Alte PHP-Version (7.4, 8.0, 8.1): PHP2Shell beheben ohne offizielles Update

Kurz gesagt: Für PHP 7.4, 8.0 und 8.1 gibt es keine fertigen Updates. Das PHP-Projekt hat nur Korrekturen im Quellcode veröffentlicht. Die sichere Lösung ist der Umstieg auf PHP 8.2 oder neuer. Weil dabei alter Code brechen kann, sollten Sie ihn planen, aber nicht aufschieben.

Warum es für Ihre Version kein Update gibt

PHP-Versionen werden nur einige Jahre gepflegt. Danach gibt es keine Sicherheitsupdates mehr. Bei PHP2Shell gibt es fertige, abgesicherte Versionen nur für:

Versionszweig	Abgesicherte Version
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35
PHP 8.1, 8.0, 7.4	nur Quellcode-Korrekturen, keine fertige Version
PHP 7.3 und älter	keine Korrektur

„Nur Quellcode-Korrekturen“ heißt: Ein Fachmann müsste PHP selbst anpassen und neu bauen. Das machen Hoster, Linux-Distributionen oder spezialisierte Anbieter, aber nicht jeder.

Ihre Möglichkeiten im Überblick

1. Auf PHP 8.2 oder neuer umsteigen (empfohlen)

Das ist die einzige Lösung, die PHP2Shell schließt und Sie vor künftigen Lücken schützt. Wie aufwendig das ist, hängt davon ab, wie alt die Software Ihrer Website ist. Risiken und Vorgehen beschreiben die Abschnitte weiter unten.

2. Gepflegte Pakete Ihres Anbieters nutzen (Übergang)

Manche Anbieter pflegen alte PHP-Versionen weiter und bauen die Korrekturen selbst ein:

• Linux-Distributionen mit Langzeitpflege, wenn Ihre Version dort noch unterstützt wird. Ob die Korrektur enthalten ist, steht im Änderungsprotokoll des Pakets (siehe Debian und Ubuntu bzw. AlmaLinux, Rocky und RHEL).
• Hoster und Panels, die alte Versionen selbst absichern. Fragen Sie konkret nach, ob PHP2Shell für Ihre Version behoben ist.
• Kommerzielle Anbieter für verlängerten Support älterer PHP-Versionen.

Das kauft Ihnen Zeit, ersetzt den Umstieg aber nicht.

3. Übergangsweise absichern

Wenn weder Update noch Umstieg sofort möglich sind, senken diese Maßnahmen das Risiko. Sie ersetzen kein Update:

• Die Website vom Netz nehmen oder nur über VPN bzw. Passwortschutz auf Server-Ebene erreichbar machen.
• In der PHP-Konfiguration session.upload_progress.enabled = 0 setzen.
• Ohne Datei-Uploads: file_uploads = Off und Anfragen mit multipart/form-data am Webserver oder in einer Web Application Firewall blockieren.
• memory_limit = -1 setzen. Achtung: Dann kann eine einzelne Anfrage beliebig viel Speicher belegen. Der Server muss überwacht werden.

Welche Risiken hat der Umstieg auf PHP 8.2?

Zwischen PHP 7.4 und PHP 8.2 liegen drei große Versionsschritte. PHP ist in dieser Zeit deutlich strenger geworden. Für Sie als Betreiber heißt das:

• Die Website kann ganz ausfallen. Statt Ihrer Seite erscheint eine weiße Seite oder eine Fehlermeldung.
• Einzelne Funktionen können ausfallen, die man nicht sofort bemerkt: Kontaktformular, Rechnungs-PDF, Newsletter-Anmeldung, Schnittstelle zur Warenwirtschaft.
• Alte Plugins, Themes oder Erweiterungen, für die es keine Updates mehr gibt, funktionieren oft gar nicht mehr und müssen ersetzt werden.
• Eigenentwicklungen, die eine Agentur vor Jahren programmiert hat, müssen meist angepasst werden.
• Alte Shop- oder CMS-Versionen (z. B. Shopware 5, Magento 1, Joomla 3, Contao 3) laufen auf neuem PHP teilweise gar nicht. Dann ist ein Update der ganzen Software nötig.
• Kosten: Die Anpassung kann von einer Stunde bis zu mehreren Tagen Entwicklungsarbeit reichen. Holen Sie ein Angebot ein, bevor Sie entscheiden.

So planen Sie den Umstieg

1. Bestandsaufnahme: Welche Software läuft (CMS, Shop, Plugins, Eigenentwicklungen) und in welcher Version? Ihre Agentur oder Ihr Hoster kann das ermitteln.
2. Sicherung von Dateien und Datenbank anlegen.
3. Testkopie erstellen (Staging) und dort PHP umstellen. Viele Hoster bieten das mit wenigen Klicks an.
4. Software aktualisieren, erst auf der Testkopie: CMS, Plugins, Theme, Shop.
5. Alles Wichtige durchklicken: Formulare, Login, Bestellung bis zur Bestätigung, E-Mails, Schnittstellen.
6. Fehler beheben lassen, bis die Testkopie einwandfrei läuft.
7. Live umstellen zu einer ruhigen Zeit und danach noch einmal testen.
8. Notfallplan: Die alte PHP-Version für ein paar Tage installiert lassen, damit Sie im Notfall zurückstellen können.

Schrittweise ist sicherer als in einem Sprung: Wer von 7.4 kommt, kann zuerst auf 8.2 wechseln und später weitergehen.

Muss die Website neu gemacht werden?

Meist nicht. Bei gepflegten Systemen wie aktuellem WordPress reicht oft ein Update von Plugins und Theme. Ein Neubau lohnt sich erst, wenn die Software so alt ist, dass es für sie keine Version mit Unterstützung für PHP 8.2 gibt. Lassen Sie sich das von einem Fachmann bestätigen, bevor Sie viel Geld ausgeben.

So prüfen Sie, ob es geklappt hat

Nach dem Umstieg prüfen Sie Ihre Website mit unserem kostenlosen Check. Die PHP-Version im Kundenmenü Ihres Hosters oder im CMS sollte jetzt 8.2 oder neuer zeigen.