prozent** der Websites mit sichtbarer Version auf einer PHP-Version, die spätestens zum Jahreswechsel keine Sicherheitsupdates mehr erhält. Das sind zwei von fünf. Für Unternehmer ist das eine planbare Aufgabe. Ein Wechsel von 8.2 auf 8.3 oder 8.4 ist meist unkompliziert, sollte aber vorher in einer Testumgebung geprüft werden, weil ältere Themes und Plugins manchmal Fehler werfen. Wer jetzt plant, vermeidet hektische Updates zwischen den Feiertagen. ## Welche PHP-Version ist aktuell? Alle Supportzeiträume im Überblick Die neueste PHP-Version ist PHP 8.5, veröffentlicht am 20. November 2025. Jede Version bekommt zwei Jahre aktive Weiterentwicklung und danach zwei Jahre reine Sicherheitsupdates. So sieht der Stand im Oktober 2026 aus: | PHP-Version | Sicherheitsupdates bis | Mindeststand nach PHP2Shell | Status | | --- | --- | --- | --- | | PHP 8.5 | 31. Dezember 2029 | 8.5.12 | Aktuell, empfohlen | | PHP 8.4 | 31. Dezember 2028 | 8.4.27 | Empfohlen | | PHP 8.3 | 31. Dezember 2027 | 8.3.36 | Nur Sicherheitsupdates | | PHP 8.2 | 31. Dezember 2026 | 8.2.35 | Endet in wenigen Wochen | | PHP 8.1 | 31. Dezember 2025 | kein offizielles Release | Veraltet | | PHP 8.0 | 26. November 2023 | kein offizielles Release | Veraltet | | PHP 7.4 | 28. November 2022 | kein offizielles Release | Veraltet | Für Unternehmenswebsites empfehlen wir PHP 8.3 oder 8.4. Beide werden von WordPress, Shopware und TYPO3 gut unterstützt und bekommen noch mindestens ein Jahr Sicherheitsupdates. PHP 8.5 lohnt sich, wenn Theme und Plugins es bereits offiziell unterstützen. Die Daten stammen aus der [offiziellen Übersicht von php.net](https://www.php.net/supported-versions.php). ## Warum die Versionsnummer nach PHP2Shell oft nicht stimmt Die naheliegende Prüfung lautet: Zeigt meine Website 8.3.36 oder höher, bin ich sicher, sonst nicht. Bei PHP2Shell greift diese Logik zu kurz, in beide Richtungen. ### Hoster bauen den Fix in bestehende Versionen ein Hostinger schreibt in seiner Stellungnahme, dass der Fix auf Managed Hosting in die bestehende PHP-Version eingebaut wurde. Die Versionsnummer muss sich dabei nicht ändern. Als Prüfmerkmal nennt der Hoster das Build-Datum in der PHP-Info, das am 21. Oktober 2026 oder später liegen muss. Laut Hostinger war der Rollout am 22. Oktober um 08:44 Uhr CEST abgeschlossen. In unserer Messung kamen 115 der 268 Websites mit einer Nummer vor dem Fix von Hostinger. Wir haben das an einer von uns betreuten Website bei diesem Hoster nachvollzogen: Sie meldete am 23. Oktober weiterhin `X-Powered-By: PHP/8.5.11`, also eine Nummer vor dem offiziellen Fix. Nach den Angaben des Hosters ist das kein Widerspruch. ### Linux-Distributionen behalten ihre eigenen Nummern Ähnlich ist es bei Ubuntu und Debian. Auf unserem eigenen Staging-Server mit Ubuntu 26.04 meldet PHP nach dem Sicherheitsupdate weiterhin Version 8.5.4. Der Fix steckt im Paket `8.5.4-0ubuntu1.5` aus `resolute-security`, dessen Änderungsprotokoll die Patches für CVE-2026-109618 und CVE-2026-109619 ausdrücklich aufführt. Wer nur auf die Nummer achtet, hält diesen Server fälschlich für verwundbar. ### Weltweite Zahlen überschätzen das Risiko deshalb Viele Zahlen zur Verbreitung der Lücke beruhen auf Versionsnummern. Censys weist selbst darauf hin, dass die Erkennung laufend angepasst wird und Zahlen verschiedener Tage nicht direkt vergleichbar sind. Server mit eingebauten Backports melden eine alte Nummer und werden dann als verwundbar gezählt. Das gilt auch für unsere eigene Messung, weshalb wir bewusst von „Nummer vor dem Fix“ und nicht von „verwundbar“ sprechen. ### So prüfst du den echten Patch-Stand 1. **Version und Build-Datum ansehen:** In WordPress unter Werkzeuge, Website-Zustand, Bericht, Server. Das Build-Datum steht in der PHP-Info, die viele Hoster im Kundenmenü anzeigen. 