php version aktualisieren: alles unter php 8.2 ist jetzt angreifbar

warum mussten so viele firmen ihre systeme abschalten?

Weil sie am 21. Oktober nur zwei Möglichkeiten hatten, und beide waren mies. Entweder das System online lassen, mit einer Lücke, über die Fremde ohne Passwort den Server übernehmen können. Schweregrad 9,2 von 10. Oder den Stecker ziehen. Viele haben den Stecker gezogen, zum Beispiel Kinos mit ihren Buchungssystemen.

Ein Update hätte gereicht. Nur gibt es für alles unter PHP 8.2 keine offiziellen Updates mehr. Und der Wechsel auf eine neuere Version ist bei alter Software kein Klick. Mit jeder neuen PHP-Version fliegt Altes raus. Was jahrelang funktioniert hat, wirft plötzlich Fehler. Haben an einer Software über die Jahre mehrere Leute gearbeitet, kracht es dann oft an vielen Stellen gleichzeitig.

Und dann ist da noch das eigentliche Problem: Oft kennt niemand mehr den Code. Der Entwickler ist weg, die Agentur gibt es nicht mehr. Also traut sich keiner, die Version umzustellen. Bis eine Lücke wie PHP2Shell kommt und einem die Entscheidung abnimmt.

was kostet sie ein tag offline?

Rechnen Sie einmal nach. Ein Buchungssystem, das einen Abend offline ist, kostet jede Buchung von diesem Abend. Ein Shop, der offline ist, verkauft nichts. Dazu kommen Kunden, die zur Konkurrenz gehen und dort bleiben. Und Ihr Team hängt den ganzen Tag am Telefon, statt zu arbeiten.

Und das ist noch der gute Fall. Der schlechte: Das System bleibt online und jemand nutzt die Lücke. Dann geht es nicht mehr um einen Abend Umsatz. Dann geht es um gestohlene Kundendaten, eine Meldung an die Datenschutzbehörde und eine Hintertür, die noch Wochen später offen sein kann.

Im Vergleich dazu ist ein geplanter Umstieg billig. Er kostet einmal Geld, aber er passiert dann, wenn Sie es entscheiden. Nicht dann, wenn die Behörden Alarm schlagen.

wie lange ist ihre php-version noch sicher?

Jede PHP-Version bekommt zwei Jahre lang neue Funktionen und danach noch zwei Jahre Sicherheitsupdates. Dann ist Schluss, und jede neue Lücke bleibt offen. Die Daten stehen auf php.net.

Wer heute von 8.1 auf 8.2 wechselt, hat in gut zwei Monaten dasselbe Problem. Wenn Sie sowieso anpassen müssen, gehen Sie gleich auf 8.3 oder 8.4. Das ist meistens kaum mehr Arbeit, und mit 8.4 haben Sie gut zwei Jahre Ruhe.

und wer noch auf php 8.0, 7 oder sogar 5 läuft?

Der ist richtig schlimm dran. PHP 8.0 bekommt seit November 2023 keine Updates mehr, PHP 7.4 seit November 2022. Für PHP2Shell gab es für diese beiden Versionen nur Notlösungen zum Selbsteinbauen. Für PHP 7.3 und alles darunter gibt es gar nichts. Keine Korrektur, nicht einmal eine Notlösung. Die Tür bleibt offen.

Und das betrifft nicht ein paar Exoten. Laut W3Techs laufen 27 Prozent aller PHP-Websites noch auf PHP 7 und 7,7 Prozent sogar auf PHP 5. Zusammen ist das gut ein Drittel. Laut den Entdeckern steckt die Lücke schon seit PHP 5.4 im Code.

