Zurück zum Trend des Tages: Zwei PHP-Lücken erlauben Fremden, Websites zu übernehmen; einige gingen vorsorglich offline
Poly-Ranking · aus dem Trend des Tages

PHP auf meiner Website aktualisieren: 10 gefährdete Plattformen 2026

Ein WordPress-Update behebt das nicht: WordPress.org teilt mit, dass kein WordPress-Update geplant ist. 24 Stunden nach der PHP-Korrektur liefen in einer Stichprobe der Suchmaschine Shodan noch 99,1 % der betroffenen WordPress-Server mit unkorrigiertem PHP.

  • Nr. 1: WordPress
  • 10 Plätze

01Endgültige Liste

Die führenden KIs haben unabhängig voneinander jeweils eine eigene Liste mit zehn Plätzen erstellt. Hier steht ein leicht prüfbares Ergebnis: Jeder Platz hat einen Grund, eine Quelle und die Liste der KIs, die ihn aufgenommen haben.

Reihenfolge: von größter bis geringster Übereinstimmung der KIs.

Ein helles Kennzeichen heißt: Diese KI hat den Eintrag auf ihre Liste gesetzt. Ein blasses: hat sie nicht.

  1. 1

    WordPress

    Das größte Risiko. Etwa jede dritte Installation läuft auf PHP 8.1 oder älter; die Angaben schwanken zwischen 32,4 % und 36,4 %. 33.075 betroffene Server in einer Shodan-Stichprobe, nur 299 korrigiert.

    Aufgenommen: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    In ihren Listen: Claude: 5 · ChatGPT: 1 · Grok: 1 · Nemotron: 1 · Gemini: 1 · Kimi: 1 · Wenxin: 1

    Was jede KI angemerkt hat 7
    • ClaudePlatz 5

      Etwa jede dritte WordPress-Installation meldet PHP 8.1 oder älter, und WordPress.org erklärte, dass kein WordPress-Update vorgesehen ist. Die Lösung ist das PHP-Update.

      Quelle ↗
    • ChatGPTPlatz 1

      Das meistgenutzte CMS der Welt kann die PHP-Engine nicht über den gewöhnlichen Update-Knopf von WordPress patchen.

      Quelle ↗
    • GrokPlatz 1

      Selbst eine vollständig gepatchte WordPress-Website bleibt angreifbar, bis der Host die darunterliegende PHP-Engine aktualisiert

      Quelle ↗
    • NemotronPlatz 1

      Laut WP.org-Statistik laufen ~60% der WordPress-Websites auf nicht mehr unterstütztem PHP (EOL). Auf den meisten verwalteten Hosts gibt es aber einen PHP-Wechsel mit einem Klick.

    • GeminiPlatz 1

      Über 40 Millionen aktualisierte Websites zeigen in wp-admin grüne Häkchen, während sie darunter still auf den End-of-Life-Engines PHP 7.4 oder 8.0 laufen.

      Quelle ↗
    • KimiPlatz 1

      Zwei von fünf Websites weltweit laufen damit. Und jede dritte meldet noch ein End-of-Life-PHP, während das vollständig aktualisierte WordPress 7.1.2 auf der Exploit-Demoliste des Forschers stand.

      Quelle ↗
    • WenxinPlatz 1

      Fast 4 von 10 Websites laufen darauf. Ein Klick im Dashboard kann die PHP-Engine wechseln, wenn der Host das erlaubt. Aber 18% der Installationen melden noch PHP 7.x oder älter

    7 KIs setzten es hierher
    Quelle ↗
  2. 2

    Drupal

    Fast die Hälfte der Drupal-Seiten nutzt bereits einen Kern ohne Support (allein 29 % auf Drupal 7). Nach einem Tag waren nur 31 von 3.919 betroffenen Servern korrigiert.

    Aufgenommen: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    In ihren Listen: Claude: 3 · ChatGPT: 3 · Grok: 2 · Nemotron: 2 · Gemini: 3 · Kimi: 4 · Wenxin: 2

    Was jede KI angemerkt hat 7
    • ClaudePlatz 3

      Wiz zeigte eine Fernausführung von Code (Remote Code Execution) gegen das neueste Drupal-Image. Ein aktueller Kern bot also keinen Schutz.

      Quelle ↗
    • ChatGPTPlatz 3

      Drupal dokumentiert eine harte Grenze: Keine unterstützte Drupal-Version unterstützt PHP 7, doch ein Drupal-Upgrade patcht PHP selbst trotzdem nicht.

