# Was ist PHP? Die Programmiersprache erklärt

> Was ist PHP? Wie die Skriptsprache Webseiten auf dem Server erzeugt, wo sie im Unternehmen läuft und warum ihre Version für die Sicherheit zählt.

Quelle: https://phpsos.de/php/was-ist-php/  
Stand: 25.10.2026  
Anbieter: PHP SOS, PHP-Notfallhilfe und Server-Sicherheit. Soforthilfe per WhatsApp: https://wa.me/491736494914?text=Hallo%20PHP%20SOS%2C%20wir%20brauchen%20Hilfe%20mit%20unserem%20PHP-Server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

**Kurz gesagt:** PHP ist eine quelloffene Skriptsprache, die vor allem für Webanwendungen genutzt wird. Der Code läuft auf dem Server, erzeugt dort HTML und schickt nur das Ergebnis an den Browser. Weil viele CMS, Shops und interne Werkzeuge auf PHP aufbauen, ist die PHP-Version auf dem Server ein eigener Sicherheitsfaktor, unabhängig vom CMS-Update.

## Was ist PHP? Eine Definition in einfachen Worten

Das PHP-Handbuch beschreibt PHP als weit verbreitete, quelloffene und allgemein einsetzbare Skriptsprache, die sich besonders für die Webentwicklung eignet und in HTML eingebettet werden kann. Der Name ist ein rekursives Akronym, also eine Abkürzung, die sich selbst enthält: „PHP: Hypertext Preprocessor“.

Der entscheidende Unterschied zu JavaScript im Browser: PHP-Code wird auf dem Server ausgeführt. Der Besucher erhält nur das fertige Ergebnis und sieht den Quelltext nicht. Das macht PHP geeignet für alles, was vertraulich bleiben muss, etwa Datenbankzugriffe, Anmeldungen oder Preisberechnungen.

Laut Handbuch hat PHP zwei Haupteinsatzgebiete: serverseitige Skripte für Websites und Skripte auf der Kommandozeile, zum Beispiel regelmäßige Aufgaben per Cron. Beides findet man in fast jedem Unternehmen, das eine eigene Website, einen Shop oder ein Kundenportal betreibt.

## Wo steckt PHP in Ihrem Unternehmen?

PHP ist selten direkt sichtbar. Es steckt in Software, die Sie unter anderem Namen kennen. Typische Beispiele:

- **Content-Management-Systeme** wie WordPress, TYPO3, Joomla, Drupal oder Contao
- **Shopsysteme** wie Shopware, WooCommerce, Magento oder PrestaShop
- **Interne Dienste** wie Nextcloud, Moodle, MediaWiki oder Matomo
- **Eigenentwicklungen** auf Basis von Frameworks wie Laravel oder Symfony
- **Weboberflächen** von Geräten und Hosting-Panels

Jede dieser Anwendungen braucht eine installierte PHP-Laufzeit, also das Programm, das den PHP-Code ausführt. Diese Laufzeit ist eine eigene Software mit eigenen Updates. Ein Update von WordPress oder Shopware aktualisiert PHP nicht. Wer welche Systeme betreibt, gehört deshalb in ein Inventar, wie es der Beitrag [Inventar aller Websites und Server](https://phpsos.de/blog/inventar-websites-server/) beschreibt.

## Wie sieht PHP-Code aus?

PHP-Code steht zwischen den Markierungen `<?php` und `?>`. Alles außerhalb wird unverändert als HTML ausgegeben. Ein kleines, harmloses Beispiel:

```php
<?php
$stunde = (int) date('G');
$gruss  = $stunde < 12 ? 'Guten Morgen' : 'Guten Tag';
?>
<!DOCTYPE html>
<html lang="de">
  <body>
    <p><?= htmlspecialchars($gruss) ?>, heute ist der <?= date('d.m.Y') ?>.</p>
  </body>
</html>
```

Der Server führt den PHP-Teil aus und schickt dem Browser nur fertiges HTML, etwa „Guten Tag, heute ist der 25.10.2026“. Die Funktion `htmlspecialchars()` wandelt Sonderzeichen um und schützt so vor eingeschleustem HTML. Solche eingebauten Schutzfunktionen sind ein Grund, warum sauber geschriebener PHP-Code sicher sein kann.

## Aus welchen Bausteinen besteht eine PHP-Umgebung?

Eine PHP-Website besteht nicht nur aus dem Code der Anwendung. Mehrere Schichten arbeiten zusammen, und jede braucht eigene Pflege:

| Baustein | Aufgabe | Wer aktualisiert typischerweise? |
|---|---|---|
| Webserver (Apache, Nginx, LiteSpeed) | nimmt Anfragen aus dem Netz an | Hoster oder Server-Admin |
| PHP-Laufzeit (Interpreter) | führt den PHP-Code aus | Hoster, Server-Admin, Paketquelle |
| Erweiterungen | Datenbanktreiber, Bildbearbeitung, Verschlüsselung | mit der PHP-Laufzeit |
| Konfiguration (`php.ini`) | Grenzen, Fehlerausgabe, Sessions | Server-Admin |
| Anwendung (CMS, Shop) | Inhalte und Geschäftslogik | Agentur oder eigenes Team |
| Plugins und Bibliotheken | Zusatzfunktionen | Agentur oder eigenes Team |

Die Verbindung zwischen Webserver und PHP nennt man SAPI (Server Application Programming Interface). Ob PHP als Apache-Modul, über PHP-FPM oder als CGI läuft, hat Folgen für Betrieb und Sicherheit. Mehr dazu unter [SAPI erklärt](https://phpsos.de/php/sapi-erklaert/) und im Beitrag [Wie PHP eine Webseite erzeugt](https://phpsos.de/php/wie-php-funktioniert/).