Dazu kommt: Der Sprung von PHP 7 auf 8 ist der größte der letzten Jahre. Da hat sich mehr geändert als zwischen 8.1 und 8.3. Je länger eine Software auf einer alten Version steht, desto mehr gibt es beim Umstieg anzupassen. Machbar ist es trotzdem, und meistens ohne Neubau.

so heben wir ihre software auf eine sichere php-version

Wir haben bereits Unternehmen geholfen, ihren Code von PHP 8.1 auf eine neuere Version zu heben. Ohne Neubau, und ohne dass das Livesystem dafür vom Netz musste. So läuft das ab.

• Code-Check. Spezielle Prüfprogramme finden jede Stelle, die Probleme macht. Die heiklen Teile schauen wir uns selbst an. Danach wissen Sie genau, was zu tun ist, und bekommen einen Festpreis.
• Testkopie. Wir bauen eine Kopie Ihres Systems mit der neuen PHP-Version. Ihr echtes System läuft in der Zeit ganz normal weiter.
• Anpassen und testen. Wir reparieren jede gefundene Stelle und probieren alles Wichtige aus: buchen, bezahlen, Formulare, E-Mails. Erst wenn alles sauber läuft, geht es weiter.
• Umstellen. Das dauert nur Minuten. Die alte Version bleibt bereit, falls wir doch zurück müssen.

ein update allein reicht nicht

Eine aktuelle PHP-Version schließt die Tür. Aber wer vorher schon drin war, bleibt drin. Genau davor warnen die Behörden nach PHP2Shell: Angreifer legen Hintertüren ab, um später wiederzukommen, auch nach dem Update.

Deshalb schauen wir uns bei jedem Umstieg auch den Server an. Ist alles aktuell? Wer hat Zugang? Darf die Software mehr, als sie muss? Wo es nötig ist, bauen wir um und sichern ab.

Und wir richten eine Überwachung ein, wie sie bei den meisten unserer Kunden sowieso läuft. Sie schlägt automatisch Alarm, wenn sich auf dem Server Code ändert oder neue Dateien auftauchen. So fällt eine Hintertür auf, bevor jemand sie benutzt.

während andere abschalten mussten, lief bei unseren kunden alles weiter

Unsere eigenen Projekte bauen wir mit Next.js, und auch die Buchungssoftware und CRM-Systeme, die wir betreiben, laufen nicht auf PHP. Am 21. Oktober war deshalb keines davon betroffen, und keines musste vom Netz. Was an diesem Tag passiert ist, lesen Sie im Artikel PHP2Shell: diese Sicherheitslücke kann Ihre Website übernehmen.

PHP kennen wir trotzdem in- und auswendig, aus WordPress, Shopware und vielen Systemen, die wir übernommen haben. Und genau aus diesen Projekten wissen wir: Alte PHP-Software muss fast nie neu gebaut werden. Sie muss nur endlich jemand anfassen.

prüfen sie heute noch diese vier dinge

• Welche PHP-Version läuft? Das steht im Kundenbereich Ihres Hosters, meist unter Einstellungen oder PHP. Steht dort eine Version unter 8.2, ist Ihre Software angreifbar. Steht dort 8.2 oder höher, fragen Sie nach, ob das Update vom 21. Oktober drauf ist.
• Wer kennt den Code? Gibt es noch jemanden, der die Software gebaut hat und sie anpassen kann?
• Gibt es eine aktuelle Sicherung, und wurde sie jemals zurückgespielt?
• Würde jemand merken, wenn auf dem Server neue Dateien auftauchen?

• php.net: Supported Versions
• php.net: Security advisory PHP2Shell, 21.10.2026
• php.net: Migration von PHP 8.1 auf 8.2, veraltete Funktionen
• php.net: Migration von PHP 8.2 auf 8.3, inkompatible Änderungen
• CERT.at: Kritische Sicherheitslücken in PHP
• NCSC UK: Critical security issue affecting PHP
• W3Techs: PHP 8 Versionen

Stand: 21. Oktober 2026. Den Anteil der Websites ohne offizielles Update haben wir aus den Versionszahlen von W3Techs berechnet.