PHP-Versionscheck

Die meisten WordPress-, TYPO3- und Shop-Websites laufen mit PHP. Ist die Version veraltet, bleiben bekannte Sicherheitslücken offen. Zeigt der Server die Version zusätzlich öffentlich an, liefert er Angreifern die passende Information gleich mit. Der Check zeigt Ihnen beides in wenigen Sekunden.

So lesen Sie das Ergebnis

Wir lesen die HTTP-Header aus, die Ihr Server bei jeder Anfrage mitschickt, einmal für die eingegebene Seite und einmal für eine nicht vorhandene Seite. Der zweite Abruf ist wichtig: Startseiten kommen oft aus einem Cache, Fehlerseiten laufen dagegen meist direkt durch PHP und zeigen die Header ungefiltert.

In Ordnung
Dieser Punkt ist korrekt umgesetzt.
Prüfen
Kein akuter Fehler, aber Verbesserungspotenzial.
Problem
Wirkt sich wahrscheinlich negativ aus und sollte behoben werden.
Info
Zur Information, ohne Wertung.

01
Sichtbarkeit der PHP-Version
Header wie "X-Powered-By: PHP/8.1.2" verraten die genaue Version. Das ist kein Fehler im engeren Sinn, erleichtert aber automatisierte Angriffe: Bots suchen gezielt nach Servern, deren Version eine bekannte Lücke hat. Ist nichts sichtbar, zeigen wir das bewusst neutral als Hinweis und nicht grün, denn über die Aktualität sagt es nichts aus. Welche Version tatsächlich läuft, kann dann nur Ihr Hoster sagen.
02
Support-Status
Jede PHP-Version wird zwei Jahre aktiv weiterentwickelt und erhält danach zwei weitere Jahre nur noch Sicherheitsupdates. Grün heißt: aktiver Support. Gelb heißt: nur noch Sicherheitsupdates, ein Umstieg sollte geplant werden. Rot heißt: keine Updates mehr, bekannte Lücken bleiben offen. Die Daten beziehen wir tagesaktuell.
03
Patch-Stand
Innerhalb einer Version erscheinen regelmäßig Patch-Releases, etwa 8.3.35 auf 8.3.36. Sie schließen Sicherheitslücken und lassen sich in der Regel ohne Anpassungen an der Website einspielen. Ausnahme: Linux-Distributionen wie Debian oder Ubuntu übernehmen Korrekturen teils, ohne die Versionsnummer zu ändern.
04
Webserver-Version
Auch Apache, nginx oder IIS nennen im Header "Server" häufig ihre genaue Version. Für diese Angabe gilt dasselbe wie für PHP: Sie nützt niemandem außer potenziellen Angreifern und lässt sich mit einer Zeile in der Konfiguration abschalten.
05
Gefundene Technik-Header
Zum Schluss listen wir alle Header auf, die Rückschlüsse auf Ihre Technik zulassen, etwa das eingesetzte CMS. Gehen Sie die Liste durch und prüfen Sie, ob jede dieser Angaben wirklich öffentlich sein muss.

Warum die PHP-Version über Ihre Sicherheit entscheidet

PHP ist die Grundlage für einen Großteil aller Websites, auch für WordPress. Jede neue Version bringt Sicherheitskorrekturen, mehr Geschwindigkeit und neue Funktionen. Ältere Versionen werden irgendwann nicht mehr gepflegt. Lücken, die danach bekannt werden, bleiben für immer offen.

In der Praxis laufen viele Websites jahrelang auf derselben Version, weil niemand das Thema auf dem Schirm hat. Der Hoster stellt zwar neue Versionen bereit, schaltet aber nicht automatisch um, weil ältere Themes und Plugins dabei Fehler werfen können. So entsteht ein schleichendes Risiko, das erst sichtbar wird, wenn etwas passiert.

Ein Update lohnt sich auch abseits der Sicherheit. Neuere PHP-Versionen verarbeiten Anfragen spürbar schneller, was sich direkt auf Ladezeiten und damit auf Nutzererlebnis und Google-Rankings auswirkt. Aktuelle Versionen von WordPress, WooCommerce und vielen Plugins setzen zudem eine Mindestversion voraus.

Wichtig ist die richtige Reihenfolge: Erst eine Kopie der Website auf der neuen Version testen, dann umstellen. So vermeiden Sie, dass die Live-Seite plötzlich eine Fehlermeldung zeigt.

Versionsangaben ausblenden

# php.ini
expose_php = Off

# Apache (.htaccess oder Server-Konfiguration)
Header unset X-Powered-By
ServerTokens Prod
ServerSignature Off

# nginx
server_tokens off;

Auf vielen Managed-Hosting-Paketen lässt sich "expose_php" im Verwaltungsbereich umstellen. "ServerTokens" ist nur in der Server-Konfiguration wirksam, nicht in der .htaccess. Fragen Sie hier im Zweifel Ihren Hoster.

Häufige Fragen zur PHP-Version

Wie finde ich heraus, welche PHP-Version meine Website nutzt, wenn der Check nichts anzeigt?

Im Verwaltungsbereich Ihres Hosters, meist unter einem Punkt wie „PHP-Einstellungen“ oder „PHP-Version“. In WordPress sehen Sie die Version unter Werkzeuge, Website-Zustand, Bericht, Abschnitt „Server“.

Ist es schlimm, wenn die PHP-Version sichtbar ist?

Für sich genommen nicht, solange die Version aktuell ist. Kritisch wird es in Kombination mit einer veralteten Version, weil Angreifer dann ohne Aufwand sehen, welche Lücken sie ausnutzen können. Die Angabe auszublenden kostet nichts und ist deshalb immer empfehlenswert.

Kann ein PHP-Update meine Website beschädigen?

Das kann passieren, wenn Theme oder Plugins veralteten Code enthalten. Deshalb sollte das Update zuerst in einer Testumgebung laufen. Bei sauber gepflegten Websites ist der Umstieg meist unproblematisch.

Mein Hoster sagt, die Version sei gepatcht, obwohl der Check einen alten Patch-Stand zeigt.

Das ist möglich. Linux-Distributionen wie Debian, Ubuntu oder Red Hat spielen Sicherheitskorrekturen in ihre eigenen Pakete ein und lassen die Versionsnummer dabei unverändert. Erkennbar ist das oft an Zusätzen wie „-1ubuntu“ im Header. Ein Versionszweig ohne offiziellen Support bleibt trotzdem ein Risiko.

Woher stammen die Support-Daten?

Wir beziehen die offiziellen Daten zu Support- und Sicherheitsende sowie zum aktuellen Patch-Stand täglich aus öffentlich gepflegten Release-Informationen. Grundlage sind die Ankündigungen des PHP-Projekts.

Werden meine Eingaben gespeichert?

Wir speichern die geprüfte Adresse und das Ergebnis anonym zu Statistikzwecken. Ihre IP-Adresse wird dabei nicht gespeichert. Mehr dazu in unserer Datenschutzerklärung.

PHP-Update ohne Risiko

Wir prüfen Ihre Website auf Kompatibilität, testen das Update in einer sicheren Kopie und stellen erst um, wenn alles läuft. Auf Wunsch übernehmen wir auch die laufende Wartung, damit das Thema nicht wieder einschläft.

Kontakt aufnehmen