      Quelle ↗
    • GrokPlatz 2

      Etwa die Hälfte der erkannten Drupal-Websites läuft bereits auf nicht mehr unterstützten Hauptversionen, und das darunterliegende PHP liegt ebenso außerhalb des Updaters der Plattform

    • NemotronPlatz 2

      Drupal 10+ erfordert PHP 8.1+, doch Drupal-7-Websites (noch ~15% der Installationen) hängen auf dem nicht mehr unterstützten PHP 7.4 fest

      Quelle ↗
    • GeminiPlatz 3

      Es gibt eine scharfe Kluft: Unternehmen, die noch an Drupal 7 festhalten und PHP-7.4-Laufzeiten behalten, obwohl Drupal 10 modernes PHP 8.2+ verlangt.

      Quelle ↗
    • KimiPlatz 4

      Fast die Hälfte aller Drupal-Websites läuft noch auf einem End-of-Life-Core. 29% laufen allein auf Drupal 7, seit Januar 2025 ohne Support. Ihr PHP ist daher meist noch älter.

    • WenxinPlatz 2

      Der Updater kann die Plattform ändern, aber nicht die PHP-Engine. 22% der Drupal-Websites laufen auf End-of-Life-PHP, weil der Host nie aktualisiert hat

      Quelle ↗
    7 KIs setzten es hierher
    Quelle ↗
  3. 3

    Joomla

    Nur 4 von 646 betroffenen Joomla-Servern hatten nach 24 Stunden eine korrigierte PHP-Version. Joomla.org selbst war offline, und die aktuelle Joomla 6.1.4 wurde bei einer Vorführung angegriffen.

    Aufgenommen: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    In ihren Listen: Claude: 4 · ChatGPT: 2 · Grok: 3 · Nemotron: 3 · Gemini: 2 · Kimi: 2 · Wenxin: 3

    Was jede KI angemerkt hat 7
    • ClaudePlatz 4

      Nur 4 der 1.099 Joomla-Hosts der OX-Stichprobe zeigten nach einem Tag ein gepatchtes PHP.

      Quelle ↗
    • ChatGPTPlatz 2

      Ein aktuelles Joomla-Dashboard kann über einer veralteten PHP-Engine laufen.

    • GrokPlatz 3

      Kleinerer Umfang als WordPress, aber dieselbe vom Host gesteuerte PHP-Hürde für jede Website, die die Korrekturen vom Oktober 2026 braucht

      Quelle ↗
    • NemotronPlatz 3

      Joomla 5.x braucht PHP 8.2+, 4.x auf 8.1. Viele 3.x-Websites laufen noch auf PHP 7.4 ohne Core-Upgrade-Pfad.

      Quelle ↗
    • GeminiPlatz 2

      Fast die Hälfte der produktiven Installationen läuft auf veraltetem PHP, weil Erweiterungen beim Umstieg auf PHP 8.2 oder 8.3 sofort brechen.

    • KimiPlatz 2

      82% der Joomla-Websites laufen noch auf Version 3, einer Software, die auf PHP von 2012 problemlos läuft. Die eigene Website des Joomla-Projekts ging wegen dieses Fehlers offline.

      Quelle ↗
    • WenxinPlatz 3

      Ein-Klick-Updater für Joomla selbst, keine Kontrolle über PHP. Jede fünfte Joomla-Installation läuft noch mit PHP 7.4

      Quelle ↗
    7 KIs setzten es hierher
    Quelle ↗
  4. 4

    Magento / Adobe Commerce

    Keiner der 48 betroffenen Magento-Server in der Stichprobe war nach einem Tag korrigiert. Sansec: „Sie können PHP2Shell nicht aus dem Code Ihres Shops heraus beheben.“

    Aufgenommen: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    In ihren Listen: Claude: 1 · ChatGPT: 4 · Grok: 4 · Nemotron: 4 · Gemini: 4 · Kimi: 3 · Wenxin: 4

    Was jede KI angemerkt hat 7
    • ClaudePlatz 1

      In der OX-Stichprobe waren 48 sichtbare Magento-Hosts betroffen, und keiner war nach 24 Stunden gepatcht. Die eigenen Updates eines Shops ändern PHP nie.

