PHP-Version herausfinden: 5 Wege für Website, Server und WordPress

Warum ist die PHP-Version gerade jetzt wichtig?

Am 21. Oktober 2026 wurden mit PHP2Shell zwei kritische Lücken in PHP geschlossen, über die Angreifer Webserver übernehmen können. Sicher sind PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 und neuer. Was hinter der Lücke steckt, erklärt der Ratgeber PHP-Sicherheitslücke PHP2Shell.

Weg 1: Im Kundenmenü des Hosters

Fast jeder Hoster zeigt die PHP-Version je Domain im Kundenmenü, oft unter Begriffen wie PHP-Einstellungen, PHP-Version oder bei cPanel im MultiPHP Manager, bei Plesk unter Websites und Domains. Dort steht meist nur der Zweig, etwa 8.3, nicht die genaue Version. Den Patchstand nennt Ihnen der Hoster auf Anfrage.

Weg 2: In WordPress

Melden Sie sich als Administrator an und öffnen Sie Werkzeuge, Website-Zustand, dann den Reiter Bericht. Im Abschnitt Server steht die PHP-Version, mit der WordPress gerade läuft. Diese Angabe ist verlässlicher als php -v auf der Kommandozeile, weil sie vom Webserver selbst stammt.

Weg 3: Mit einem Online-Check von außen

Manche Server verraten die PHP-Version in jeder Antwort, im Header X-Powered-By. Der kostenlose PHP2Shell-Check liest diese Angabe und vergleicht sie mit den abgesicherten Versionen. Verbirgt der Server die Version, erkennt der Check trotzdem, ob die Seite auf PHP läuft, etwa an WordPress- oder Joomla-Spuren im Quelltext.

Weg 4: Per Kommandozeile auf dem Server

php -v
php-fpm8.3 -v                       # Debian, Ubuntu
php-fpm -v                          # Red Hat
ls /etc/php/                        # installierte Versionen unter Debian, Ubuntu

Auf vielen Servern sind mehrere PHP-Versionen installiert. Die Kommandozeile kann eine andere nutzen als die Website. Prüfen Sie deshalb immer die Version von PHP-FPM oder des Apache-Moduls, mit der die Website läuft.

Weg 5: phpinfo(), aber nur für einen Moment

Eine Datei mit dem Inhalt phpinfo() zeigt Version, Konfiguration und geladene Erweiterungen genau so, wie der Webserver sie nutzt. Legen Sie sie mit einem zufälligen Namen ab, rufen Sie sie einmal auf und löschen Sie sie sofort wieder. Eine vergessene phpinfo-Datei verrät Angreifern Pfade, Einstellungen und Versionen.

<?php phpinfo();

Versionsnummer oder Paketstand: Was zählt?

Wer PHP aus den Paketen von Ubuntu oder Red Hat bezieht, sieht oft eine alte Versionsnummer, obwohl das Paket abgesichert ist. Ubuntu 24.04 meldet etwa PHP 8.3.6, die Korrektur gegen PHP2Shell steckt im Paket 8.3.6-0ubuntu0.24.04.13. Debian und Fremd-Repositories wie packages.sury.org liefern dagegen die neue Upstream-Version aus. Den Paketstand zeigt dpkg -l 'php*' oder rpm -qa 'php*'; die Details stehen in der Anleitung zum PHP-Sicherheitsupdate.

Sollte man die PHP-Version verstecken?

Ja, als Ergänzung. Mit expose_php = Off in der php.ini sendet PHP den Header X-Powered-By nicht mehr, und Angreifer erkennen ungepatchte Server nicht mehr auf einen Blick. Eine Lücke schließt das nicht: Automatisierte Angriffe probieren es einfach aus.

expose_php = Off

Ihr nächster Schritt

Ist Ihre Version älter als die Tabelle oben, sprechen Sie heute mit Ihrem Hoster oder Administrator. Für WordPress-Seiten gibt es eine fertige Anfrage im Ratgeber WordPress und PHP2Shell. Wenn wir das übernehmen sollen, schreiben Sie uns über die Anfrage.