Kurz gesagt: Wer noch PHP 8.1 oder älter betreibt, bekommt vom PHP-Projekt keine offiziellen Sicherheitsupdates mehr, auch nicht für PHP2Shell. Ein PHP-8.1-Upgrade auf eine unterstützte Version ist deshalb keine Kür, sondern die eigentliche Lösung. Wir prüfen Ihre Anwendungen, testen in einer Kopie, migrieren kontrolliert und sichern die Zeit bis dahin ab.
Warum PHP 8.1 und älter jetzt ein akutes Risiko ist
Die PHP2Shell-Lücken CVE-2026-109618 und CVE-2026-109619 erlauben Codeausführung ohne Anmeldung. Behoben sind sie in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es keine offiziellen Updates mehr, nur minimale Quell-Backports für 7.4, 8.0 und 8.1. Laut Fachpresse sind nahezu alle Versionen bis zurück zu PHP 5.4 betroffen.
Einige Distributionen und Hoster spielen eigene Backports ein. Ob Ihr System dazugehört, muss der Anbieter für Ihren konkreten Paketstand bestätigen. Ohne diese Bestätigung sollten Sie davon ausgehen, dass der Server offen ist. Was das im Einzelnen bedeutet, beschreibt PHP 8.1 und älter: Was jetzt gilt.
PHP 8.1 Upgrade: welche Zielversion?
Ziel sollte eine Version sein, die das PHP-Projekt noch unterstützt und die Ihre Anwendung freigibt. Den aktuellen Stand der Unterstützung veröffentlicht php.net auf der Seite der unterstützten Versionen. PHP 8.2 endet am 31.12.2026; ein Umstieg auf 8.2 wäre also nur ein Zwischenschritt mit baldigem Folgeprojekt.
Welche PHP-Version Ihr CMS oder Shopsystem unterstützt, prüfen wir anhand der Systemanforderungen des Herstellers, etwa auf wordpress.org, shopware.com oder typo3.org, und nicht aus dem Gedächtnis. Oft muss zuerst das CMS selbst aktualisiert werden. Alte Shops sind ein typischer Fall, siehe Shopware 5: alte Shops auf alter PHP-Version.
Wie hilft PHP SOS konkret?
- Bestandsaufnahme und Absicherung: Wir erfassen alle Anwendungen, ihre PHP-Version, CMS-Stand, Erweiterungen und eigenen Code. Parallel setzen wir die Übergangsmaßnahmen laut php.net, damit das Risiko bis zur Migration sinkt; Details unter WAF und virtuelles Patching.
- Kompatibilität prüfen: Wir gleichen Systemanforderungen der Hersteller ab, prüfen Abhängigkeiten mit Composer und suchen im eigenen Code nach veralteten Funktionen. Wie das bei Abhängigkeiten aussieht, beschreibt Composer-Abhängigkeiten auf Lücken prüfen.
- Test in einer Kopie: Die Anwendung läuft zuerst in einer Testumgebung mit der neuen PHP-Version. Fehler beheben wir dort oder dokumentieren sie für Ihre Agentur.
- Umstellung mit Rückweg: Die Live-Umstellung erfolgt in einem abgestimmten Wartungsfenster mit aktuellem Backup und festgelegtem Rückweg.
- Nachkontrolle: Wir prüfen Fehlerprotokolle und zentrale Funktionen nach der Umstellung und entfernen die alte PHP-Version, wenn sie nicht mehr gebraucht wird.
Ein ungefährlicher Blick, welche Websites welche PHP-Version nutzen, ist auf vielen Systemen über die laufenden FPM-Pools möglich:
# laufende PHP-FPM-Master und Pools anzeigen
ps -eo pid,cmd | grep -E "php-fpm: (master|pool)" | grep -v grep
# installierte PHP-Versionen (Debian/Ubuntu)
ls /etc/php/
Ein Upgrade auf eine neue PHP-Version entfernt keine Schadsoftware, die vorher eingeschleust wurde. War der Server seit dem 17.10.2026 ungeschützt am Netz, gehört eine Prüfung auf Spuren dazu.