      Quelle ↗
    • ChatGPTPlatz 4

      Ein Fix auf Laufzeitebene kann zu einem abgestimmten Shop-Upgrade werden, wenn sich die PHP-Version und der unterstützte Abhängigkeits-Stack des Shops gemeinsam ändern müssen.

      Quelle ↗
    • GrokPlatz 4

      E-Commerce-Installationen, die auf der Plattform aktuell bleiben, können trotzdem auf ungepatchtem PHP sitzen, bis Server oder Host die Laufzeit wechseln

      Quelle ↗
    • NemotronPlatz 4

      Magento 2.4.7+ erfordert PHP 8.2+. Ältere 2.4.x auf PHP 8.1 bald ohne Support. Cloud aktualisiert PHP automatisch.

      Quelle ↗
    • GeminiPlatz 4

      Strikte kompilierte Abhängigkeits-Vorgaben bedeuten, dass ein Upgrade der PHP-Engine Neuaufbauten erfordert. E-Commerce-Shops bleiben so auf ausgedienten Laufzeiten stecken.

      Quelle ↗
    • KimiPlatz 3

      Magento-1-Shops haben seit Juni 2020 keinen offiziellen Sicherheitssupport mehr. Für sie gibt es diesen Notfall-Fix schlicht nicht, nur ein Serverupgrade hilft.

      Quelle ↗
    • WenxinPlatz 4

      Plattform für Unternehmen, aber der Updater patcht nur den Magento-Code. Ein PHP-Upgrade heißt, das Hosting-Unternehmen anzurufen. 30% der Shops laufen noch auf PHP 7.4

      Quelle ↗
    7 KIs setzten es hierher
    Quelle ↗
  5. 5

    Laravel und eigene PHP-Anwendungen

    Kein Dashboard warnt jemanden, und kein Framework-Werkzeug kann PHP ändern. 98,27 % der sichtbaren Laravel-Server waren nach einem Tag noch unkorrigiert (36 von 2.040 betroffenen wurden korrigiert).

    Aufgenommen: Claude, ChatGPT, Grok, Nemotron. Nicht aufgenommen: Gemini, Kimi, Wenxin.

    In ihren Listen: Claude: 6 · ChatGPT: 5 · Grok: 5 · Nemotron: 6

    Was jede KI angemerkt hat 4
    • ClaudePlatz 6

      98,27% der sichtbaren Laravel-Hosts der OX-Stichprobe waren noch ungepatcht, und das Framework hat kein Werkzeug, das das PHP des Servers ändert.

      Quelle ↗
    • ChatGPTPlatz 5

      Es gibt womöglich gar kein CMS-Dashboard, das den Besitzer warnt, dass die tatsächliche Laufzeit weiterhin verwundbar ist.

    • GrokPlatz 5

      Der Anwendungscode kann aktuell sein, während der darunterliegende PHP-Worker auf einem verwundbaren Zweig bleibt, bis ein Betreiber mit einem neuen Binary neu startet

      Quelle ↗
    • NemotronPlatz 6

      Laravel 11.x erfordert PHP 8.2+. Viele 10.x-Apps laufen auf PHP 8.1. Kein automatischer Updater für PHP.

      Quelle ↗
    4 KIs setzten es hierher
    Quelle ↗
  6. 6

    OpenCart und andere ältere PHP-Shops

    Alte Shops mit PHP 5.6–8.1 erhalten keine offizielle PHP-Version mehr. Ihre Lösung ist eine Sammlung von Community-Korrekturen, kein Ein-Klick-Update.

    Aufgenommen: Claude, Nemotron, Gemini. Nicht aufgenommen: ChatGPT, Grok, Kimi, Wenxin.

    In ihren Listen: Claude: 2 · Nemotron: 9 · Gemini: 5

    Was jede KI angemerkt hat 3
    • ClaudePlatz 2

      Die Lösung für diese Websites ist eine von der Community gepflegte Patch-Sammlung für PHP 5.6 bis 8.1, kein Ein-Klick-Update.

      Quelle ↗
    • NemotronPlatz 9

      OpenCart 4.x braucht PHP 8.1+. 3.x dominiert auf PHP 7.4/8.0. Das Erweiterungs-Ökosystem hinkt hinterher.

      Quelle ↗
    • GeminiPlatz 5

      Weit verbreitet auf unverwalteten, günstigen Shared Hosts, wo Shop-Betreiber selten wissen, dass ihr PHP-Interpreter fünf Jahre veraltet ist.