2. **Bei eigenen Servern das Paket prüfen:** Auf Ubuntu oder Debian im Änderungsprotokoll des PHP-Pakets nach `CVE-2026-109618` suchen, zum Beispiel mit `zcat /usr/share/doc/php8.3-fpm/changelog.Debian.gz | head`. 3. **Prozesse neu starten:** Ein installiertes Update wirkt erst, wenn PHP-FPM oder Apache neu gestartet wurden. 4. **Beim Hoster schriftlich nachfragen:** Bei Shared Hosting ist die Bestätigung des Hosters die einzige verlässliche Quelle. ## Wie schnell deutsche Hoster reagiert haben Die Reaktionen der Hoster lassen sich aus ihren Statusseiten und aus Sammlungen wie der von Bitpage gut nachvollziehen. Die wichtigsten Stationen am 21. und 22. Oktober 2026: - **Mittwald:** nahm alle Kunden-Websites ab dem Nachmittag des 21. Oktober offline, spielte die Patches am Abend ein und meldete den Vorfall um 00:28 Uhr als gelöst. - **netcup:** nahm Webhosting und Managed Server ab 16:25 Uhr offline und meldete um 23:45 Uhr alle Webhosting-Pakete als gepatcht. - **Hetzner:** installierte am Abend Patches für PHP 7.4 und 8.0 bis 8.5 auf Webhosting und Managed Servern, PHP 5.6 und 7.3 folgten am nächsten Morgen. - **IONOS:** begann den PHP-Rollout um 17:44 Uhr mit kurzen Unterbrechungen, die Sicherheitswartung lief am Morgen des 22. Oktober noch. - **Hostinger:** schloss den Rollout laut eigener Angabe am 22. Oktober um 08:44 Uhr CEST ab, inklusive gepatchter Builds alter Versionen. Mehrere Hoster haben also bewusst kurze Ausfälle in Kauf genommen, um das Zeitfenster für Angreifer klein zu halten. Für Betreiber von VPS, Root-Servern und Cloud-Servern gilt das nicht: Dort ist der Kunde selbst zuständig, darauf weisen netcup und Hostinger ausdrücklich hin. Wie wichtig klare Kommunikation zwischen Hoster und Kunden bei solchen Ereignissen ist, haben wir auch bei der [IONOS WordPress Hosting Störung im Mai 2026](https://onlinewachsen.de/news/ionos-wordpress-hosting-stoerung-8-mai-2026.md) beschrieben. ## Die Lage am 24. Oktober 2026: viele Angriffsversuche, bisher keine bestätigten Einbrüche Die Angriffe haben früher begonnen als gedacht. Laut Amazon gab es erste Ausnutzungsversuche bereits am 17. Oktober, vier Tage vor den Patches. Cloudflare zählte nach Angaben von The Hacker News schon 45 Minuten nach der Veröffentlichung Zehntausende Versuche und bis zum frühen 22. Oktober Millionen. Gleichzeitig ist bisher kein erfolgreicher Einbruch bestätigt. Das BSI schreibt in Version 1.2 seiner Warnung vom 22. Oktober, dass ihm keine erfolgreiche Ausnutzung in der Breite bekannt ist. Auch Wordfence meldete keine bekannten Kompromittierungen, und Sicherheitsfirmen wie watchTowr berichten von Angriffsversuchen auf ihre Köder-Server, nicht von erfolgreichen Einbrüchen. Darauf sollte sich niemand verlassen: VulnCheck hat nach eigenen Angaben bereits einen Weg gezeigt, eine wichtige Schutzfunktion auf üblichen Servern zu umgehen. **Neu seit dem 23. Oktober:** Das PHP-Projekt hat eine dritte Lücke mit der Kennung CVE-2026-115560 veröffentlicht. Sie betrifft nur Anwendungen, die eine bestimmte Session-Einstellung zur Laufzeit umstellen, und wird erst im nächsten regulären Release behoben. Wer zu PHP2Shell bereits `session.upload_progress.enabled = 0` gesetzt hat, ist auch hier geschützt. WordPress nutzt diese Funktion im Standard nicht. ## Was Unternehmen