## Warum die PHP-Version für die Sicherheit zählt

Jede PHP-Version wird nur eine begrenzte Zeit gepflegt. Laut php.net gibt es für jeden Versionszweig zwei Jahre aktive Unterstützung und danach zwei Jahre nur noch Sicherheitskorrekturen. Danach ist der Zweig am Ende seiner Lebensdauer und erhält keine offiziellen Updates mehr. Die Einzelheiten stehen unter [PHP-Versionen und Release-Zyklus](https://phpsos.de/php/release-zyklus/).

Wie wichtig das ist, zeigt PHP2Shell. Im Oktober 2026 wurden zwei kritische Lücken in PHP selbst bekannt, CVE-2026-109618 und CVE-2026-109619, beide mit CVSS v4.0 9.2. Sie erlauben die Ausführung von Schadcode aus der Ferne ohne Anmeldung. Behoben sind sie in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es keine offiziellen Updates mehr.

Für Entscheider ergeben sich daraus drei Punkte:

1. Ein CMS-Update schließt keine Lücke in PHP. Beides muss getrennt aktualisiert werden.
2. Nach einem PHP-Update müssen alle PHP-Prozesse neu gestartet werden, sonst läuft der alte Code im Speicher weiter.
3. Ein Patch beweist nicht, dass vorher nichts passiert ist. Bei ungeschützten Servern gehört eine Prüfung auf Spuren dazu.

> **Wichtig:**
> Klären Sie schriftlich, wer bei Ihnen für die PHP-Laufzeit zuständig ist: Hoster, Agentur oder eigene IT. Bei PHP2Shell zeigte sich, dass diese Frage in vielen Unternehmen offen war.

Was die Lücke genau ist und wen sie betrifft, erklärt die Seite [Was ist PHP2Shell?](https://phpsos.de/php2shell/was-ist-php2shell/).

## Wie hilft PHP SOS konkret?

- **Bestand erfassen:** Wir ermitteln, welche Ihrer Systeme PHP nutzen, in welcher Version und Betriebsart.
- **Zuständigkeit klären:** Wir zeigen, welche Teile Ihr Hoster pflegt und welche bei Ihnen oder Ihrer Agentur liegen.
- **Aktualisieren:** Über den [PHP-Patch-Service](https://phpsos.de/leistungen/php-patch-service/) spielen wir Updates ein, starten alle Prozesse neu und dokumentieren den Stand.
- **Nachprüfen:** Wo ein Server ungeschützt erreichbar war, prüfen wir auf Spuren eines Einbruchs.


## Häufige Fragen

**Ist PHP eine Programmiersprache oder nur eine Skriptsprache?**  
Beides trifft zu. PHP ist eine vollwertige, allgemein einsetzbare Programmiersprache mit Funktionen, Klassen und Typen. Als Skriptsprache wird sie bezeichnet, weil der Quelltext nicht vorab zu einer ausführbaren Datei übersetzt wird, sondern zur Laufzeit vom PHP-Interpreter verarbeitet wird.

**Sehen Besucher meiner Website den PHP-Code?**  
Nein. PHP läuft auf dem Server, der Browser erhält nur das Ergebnis, meist HTML. Ausnahmen entstehen durch Fehlkonfiguration, etwa wenn der Webserver PHP-Dateien als Text ausliefert oder Sicherungskopien wie index.php.bak öffentlich liegen.

**Woran erkenne ich, ob meine Website mit PHP läuft?**  
Die meisten verbreiteten CMS und Shopsysteme wie WordPress, TYPO3, Shopware, Joomla oder Nextcloud sind in PHP geschrieben. Sicher klären lässt es sich über den Hoster, die Agentur oder einen Blick in die Serverkonfiguration.

**Muss ich als Geschäftsführer PHP verstehen?**  
Nicht im Detail. Wichtig ist zu wissen, dass PHP eine eigene Software mit eigenen Updates ist, getrennt vom CMS. Wer für die PHP-Version auf Ihren Servern zuständig ist, sollte schriftlich geklärt sein.

## Quellen

- [PHP-Handbuch: Einführung](https://www.php.net/manual/en/introduction.php)
- [PHP-Handbuch: Geschichte von PHP](https://www.php.net/manual/en/history.php.php)
- [php.net: Unterstützte Versionen](https://www.php.net/supported-versions.php)