      Quelle ↗
    3 KIs setzten es hierher
    Quelle ↗
  7. 7

    cPanel, Plesk und phpMyAdmin

    0 von 587 betroffenen cPanel-Servern waren nach 24 Stunden korrigiert. Die Quellen widersprechen sich zur Reichweite der Korrektur: zurück bis PHP 5.2 (CloudLinux) oder nichts unter 7.3.

    Aufgenommen: Claude, ChatGPT, Kimi. Nicht aufgenommen: Grok, Nemotron, Gemini, Wenxin.

    In ihren Listen: Claude: 9 · ChatGPT: Liste ansehen · Kimi: 10

    Was jede KI angemerkt hat 3
    • ClaudePlatz 9

      Plesk lieferte gepatchte Builds für PHP 8.2 bis 8.5 aus, aber der Website-Besitzer muss sie trotzdem selbst einspielen.

      Quelle ↗
    • ChatGPT

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • KimiPlatz 10

      cPanel lieferte Fixes für PHP 7.4 bis 8.1, aber gar keine für PHP 7.3 und älter. So bleibt ein großer Rest an Control-Panel-Installationen eingefroren.

      Quelle ↗
    3 KIs setzten es hierher
    Quelle ↗
  8. 8

    WooCommerce

    Etwa jede fünfte WordPress-Seite ist ein WooCommerce-Shop. Dessen Dokumentation verlangt jetzt PHP 8.3 oder neuer, trotzdem werden Shops getroffen, „auch wenn ihr eigener Code sauber ist“.

    Aufgenommen: Grok, Kimi. Nicht aufgenommen: Claude, ChatGPT, Nemotron, Gemini, Wenxin.

    In ihren Listen: Grok: 10 · Kimi: 5

    Was jede KI angemerkt hat 2
    • GrokPlatz 10

      Das Shop-Plugin kann aktuell sein, während die PHP-Version, die im Website-Zustand angezeigt wird, verwundbar bleibt, bis der Host handelt

      Quelle ↗
    • KimiPlatz 5

      Jede fünfte WordPress-Website ist ein Shop. Die eigene Dokumentation von WooCommerce verlangt nun PHP 8.3+. Die meisten Shops laufen aber auf dem PHP, das ihr WordPress-Host gerade gewählt hat.

      Quelle ↗
    2 KIs setzten es hierher
    Quelle ↗
  9. 9

    MediaWiki

    Die Software hinter Wikipedia: MediaWiki 1.46.2 stand auf der Liste der Angriffs-Vorführungen, und Wikimedia schaltete seine eigene Phabricator-Instanz Stunden vor der Korrektur ab.

    Aufgenommen: Grok, Kimi. Nicht aufgenommen: Claude, ChatGPT, Nemotron, Gemini, Wenxin.

    In ihren Listen: Grok: 7 · Kimi: 7

    Was jede KI angemerkt hat 2
    • GrokPlatz 7

      Bekannte PHP-Installationen, die für den Engine-Patch das Infrastrukturteam brauchen, nicht die Wiki-Software

      Quelle ↗
    • KimiPlatz 7

      Die Software hinter Wikipedia teilt sich dieselbe Engine. Wikimedia schaltete die eigene Phabricator-Instanz Stunden vor dem Patch ab.

      Quelle ↗
    2 KIs setzten es hierher
    Quelle ↗
  10. 10

    Nextcloud (selbst gehostet)

    Ihr Ein-Klick-Updater aktualisiert die App, nicht PHP. Die aktuelle Nextcloud 35.0.1 wurde bei der Vorführung angegriffen. Nur eine KI hat sie gelistet, und es gibt keine Zahl betroffener Installationen.

    Aufgenommen: Kimi. Nicht aufgenommen: Claude, ChatGPT, Grok, Nemotron, Gemini, Wenxin.

    In ihren Listen: Kimi: 8

    Was jede KI angemerkt hat 1
    • KimiPlatz 8

      Nextclouds glatter Ein-Klick-Updater aktualisiert die App, kann aber das darunterliegende PHP nicht anfassen. Nextcloud 35.0.1 stand auf der Exploit-Demoliste.

      Quelle ↗
    1 KIs setzten es hierher
    Quelle ↗

Mehr über die ersten drei ↓

02Mehr über die ersten drei

Das Ranking steht oben. Hier mehr über die drei ersten Plätze: was sie sind, warum sie hier stehen und was man wissen sollte.