aus der Messung lernen sollten ### Lesson 1: Raus aus veralteten PHP-Versionen Der wichtigste Befund unserer Messung betrifft nicht die verspäteten Patches, sondern veraltete PHP-Versionen. Jede vierte sichtbare Installation läuft auf einer Version ohne reguläre Sicherheitsupdates. Wer auf PHP 8.1 oder älter läuft, sollte den Wechsel auf PHP 8.3 oder neuer sofort angehen und vorher in einer Testumgebung prüfen, ob Theme und Plugins mitspielen. ### Lesson 2: PHP 8.2 vor Jahresende ablösen PHP 8.2 bekommt am 31. Dezember 2026 seine letzten Sicherheitsupdates. In unserer Messung betrifft das 16,1 Prozent der Websites mit sichtbarer Version. Plane den Wechsel für November ein, dann bleibt genug Zeit für Tests vor den Feiertagen. ### Lesson 3: Die Versionsnummer ausblenden Eine sichtbare PHP-Version macht eine Website nicht unsicher, aber leichter auffindbar. In der php.ini `expose_php = Off` setzen. Bei Shared Hosting ohne Zugriff auf die php.ini hilft oft ein Eintrag in der `.htaccess`, etwa `Header unset X-Powered-By`, sofern der Webserver das unterstützt. ### Lesson 4: Den Patch-Stand am Build und nicht an der Nummer festmachen Ob eine Website gepatcht ist, zeigt bei PHP2Shell nicht zuverlässig die Versionsnummer, sondern das Build-Datum, das Paket der Distribution oder die Bestätigung des Hosters. Lass dir diese Bestätigung schriftlich geben und leg sie zu deinen Unterlagen. ### Lesson 5: Zuständigkeit für den Server klären Bei Shared Hosting patcht der Hoster, bei VPS und eigenen Servern niemand außer dir oder deinem Dienstleister. Diese Grenze ist vielen Unternehmen nicht bewusst. Halte fest, wer für PHP-Updates zuständig ist und wer im Notfall erreichbar ist. Ein kurzer Notfallplan hilft dabei, ähnlich wie wir es nach dem [DNSSEC-Ausfall der .de-Domains](https://onlinewachsen.de/news/dnssec-ausfall-de-domains-5-mai-2026.md) empfohlen haben. ### Lesson 6: Schutzmaßnahmen nicht zu früh zurückdrehen Die Einstellung `session.upload_progress.enabled = 0` schützt nicht nur gegen einen Teil von PHP2Shell, sondern auch gegen die neue Lücke CVE-2026-115560. Wer sie als Übergangslösung gesetzt hat, sollte sie aktiv lassen, solange die Website die Funktion nicht braucht. ## Häufig gestellte Fragen zu veralteten PHP-Versionen und PHP2Shell ### Wie viele deutsche Websites laufen auf einer veralteten PHP-Version? In unserer Messung vom 24. Oktober 2026 nannten 7.761 von 81.671 erreichbaren .de-Websites ihre PHP-Version. 1.954 davon, also 25,2 Prozent, liefen auf PHP 8.1 oder älter und damit auf Versionen ohne offizielle Sicherheitsupdates. Am häufigsten war PHP 7.4 mit 805 Websites. ### Welche PHP-Version ist aktuell? Die neueste PHP-Version ist PHP 8.5, veröffentlicht am 20. November 2025. Offiziell unterstützt werden derzeit PHP 8.2, 8.3, 8.4 und 8.5. Nach PHP2Shell sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35 die Mindeststände. Für Unternehmenswebsites empfehlen wir PHP 8.3 oder 8.4, weil diese Versionen noch lange Sicherheitsupdates bekommen und von WordPress, Shopware und TYPO3 gut unterstützt werden. ### Ist PHP 8.1 veraltet? Ja. PHP 8.1 bekommt seit dem 31. Dezember 2025 keine offiziellen Sicherheitsupdates mehr. Neue Lücken werden für 8.1 nur noch geschlossen, wenn ein Hoster oder eine Linux-Distribution das freiwillig nachrüstet. Ein Wechsel auf PHP 8.3 oder neuer ist deshalb sinnvoll. ### Wie lange wird PHP 8.2 noch unterstützt? PHP 8.2 erhält nur noch bis zum 31. Dezember 2026 Sicherheitsupdates. In unserer Messung liefen 16,1 Prozent der Websites mit sichtbarer Version auf