PHP-Version der Webseite: prüfen, wählen und umstellen

PHP ist die Programmiersprache, in der WordPress geschrieben ist und mit der Ihr Server jede Seite erzeugt, bevor sie im Browser ankommt. Welche Versionen von PHP zur Auswahl stehen, bestimmt Ihr Hosting, und bei vielen Anbietern stellen Sie die Version im Kundenbereich selbst ein. WordPress.org nennt zwei Gründe für eine aktuelle Version. PHP arbeitet mit jeder Version effizienter, sodass die Webseite schneller werden kann, und neuere Versionen bringen aktuelle Sicherheitsfunktionen mit. Ältere Versionen erhalten nach dem Ende ihres Unterstützungszeitraums keine Sicherheitsupdates mehr, sodass neu entdeckte Lücken dort offen bleiben.

Am 21. Oktober 2026 hat das PHP-Projekt Korrekturen für zwei kritische Lücken veröffentlicht, über die sich ohne Anmeldung fremder Code auf einem Server ausführen lässt. WordPress.org hat am selben Tag empfohlen, PHP sofort zu aktualisieren. Die Lücken betreffen nach diesem Hinweis jeden Server mit PHP und erfordern deshalb kein Update von WordPress. Für Ihre Webseite zählen damit zwei Fragen, nämlich ob die eingesetzte Version noch gepflegt wird und ob Ihr Hosting die aktuelle Korrekturversion bereits eingespielt hat.

Welche PHP-Versionen noch Sicherheitsupdates erhalten

Jede Hauptversion von PHP erhält nach Angaben von php.net ab ihrer Veröffentlichung zwei Jahre lang aktive Unterstützung, in der das Projekt Fehler und Sicherheitslücken in regelmäßigen Korrekturversionen behebt. Danach folgen zwei weitere Jahre, in denen ausschließlich kritische Sicherheitslücken geschlossen werden, und zwar nur bei Bedarf. Ist auch dieser Zeitraum abgelaufen, gilt eine Version als End of Life, und php.net rät zu einem möglichst baldigen Wechsel, da die Webseite sonst ungeschlossenen Sicherheitslücken ausgesetzt sein kann. Derzeit pflegt das Projekt vier Versionszweige, deren Unterstützung zu unterschiedlichen Zeitpunkten endet.

• PHP 8.5 mit aktiver Unterstützung bis Ende 2027 und Sicherheitsupdates bis zum 31. Dezember 2029
• PHP 8.4 mit aktiver Unterstützung bis Ende 2026 und Sicherheitsupdates bis zum 31. Dezember 2028
• PHP 8.3 nur noch mit Sicherheitsupdates, und zwar bis zum 31. Dezember 2027
• PHP 8.2 nur noch mit Sicherheitsupdates, und zwar bis zum 31. Dezember 2026

Für PHP 8.1 und ältere Versionen veröffentlicht das Projekt keine Updates mehr. Für die kritischen Lücken vom Oktober 2026 hat es bei PHP 7.4, 8.0 und 8.1 lediglich Korrekturen im Quelltext bereitgestellt. Für diese Zweige erscheint damit keine neue Version, die sich im Hosting auswählen ließe, sondern nur ein Ausschnitt des Quelltextes, den ein Hoster selbst einarbeiten müsste. PHP 8.6 befindet sich derzeit in der Testphase und ist laut php.net nicht für den Einsatz auf einer Live-Webseite gedacht.

Die kritischen PHP-Sicherheitslücken vom Oktober 2026

Die beiden Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619 schließen die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35, die php.net am 21. Oktober 2026 veröffentlicht hat. Nach der Sicherheitsmeldung des Projekts erlauben beide Lücken das Ausführen von fremdem Code ohne Anmeldung, und vollständige Gegenmaßnahmen gibt es nicht, weshalb allein das Update als sichere Lösung gilt. Entscheidend ist damit neben der Hauptversion wie 8.3 auch die Zahl nach dem zweiten Punkt, die bei PHP 8.3 mindestens 36 betragen sollte.