Die drei werden auf unterschiedlich großen Stichproben gemessen. Der Anteil der noch ungepatchten Hosts ist daher bei allen ähnlich, während die Zahl der gefährdeten Websites stark abweicht.

1WordPress

Nr. 1 — WordPress. In den Listen von 7 von 7 KIs; mittlerer Platz dort: 1. Sie hat den größten Bestand an gefährdeten Websites, und ein Update von WordPress selbst behebt die darunterliegende PHP-Engine nicht.

Schon gewusst?

  • WordPress-Versionen sind nach Jazzmusikern benannt. Version 1.0, veröffentlicht am 3. Januar 2004, hieß „Miles“. Die allererste Version, 0.7, erschien am 27. Mai 2003.

    Quelle ↗
Was es ist
Die meistgenutzte Website-Plattform, die auf PHP läuft.
Seine Stärke
Sie hat weit mehr betroffene Hosts als Drupal oder Joomla.
Wen es angeht
Nützlich für alle mit einer WordPress-Seite, denn deren eigenes Update behebt das Problem nicht.
  • Nach 24 Stunden gepatchte Hosts299 von 33.075 gepatcht

Wikipedia · Wikidata

Warum es hier steht

  • Bei einer Prüfung innerhalb von 24 Stunden lief bei 33.075 von 41.882 WordPress-Websites, die ihre PHP-Version anzeigten, eine betroffene Version. Nur 299 hatten eine gepatchte. Das ist der größte Bestand der drei Plattformen.

    Quelle ↗

  • Die eigenen PHP-Zahlen von WordPress vom Januar 2026: 22,20% der überwachten Websites liefen mit PHP 7.4, 15,39% mit 8.1 und 5,69% mit 8.0. Zusammen sind das etwa 43%, ohne ältere Versionen mitzuzählen.

    Quelle ↗
Geschichte

  • 2003 begann Matt Mullenweg WordPress als Fork von b2, einem Blog-Werkzeug. Dessen Entwickler hatte die Pflege eingestellt, daher nahm Mullenweg den freien Code und baute eine neue Version.

    Quelle ↗
Gut zu wissen

  • WordPress läuft noch auf PHP 7.4+, doch die offizielle Seite mit den Anforderungen sagt, dass diese Version das Ende ihres Supports erreicht hat und Ihre Website Sicherheitslücken aussetzen kann. Empfohlen wird PHP 8.3 oder neuer.

    Quelle ↗

  • Eine vom Hoster erzwungene PHP-Umstellung kann alte Themes oder Plugins funktionsunfähig machen. Bei einem Forennutzer funktionierte der Admin-Bereich nach einem PHP-Update nicht mehr, und der Hoster stellte PHP später wieder auf eine ältere Version zurück.

    Quelle ↗
Was die Leute sagen

  • While trying to fix a relatively minor Google Map API problem, I have gone down a rabbit hole that has taken my site offline. — justinfarquhar

    Quelle ↗
Weiterlesen

  • Öffnen Sie zuerst die Seite mit den Anforderungen und suchen Sie die Zeile zu PHP. Dort steht die PHP-Version, die WordPress für Ihren Hoster empfiehlt. Prüfen Sie dann im Hosting-Panel, welche PHP-Version Ihre eigene Website verwendet.

    Quelle ↗

Video: WordPress.org VS WordPress.com: The Confusing Differences Explained! (auf Englisch) · Darrel Wilson

Die ersten drei vergleichen ↓

2Drupal

Nr. 2 — Drupal. In den Listen von 7 von 7 KIs; mittlerer Platz dort: 3. Fast die Hälfte der Drupal-Websites läuft bereits auf einem nicht mehr unterstützten Kern, und kaum einer der betroffenen Hosts war nach einem Tag gepatcht.

Schon gewusst?

  • Der Name Drupal geht auf einen Tippfehler zurück. Dries Buytaert wollte „dorp.org“ (niederländisch für „Dorf“) eintippen, schrieb aber „drop“. Der Name Drupal leitet sich vom niederländischen Wort „druppel“ ab, was Tropfen bedeutet.