PHP 8.2. Wer betroffen ist, sollte den Wechsel auf PHP 8.3 oder 8.4 jetzt planen und vorher in einer Testumgebung prüfen. ### Woran erkenne ich ohne Technikwissen, ob meine Website betroffen ist? Am einfachsten fragst du deinen Hoster oder deine Agentur, welche PHP-Version deine Website nutzt und ob der PHP2Shell-Patch installiert ist. Bei WordPress steht die Version unter Werkzeuge, Website-Zustand, Bericht, Server. Zusätzlich zeigt dir unser kostenloser Website-Sicherheitscheck, ob deine Website ihre PHP-Version öffentlich verrät und ob diese veraltet ist. ### Bedeutet eine alte Versionsnummer, dass meine Website angreifbar ist? Nicht unbedingt. Hoster wie Hostinger und Distributionen wie Ubuntu bauen den Fix in bestehende Versionen ein, ohne die Nummer zu ändern. Verlässlich sind das Build-Datum in der PHP-Info, das Änderungsprotokoll des Distributionspakets oder eine schriftliche Bestätigung des Hosters. ### Warum sollte ich die PHP-Version im Header ausblenden? Automatisierte Scanner suchen gezielt nach Servern mit bestimmten Versionen. Eine sichtbare Versionsnummer ist keine Lücke, macht die Website aber leichter auffindbar. Mit expose\_php = Off in der php.ini verschwindet die Angabe. ### Ist PHP 7.4 nach PHP2Shell noch sicher? PHP 7.4 bekommt seit dem 28. November 2022 keine offiziellen Sicherheitsupdates mehr. Für PHP2Shell gab es nur einen Quellcode-Backport, einige Hoster haben ihre 7.4-Builds damit nachgerüstet. Künftige Lücken werden für 7.4 aber nicht mehr regulär geschlossen, ein Wechsel auf PHP 8.3 oder neuer ist deshalb dringend. ### Wurden schon Websites über PHP2Shell gehackt? Bis zum 24. Oktober 2026 ist kein erfolgreicher Einbruch öffentlich bestätigt. Das BSI kennt laut seiner Warnung vom 22. Oktober keine erfolgreiche Ausnutzung in der Breite. Gleichzeitig zählen Cloudflare und Amazon Millionen Angriffsversuche, erste davon schon vor den Patches. ## Fazit: Das Risiko liegt bei veralteten PHP-Versionen Knapp drei Tage nach den Notfall-Patches zeigt unsere Messung von 100.000 deutschen Domains ein gemischtes Bild. Die gute Nachricht: Die allermeisten Websites verraten ihre PHP-Version nicht, und wo sie sichtbar ist, steht auf unterstützten Versionen fast immer schon die gepatchte Nummer. Die Hoster haben schnell reagiert, teils mit bewussten Ausfällen. Die schlechte Nachricht: Jede vierte sichtbare Installation läuft auf einer veralteten PHP-Version, und mit dem Support-Ende von PHP 8.2 werden es zum Jahreswechsel zwei von fünf. Die reichweitenstärksten Websites trifft es seltener, dort ist es etwa jede siebte. Websites mit veralteter Version sind bei PHP2Shell auf den guten Willen ihres Hosters angewiesen und werden bei der nächsten Lücke wieder in derselben Lage sein. Prüfe deshalb heute zwei Dinge: Welche PHP-Version deine Website nutzt und ob dein Hoster den Patch bestätigt hat. Läuft noch PHP 8.2 oder älter, plane den Wechsel jetzt und nicht erst bei der nächsten Warnung. Den Hintergrund zu den Lücken selbst haben wir in unserem Artikel [PHP Sicherheitslücke PHP2Shell: Was jetzt zu tun ist](https://onlinewachsen.de/news/php-sicherheitsluecke-php2shell-oktober-2026.md) zusammengefasst. Bei onlinewachsen betreuen wir Websites langfristig, von Server und PHP über WordPress bis zur Sichtbarkeit in Google und KI-Systemen. Unsere [Scaling Dienstleistungen](https://onlinewachsen.de/scaling.md) verbinden laufende Wartung, technisches SEO und GEO. Du weißt nicht, auf welcher PHP-Version deine Website läuft? Mach den [kostenlosen