Viele Hoster aktualisieren PHP nach dem Hinweis von WordPress.org bereits oder richten zusätzliche Regeln in einer Web Application Firewall ein, also in einem Filter vor der Webseite. WordPress.org empfiehlt dennoch, das Update selbst zu überprüfen. Für Server mit einer Version vor 8.2 verweist WordPress.org auf das britische National Cyber Security Centre, nach dessen Empfehlung ein System offline gehen sollte, solange sich eine solche Lücke nicht beheben lässt. Diese Empfehlung richtet sich an Betreiberinnen und Betreiber eines eigenen Servers, während Sie bei einem gemieteten Hosting-Paket die Version im Kundenbereich wechseln oder Ihren Hoster um ein Update bitten.

PHP-Version in WordPress und im Hosting ablesen

In WordPress finden Sie die PHP-Version im Dashboard unter Werkzeuge › Website-Zustand im Reiter Bericht, wo der aufgeklappte Abschnitt Server die genaue Versionsnummer anzeigt. Liegt Ihre Version unter der von WordPress empfohlenen Version 8.3, erscheint nach Angaben von WordPress.org zusätzlich ein Hinweis auf dem Dashboard oder im Website-Zustand, der zu einer Aktualisierung von PHP rät. Vergleichen Sie die angezeigte Nummer am besten mit der Startseite von php.net, die für jeden gepflegten Versionszweig die aktuelle Korrekturversion nennt.

Im Verwaltungsprogramm Plesk öffnen Sie unter Websites & Domains bei der jeweiligen Domain den Punkt PHP. Dort stehen die eingestellte Version und der sogenannte Handler, also die Art, in der der Server PHP ausführt. Beide Werte lassen sich über eine Auswahlliste ändern. Je nach Hosting-Paket können Sie laut Plesk einzelne oder gar keine dieser Einstellungen selbst bearbeiten, und in diesem Fall übernimmt Ihr Hoster den Wechsel.

Die passende PHP-Version für WordPress wählen

WordPress empfiehlt in seinen Systemanforderungen PHP 8.3 oder neuer sowie MySQL ab Version 8.0 oder MariaDB ab Version 10.11. Ältere Umgebungen ab PHP 7.4 können WordPress zwar weiterhin ausführen, nach Angaben von WordPress.org haben diese Versionen ihr offizielles Ende aber bereits erreicht und können die Webseite Sicherheitslücken aussetzen. Laut der Übersicht zur Verträglichkeit im Handbuch von WordPress arbeiten die Versionen 7.0 und WordPress 7.1 mit PHP 8.2, 8.3, 8.4 und 8.5 zusammen.

Neben WordPress selbst müssen Theme und Plugins zur gewählten Version passen, wobei die Seite eines Plugins im Verzeichnis von WordPress.org im Feld PHP-Version die Mindestanforderung nennt. Ob ein Plugin auch mit einer neueren Version zurechtkommt, beantwortet dieses Feld allerdings nicht, weshalb sich ein Blick in das Änderungsprotokoll oder eine Nachfrage beim Hersteller empfiehlt. Plesk weist ausdrücklich darauf hin, dass verschiedene PHP-Versionen nicht vollständig miteinander verträglich sind und eine für eine bestimmte Version geschriebene Webseite unter einer anderen Fehler zeigen kann.

Bewährt hat sich eine Version mit regelmäßigen Korrekturen, also PHP 8.5 oder PHP 8.4. Bei PHP 8.4 geht die aktive Unterstützung Ende 2026 in die Phase der reinen Sicherheitsupdates bis 2028 über. Bietet Ihr Hoster diese Versionen noch nicht an oder benötigt eine Erweiterung eine ältere Version, bleibt PHP 8.3 bis Ende 2027 mit Sicherheitsupdates versorgt. Beim Umstieg von PHP 8.2, dessen Sicherheitsupdates zum Jahresende 2026 auslaufen, wählen Sie deshalb am besten direkt eine dieser neueren Versionen.

PHP-Version umstellen: Vorbereitung, Wechsel und Test

Vor dem Wechsel legen Sie eine vollständige Sicherung von Dateien und Datenbank an, mit der sich die Webseite laut WordPress.org in den bisherigen Zustand zurückversetzen lässt. Den Aufbau einer solchen Sicherung beschreibt der Ratgeber Backup und Notfallplan. Danach bringen Sie WordPress, Theme und Plugins auf der Seite Aktualisierungen im Dashboard auf den aktuellen Stand und prüfen, ob die Webseite anschließend fehlerfrei läuft. Die neue PHP-Version stellen Sie am besten zuerst auf einer Staging-Umgebung ein, also einer Kopie der Webseite für Tests, und sehen dort Startseite, Formulare und Dashboard durch.