    Quelle ↗
Was es ist
Eine Website-Plattform, die oft für größere, maßgeschneiderte Seiten genutzt wird.
Seine Stärke
Viele Websites laufen auf einem Kern, der keine Sicherheitskorrekturen mehr erhält.
Wen es angeht
Nützlich für Drupal-Betreiber, die noch auf Version 7 sind und umsteigen müssen.
  • Nach 24 Stunden gepatchte Hosts31 von 3.919 gepatcht

Wikipedia · Wikidata

Warum es hier steht

  • Von 5.078 Drupal-Hosts, die ihre PHP-Version anzeigten, waren nach 24 Stunden 3.919 betroffen. Nur 31 hatten gepatcht, sodass 99,22% der Betroffenen noch offen waren.

    Quelle ↗

  • W3Techs zeigt Drupal 7 am 22. Oktober 2026 auf 29,0% der Drupal-Websites. Das ist mehr als Drupal 10 mit 28,7%, und Drupal 7 erhält keine Sicherheitskorrekturen mehr.

    Quelle ↗
Geschichte

  • Um 2000 teilten sich Dries Buytaert und Freunde in einem Studentenwohnheim ein ADSL-Modem unter acht Studenten. Sie bauten eine kleine Website zum Austausch, und daraus wurde Drupal.

    Quelle ↗
Gut zu wissen

  • Tag1 zufolge überträgt das Migrationswerkzeug des Kerns keine Views, also die gespeicherten Listen und Layouts, die Inhalte anzeigen. Diese Teile brauchen ein eigenes Modul oder müssen von Hand neu gebaut werden.

    Quelle ↗
Die ersten drei vergleichen ↓

3Joomla

Nr. 3 — Joomla. In den Listen von 7 von 7 KIs; mittlerer Platz dort: 3. Kaum ein betroffener Joomla-Host wurde gepatcht, und sogar die aktuelle Joomla-Version wurde in einer Demo ausgenutzt.

Schon gewusst?

  • Joomla ist eine Schreibweise des Suaheli-Wortes „Jumla“, das „alle zusammen“ oder „als Ganzes“ bedeutet. Das Gründungsteam wählte es, und Markenexperten und Marketingfachleute prüften den Namen, bevor er übernommen wurde.

    Quelle ↗
Was es ist
Eine Website-Plattform, die aus dem älteren Mambo hervorging.
Seine Stärke
Sie hatte den höchsten Anteil betroffener Hosts, die nach einem Tag noch offen waren.
Wen es angeht
Nützlich für Joomla-Betreiber, denn ein Joomla-Update allein schließt die Lücke nicht.
  • Nach 24 Stunden gepatchte Hosts4 von 646 gepatcht

Wikidata

Warum es hier steht

  • Von 1.099 Joomla-Hosts, die ihre PHP-Version anzeigten, waren 646 betroffen und nur 4 hatten nach 24 Stunden gepatcht. Mit 99,38% noch betroffen schnitt Joomla schlechter ab als WordPress (99,1%) und Drupal (99,22%).

    Quelle ↗

  • Forscher von Wiz zeigten eine Remote-Code-Ausführung ohne Anmeldung auf dem neuesten Joomla-Container-Image, bewertet mit CVSS 9,2. Der Fehler steckt in PHP selbst, daher schließt ein Joomla-Update allein ihn nicht.

    Quelle ↗
Geschichte

  • 2005 stiegen die Kern-Entwickler von Mambo nach einem Streit um die Kontrolle aus. Miro, dem der Name Mambo gehörte, gründete eine Stiftung, der die Entwickler nach eigener Aussage zu viel Macht verliehen. Danach starteten sie Joomla.

    Quelle ↗
Gut zu wissen

  • Joomla 3 wird nicht mehr unterstützt. Laut dem offiziellen Handbuch endete der Support am 17. August 2023 und der verlängerte Langzeitsupport (Extended LTS) am 17. Februar 2025. Websites, die noch darauf laufen, erhalten keine Korrekturen mehr.

    Quelle ↗
Was die Leute sagen

  • K2 extension do not work inside J4, and will not work (!) becuase of K2 developers. — Paul Frankowski

    Quelle ↗
Weiterlesen

  • Lesen Sie zuerst die Zeile zu PHP. Joomla 6 braucht mindestens PHP 8.3.0, empfohlen wird 8.4. Vergleichen Sie das mit der PHP-Version, die Ihr Hoster Ihrer Website zuweist.