Website-Sicherheitscheck](https://onlinewachsen.de/website-sicherheit-pruefen.md) oder [kontaktiere uns direkt](https://onlinewachsen.de/kontakt.md), wir prüfen deine Ausgangslage. ## Update Bereich Wir wiederholen die Messung am 30. Oktober 2026 und tragen hier ein, wie sich der Anteil veralteter PHP-Versionen und der Patch-Stand entwickelt haben. Sobald das PHP-Projekt den Fix für CVE-2026-115560 veröffentlicht, ergänzen wir die Versionen in diesem Abschnitt. ## Quellen - Eigene Messung von onlinewachsen am 24. Oktober 2026 zwischen 00:51 und 03:05 Uhr CEST: je ein Aufruf der Startseite der 100.000 meistbesuchten .de-Domains aus der vollständigen Tranco-Liste in zwei Durchgängen, Auswertung des Headers `X-Powered-By` und des WordPress-Link-Headers, 81.671 eindeutige erreichbare Websites - Eigene Beobachtung an einem Ubuntu-26.04-Server am 22. Oktober 2026: Änderungsprotokoll des Pakets `php8.5 8.5.4-0ubuntu1.5` mit den Patches für beide CVEs bei unveränderter Versionsnummer - [Tranco: Rangliste der meistbesuchten Domains](https://tranco-list.eu/): Grundlage der Stichprobe, vollständige Liste vom 22. Oktober 2026 - [PHP: Security Advisory vom 21. Oktober 2026](https://www.php.net/archive/2026.php#2026-10-21-5): Fix-Versionen, betroffene Betriebsarten, Übergangsmaßnahmen - [php.net: Supported Versions](https://www.php.net/supported-versions.php) und [php.net: Unsupported Branches](https://www.php.net/eol.php): Supportzeiträume und End-of-Life-Daten der PHP-Versionen - [BSI: Cybersicherheitswarnung zu PHP, Version 1.2 vom 22. Oktober 2026](https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032.html): Bewertung, Handlungsempfehlung, Stand der Ausnutzung - [Hostinger: Schutzmaßnahmen gegen PHP2Shell](https://www.hostinger.com/blog/protecting-php2shell/): Fix in bestehenden Versionen, Build-Datum als Prüfmerkmal, Rollout-Zeitpunkt, Hinweis zu CVE-2026-115560 - [Bitpage: Wer offline ist, wer gepatcht hat](https://bitpage.de/php2shell-php-sicherheitsluecke-webseiten-offline/): Sammlung der Statusmeldungen deutscher Hoster am 21. und 22. Oktober 2026 - [Censys: Advisory zu CVE-2026-109618 und CVE-2026-109619](https://censys.com/advisory/cve-2026-109618-cve-2026-109619/): Zahl der PHP-Server und Web-Properties, Hinweise zur Vergleichbarkeit der Zahlen - [W3Techs: Verbreitung von PHP](https://w3techs.com/technologies/details/pl-php) und [Verbreitung der PHP-8-Versionen](https://w3techs.com/technologies/details/pl-php/8): Stand 23. Oktober 2026 - [watchTowr: PHP2Shell in the wild](https://watchtowr.com/intelligence/php-remote-code-execution-php2shell/): Beobachtete Angriffsversuche auf Köder-Server, Stand 22. Oktober 2026 - [BleepingComputer: Amazon zu Angriffen vor den Patches](https://www.bleepingcomputer.com/news/security/amazon-says-php2shell-exploitation-began-4-days-before-patches/): erste Ausnutzungsversuche am 17. Oktober 2026 - [The Hacker News: Millionen Angriffsversuche](https://thehackernews.com/2026/10/php2shell-exploit-attempts-hit-millions.html): Zahlen von Cloudflare, Einschätzungen von Wordfence, Sophos und VulnCheck - [The Hacker News: Dritte PHP-Lücke CVE-2026-115560](https://thehackernews.com/2026/10/urgent-php-warns-of-another-unpatched.html): betroffene Konfiguration und Übergangsmaßnahme #### Diesen Post teilen Summarize with AI ChatGPT Gemini Claude Perplexity Gemini öffnen → ## Kennt dein Unternehmen? In 2 Minuten erfährst du, ob und wie KI-Modelle über deine Marke sprechen. ## Weiterführend - [Kostenloser KI-Sichtbarkeits-Check für Unternehmen & Marken](https://onlinewachsen.de/ki-sichtbarkeits-check.md)