In Plesk wählen Sie unter Websites & Domains bei Ihrer Domain den Punkt PHP, aktivieren falls nötig die PHP-Unterstützung und stellen in den Auswahllisten Version und Handler ein. Nach einem Klick auf OK greift die Änderung laut Plesk nach kurzer Zeit, wobei Subdomains die Einstellungen der übergeordneten Domain übernehmen, solange Sie für sie keine eigene Version festlegen. Fehlt die gewünschte Version in der Liste, wenden Sie sich an Ihren Hoster, wofür WordPress.org eine vorformulierte E-Mail mit der Bitte um ein Update von PHP bereitstellt.

Nach der Umstellung rufen Sie die wichtigsten Seiten am Rechner und auf dem Smartphone auf, senden eine Testnachricht über das Kontaktformular und melden sich im Dashboard an. Zeigt die Webseite Fehler, schalten Sie die bisherige Version am besten sofort wieder ein und klären die Ursache mit dem Hersteller des betroffenen Plugins oder Themes. Soll zusätzlich eine Sicherung zurückgespielt werden, stellt Ihr Hoster nach dem Rat von WordPress.org zuerst die frühere PHP-Version wieder her, bevor die Sicherung folgt.

Unser Tipp: Plesk erlaubt für jede Domain und Subdomain eine eigene PHP-Version, sofern Ihr Hosting-Paket diese Einstellung freigibt. Legen Sie deshalb eine Subdomain wie test.ihre-domain.de mit einer Kopie Ihrer Webseite an und stellen Sie nur dort die neue Version ein, während die Live-Webseite unverändert weiterläuft. Erst wenn alle Seiten, Formulare und Plugins auf der Kopie fehlerfrei arbeiten, übernehmen Sie dieselbe Version für die Hauptdomain.

Bei der Betreuung von WordPress-Webseiten übernimmt Early Webdesign den Test auf einer Kopie ebenso wie die Umstellung auf eine neuere PHP-Version. Im Rahmen der laufenden Wartung halten wir außerdem WordPress, Theme und Plugins aktuell, damit Ihre Erweiterungen zur eingestellten Version passen. Sprechen Sie uns gern an, wenn Ihr Dashboard einen Hinweis zur PHP-Version zeigt oder Sie unsicher sind, welche Version zu Ihrer Webseite passt.

Fazit

PHP ist die Grundlage, auf der WordPress jede Seite erzeugt, und jede Version erhält laut php.net zwei Jahre aktive Unterstützung und zwei weitere Jahre Sicherheitsupdates. Derzeit werden PHP 8.4 und 8.5 aktiv gepflegt, während PHP 8.3 bis Ende 2027 und PHP 8.2 bis Ende 2026 nur noch Sicherheitsupdates erhalten. Die kritischen Lücken vom 21. Oktober 2026 schließen die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35, und ein Update von WordPress ist dafür nicht nötig.

Die eingesetzte Version zeigt WordPress unter Werkzeuge › Website-Zustand im Bericht, und in Plesk steht sie unter Websites & Domains beim Punkt PHP. WordPress empfiehlt PHP 8.3 oder neuer, und die Versionen 7.0 und 7.1 arbeiten mit PHP 8.2 bis 8.5 zusammen, sofern auch Theme und Plugins die gewählte Version unterstützen. Vor dem Wechsel stehen eine Sicherung, aktuelle Erweiterungen und ein Test auf einer Kopie, und bei Fehlern lässt sich die bisherige Version wieder einschalten.

Stand: 30. Oktober 2026. Die Angaben beruhen auf der Übersicht der unterstützten Versionen und der Sicherheitsmeldung vom 21. Oktober 2026 auf php.net, auf der Meldung „Critical PHP Security Release“ vom 21. Oktober 2026, den Systemanforderungen in der Fassung vom 7. Mai 2026, der Seite „Update PHP“ in der Fassung vom 29. Juli 2026 und der Übersicht zur Verträglichkeit von PHP und WordPress im Core-Handbuch in der Fassung vom 19. August 2026 auf wordpress.org sowie auf der Dokumentation von Plesk Obsidian zu den PHP-Einstellungen.