Jede fünfte .de-Seite mit sichtbarem PHP ohne Sicherheitsupdates

Ein Webserver verrät oft mehr, als er müsste. Viele .de-Seiten schreiben die genaue PHP-Version, mit der sie laufen, offen in ihren Antwort-Header, Ziffer für Ziffer. Das ist kein Einbruch und kein Trick, es steht einfach da. Wir haben nachgezählt, wie alt dieses PHP ist. Von 137.129 .de-Domains, die ihre Version zeigen, laufen 28.986 auf einem PHP, das keine Sicherheitsupdates mehr bekommt, Version 8.0 oder älter. Das sind 21,1 Prozent, gut ein Fünftel.

Gezählt wurde am 31. Oktober 2026 auf den aktuellen Startseiten. Die Grundmenge sind 1.269.684 .de-Domains, die mit einer echten Seite geantwortet haben (HTTP 200), nicht alle rund 15,5 Millionen .de. Davon nennen 137.129 ihre PHP-Version im Server-Feld, 10,8 Prozent. Die anderen schweigen, was nicht heißt, dass ihr PHP neuer ist. Alle folgenden Zahlen beziehen sich auf diese 137.129, die es freiwillig zeigen.

Von allen Seiten zu den betroffenen#

PHP hat feste Lebenszyklen. Nach dem Ende bekommt eine Version keine Sicherheitsupdates mehr: Eine neu gefundene Lücke bleibt dann offen, egal wie gut der Hoster sonst pflegt, weil es für diese Version keinen Patch mehr gibt. Welche Reihe wann ausläuft, steht bei den unterstützten Versionen auf php.net¹.

Teilt man die 137.129 Seiten danach auf, ergeben sich drei Gruppen. 97.571 laufen auf PHP 8.2 bis 8.5 und werden noch versorgt, 71,1 Prozent. 10.562 laufen auf PHP 8.1, dessen Sicherheitsphase Ende 2025 ausgelaufen ist, 7,7 Prozent. Und 28.986 laufen auf PHP 8.0 oder älter, 21,1 Prozent. Rechnet man die gerade erst ausgelaufene Reihe 8.1 dazu, sind es 39.548 Seiten, 28,8 Prozent, die nicht mehr voll versorgt werden.

Aufgedröselt nach Version#

Die größten Einzelposten sind PHP 8.2 mit 36.081 Seiten und PHP 8.3 mit 34.061, beide versorgt. Gleich danach kommt aber schon PHP 7.4 mit 15.680 Seiten, 11,4 Prozent, abgelaufen seit 2022. PHP 8.0 trägt 4.156 Seiten, PHP 7.3 noch 2.843, PHP 7.2 noch 1.741.

Am auffälligsten ist das Ende der Leiter. Über 3.500 Seiten laufen noch auf PHP 5, einer Reihe, die seit mindestens sieben Jahren kein Update mehr gesehen hat. 51 Seiten antworten sogar mit PHP 4 oder noch älter. Dass eine Website im Jahr 2026 so ins Netz antwortet, heißt in aller Regel: Hier schaut seit sehr langer Zeit niemand mehr hin.

Was das für WordPress heißt#

Ein großer Teil dieser Seiten läuft mit WordPress, und WordPress empfiehlt im Unterbau PHP 8.3 oder neuer² und warnt ausdrücklich, dass die ältere Reihe 7.4 ihr Lebensende erreicht hat und die Seite für Sicherheitslücken öffnen kann. 32.721 Seiten zeigen beides, WordPress und ihre PHP-Version. 6.134 davon laufen auf PHP ohne Sicherheitsupdates, 18,7 Prozent, fast jede fünfte sichtbare WordPress-Instanz im .de.

Was das heißt, und was nicht#

Abgelaufenes PHP ist eine echte Schwäche. Ohne Updates summieren sich über die Jahre bekannte Lücken, die niemand mehr schließt. Wer so eine Seite betreibt, sollte das PHP aktualisieren lassen, bei den meisten Hostern ist das ein Schalter im Kundenmenü.

Es ist derselbe Blick von außen, mit dem wir zuvor gezeigt haben, wie vielen .de-Domains ohne Mailserver SPF und DMARC fehlen: Was der Server über sich preisgibt, lässt sich im Großen zählen.

Drei ehrliche Einschränkungen gehören dazu. Es ist eine Untergrenze: Nur 10,8 Prozent der Seiten zeigen ihre Version überhaupt, die schweigende Mehrheit kann genauso alt sein. Sichtbar heißt nicht automatisch verwundbar: Einzelne Hoster backporten Sicherheitskorrekturen in alte Versionen, ohne die angezeigte Nummer zu ändern, bei abgelaufenen Versionen ist das aber die Ausnahme. Und es ist eine Momentaufnahme vom 31. Oktober 2026, der Abruf läuft weiter. Gemessen ist nur, was der Server über sich selbst sagt; einzelne Domains nennen wir nicht.