Typische Stolpersteine beim Upgrade
Die meisten Probleme beim Wechsel der PHP-Version sind vorhersehbar, wenn man weiß, wo man suchen muss:
- Veraltete Erweiterungen: Plugins oder Module, die nicht mehr gepflegt werden, laufen auf neueren PHP-Versionen oft nicht. Für sie braucht es Ersatz oder eine Anpassung.
- Eigener Code: Funktionen, die PHP inzwischen als veraltet markiert oder entfernt hat, führen zu Warnungen oder Abbrüchen. Strengere Typprüfungen decken alte Programmierfehler auf.
- Abhängigkeiten: Bibliotheken, die über Composer eingebunden sind, verlangen teils selbst neue Versionen und ziehen weitere Änderungen nach sich.
- PHP-Erweiterungen auf dem Server: Nicht jede Erweiterung, die unter der alten Version installiert war, ist für die neue automatisch vorhanden.
- Cronjobs und Kommandozeile: Die Website läuft schon auf der neuen Version, geplante Aufgaben rufen aber noch die alte PHP-Version auf.
Wer diese Punkte vorher prüft, verkürzt die Umstellung und vermeidet Überraschungen im Live-Betrieb.
Was Sie bekommen und was wir brauchen
Sie bekommen eine Übersicht aller Anwendungen mit Ausgangs- und Zielversion, einen Migrationsplan mit Reihenfolge und Risiken, ein Testprotokoll, die Dokumentation der Umstellung und eine Liste von Punkten, die Ihre Agentur oder Ihr Entwickler noch erledigen muss.
Wir brauchen von Ihnen:
- Server- oder Panelzugang und Zugang zu den CMS-Backends
- Zugriff auf Quellcode und Repository bei Eigenentwicklungen
- Kontakt zu Agentur oder Entwickler, die die Anwendung kennen
- eine Testumgebung oder die Freigabe, eine anzulegen
- Wartungsfenster und einen Ansprechpartner für die Abnahme
Was wir nicht versprechen
Wir versprechen nicht, dass jede alte Anwendung ohne Änderungen auf einer neuen PHP-Version läuft. Bei Systemen ohne Weiterentwicklung kann ein größerer Umbau oder ein Wechsel nötig sein; das sagen wir offen, sobald es sich abzeichnet. Kompatibilitätsaussagen stützen wir auf die Angaben der Hersteller. Und Übergangsmaßnahmen sind kein Ersatz für die Migration, sondern überbrücken nur die Zeit. Langfristige Risiken veralteter Versionen beschreibt PHP-End-of-Life: Risiken veralteter Versionen.
Häufige Fragen
Ist PHP 8.1 von PHP2Shell betroffen?
Laut Fachpresse sind nahezu alle Versionen bis zurück zu PHP 5.4 betroffen. Für PHP 8.1 und älter gibt es keine offiziellen Updates vom PHP-Projekt, nur minimale Quell-Backports für 7.4, 8.0 und 8.1. Manche Distributionen spielen eigene Backports ein, das muss der jeweilige Anbieter bestätigen.
Auf welche PHP-Version sollte ich upgraden?
Auf eine Version, die das PHP-Projekt noch aktiv unterstützt und die Ihre Anwendung laut Systemanforderungen des Herstellers freigibt. PHP 8.2 erreicht am 31.12.2026 das Ende der Unterstützung und ist deshalb als Ziel nur bedingt sinnvoll.
Kann ich nicht einfach die PHP-Version im Hosting-Panel umstellen?
Technisch geht das oft mit einem Klick. Ob die Anwendung danach noch läuft, hängt von CMS-Version, Erweiterungen und eigenem Code ab. Ohne Test riskieren Sie Ausfälle oder fehlerhafte Funktionen, etwa in der Kasse eines Shops.
Was ist, wenn mein CMS die neue PHP-Version nicht unterstützt?
Dann muss zuerst das CMS aktualisiert werden, unter Umständen auf eine neue Hauptversion. Bei Systemen ohne Weiterentwicklung kann ein Wechsel nötig sein. Bis dahin sichern wir den Server mit Übergangsmaßnahmen ab.