PHP-Version prüfen: welches PHP Ihre Website wirklich nutzt

Wie prüfen Sie die PHP-Version in WordPress?

WordPress zeigt die PHP-Version im Website-Zustand an; dafür brauchen Sie ein Administratorkonto.

1. Öffnen Sie im WordPress-Dashboard Werkzeuge → Website-Zustand (englische Oberfläche: Tools → Site Health).
2. Wechseln Sie zum Tab Bericht (Info) und klappen Sie Server auf.
3. Notieren Sie PHP-Version und PHP-SAPI und geben Sie beides in den PHP-Version-Checker ein.

Die Anleitung zur WordPress-PHP-Version erklärt, was zu tun ist, wenn die Version zu alt ist.

Wie prüfen Sie die PHP-Version in cPanel?

cPanel zeigt und ändert PHP pro Domain im MultiPHP Manager, meist unter Software. Suchen Sie Ihre Domain in der Liste und notieren Sie ihre PHP-Version. Wenn Sie den MultiPHP Manager nicht sehen, verwaltet Ihr Hoster PHP für Sie; siehe PHP-Version in cPanel ändern und wenden Sie sich an den Support.

Wie prüfen Sie die PHP-Version in Plesk?

Gehen Sie in Plesk zu Websites & Domains, wählen Sie die Domain und öffnen Sie ihre PHP-Einstellungen. Dort sehen Sie die ausgewählte PHP-Version und den Handler. Eine Auswahlliste zeigt, welche Versionen verfügbar sind; sie beweist aber nicht, dass der installierte Build den Fix für PHP2Shell enthält.

Wie prüfen Sie die PHP-Version per SSH?

php -v gibt die Version des Kommandozeilen-PHP auf diesem Host aus. Ihre Website kann über PHP-FPM oder Apache ein anderes PHP nutzen, besonders auf Servern, auf denen mehrere PHP-Versionen parallel installiert sind. Um zu sehen, was die Website wirklich nutzt, prüfen Sie den Website-Zustand in WordPress oder Ihre Verwaltungsoberfläche, oder fragen Sie die Person, die den Server verwaltet, welcher PHP-FPM-Pool oder welches Apache-Modul die Website ausliefert. Geben Sie dann die Version und die Art, wie PHP läuft, in den PHP-Version-Checker ein.

Wenn PHP aus Ihrer Linux-Distribution stammt, notieren Sie auch die Paketversion (zum Beispiel aus Ihrer Paketverwaltung). Distributionen übernehmen Sicherheitsfixes oft per Backport, ohne die Versionsnummer von PHP zu ändern; siehe PHP unter Ubuntu aktualisieren.

Wie prüfen Sie die PHP-Version in Docker?

Sehen Sie nach, auf welchem Image Ihr Container basiert: in der FROM-Zeile Ihres Dockerfiles oder in der image:-Zeile Ihrer Compose-Datei. Das Image-Tag nennt meist die PHP-Version. Container behalten das PHP, mit dem sie gebaut wurden, bis Sie sie neu bauen und neu ausrollen. Prüfen Sie daher auch den laufenden Container, nicht nur die Datei. Siehe Docker-PHP-Image.

Warum zeigt die Kommandozeile eine andere PHP-Version als meine Website?

Auf Servern sind oft mehrere PHP-Versionen installiert, und Kommandozeile, PHP-FPM und Apache können jeweils eine andere nutzen. Worker, die seit einem Update nicht neu gestartet wurden, führen außerdem weiterhin das alte PHP aus. Ob die Website von PHP2Shell betroffen ist, entscheidet allein das PHP, das sie ausliefert. Deshalb fragt der Checker, wie PHP läuft.

Ist es sicher, zur Prüfung eine phpinfo-Seite zu veröffentlichen?

Veröffentlichen Sie keine phpinfo()-Seite: Sie legt Pfade, Module und Einstellungen offen, die Angreifern helfen, und wird leicht vergessen. Der Website-Zustand in WordPress oder Ihre Verwaltungsoberfläche zeigt die PHP-Version an, ohne etwas öffentlich preiszugeben.

Reicht die PHP-Versionsnummer, um zu wissen, dass ich gepatcht bin?

Nicht immer. Eine Version, die 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 (für ihren Versionszweig) entspricht oder neuer ist, enthält den Upstream-Fix. Eine niedrigere Nummer aus einer Linux-Distribution kann trotzdem per Backport gepatcht sein, und ein eigener Build braucht eigene Belege. Eine gepatchte Version sagt außerdem nichts darüber, ob die Website vor dem Update angegriffen wurde. Gehen Sie zurück zum PHP2Shell-Checker, um Ihr Ergebnis einzuordnen.

Welche Quellen belegen diese Seite?

• WordPress.org: Website-Zustand (Site Health)
• cPanel: MultiPHP Manager
• Plesk: PHP-Einstellungen
• PHP-Handbuch: phpversion
• PHP-Handbuch: php_sapi_name
• Docker: docker compose up