    Quelle ↗
Die ersten drei vergleichen ↓

Die ersten drei nebeneinander

WordPressDrupalJoomla
In den KI-Listen7 / 77 / 77 / 7
Nach 24 Stunden gepatchte Hosts299 von 33.075 gepatcht31 von 3.919 gepatcht4 von 646 gepatcht
Auf Platz 1 beiChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin——

Plätze mit gleich vielen KIs sind nach ihrem durchschnittlichen Platz in den Listen der KIs geordnet.

Weitere Rankings

03Wissenswert

Was den KIs beim Erstellen der Liste aufgefallen ist.

24 Stunden nach der Korrektur waren in einer Shodan-Stichprobe noch 99,3 % der messbaren PHP-Instanzen unkorrigiert; korrigierte Server stiegen nur von 245 auf 14.151 von etwa 2 Mio.

Bemerkt von:
Aufgenommen: Claude, Grok. Nicht aufgenommen: ChatGPT, Nemotron, Gemini, Kimi, Wenxin.
Quelle ↗

Zwei unabhängige Zählungen stimmen überein: Etwa 7 von 10 offenen PHP-Servern laufen auf einem Zweig, den das PHP-Projekt nicht mehr unterstützt. Flare 72,7 %, Qualys 71 %.

Bemerkt von:
Aufgenommen: Claude. Nicht aufgenommen: ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.
Quelle ↗

Ein grünes Dashboard mit der Meldung „aktuell“ beweist hier nichts: Die Lücke liegt unterhalb von WordPress, Themes und Plugins, daher behebt nur ein PHP-Update sie.

Bemerkt von:
Aufgenommen: Claude, ChatGPT, Gemini, Kimi. Nicht aufgenommen: Grok, Nemotron, Wenxin.
Quelle ↗

Versionsnummern täuschen in beide Richtungen: CloudLinux-Rückportierungen können einen korrigierten Server mit PHP 8.5.11 anzeigen, während Distributionspakete eine alte Versionsbezeichnung behalten können.

Bemerkt von:
Aufgenommen: Claude, Kimi. Nicht aufgenommen: ChatGPT, Grok, Nemotron, Gemini, Wenxin.
Quelle ↗

Die Schätzungen der Betroffenen weichen je nach Methode stark ab: von etwa 1,3 Mio. Servern bis 2,6 Mio. (VulnCheck), 6,29 Mio. (Censys) und 22,6 Mio. „potenziell verwundbare“ Instanzen (Palo Alto Networks).

Bemerkt von:
Aufgenommen: Claude, Grok, Kimi. Nicht aufgenommen: ChatGPT, Nemotron, Gemini, Wenxin.
Quelle ↗

04Was Leute fragen

PHP aktualisieren

Wechseln Sie zu einer korrigierten Version: 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, und starten Sie danach jeden Dienst neu, der PHP lädt. Für PHP 8.1 und älter gibt es keine offizielle Korrektur; hier helfen eine vom Anbieter nachgereichte Korrektur oder ein Upgrade.

Quelle ↗
PHP auf meiner Website aktualisieren

Bei Shared- oder Managed-Hosting wählen Sie im Kontrollpanel Ihres Hosters eine korrigierte PHP-Version oder fragen den Support. WordPress, Drupal, Joomla oder Magento zu aktualisieren ändert die PHP-Engine nicht.

Quelle ↗
PHP unter Windows aktualisieren

Laden Sie einen korrigierten Windows-Build (8.5.12, 8.4.27, 8.3.36 oder 8.2.35) von windows.php.net herunter, ersetzen Sie den alten PHP-Ordner, behalten Sie aber die php.ini, und starten Sie danach IIS, Apache oder PHP-CGI neu.

Quelle ↗
PHP-Version aktualisieren

Prüfen Sie Ihre Version mit php -v und aktualisieren Sie auf 8.2.35 oder neuer. Da PHP 8.2 selbst am 31. Dezember 2026 das Ende des Supports erreicht, zielen Sie auf 8.3, 8.4 oder 8.5 und testen zuerst auf einer Testumgebung.

Quelle ↗

05So haben wir gezählt

In einfachen Worten, ohne Formeln.

1Die Frage

Top 10 Website-Plattformen, auf denen eine aktuelle Seite noch mit verwundbarem PHP laufen kann

2Warum dieses Thema

Hier stehen Nutzungsumfragen neben Internet-Scans, und es wird erfasst, wer die Korrektur tatsächlich kontrolliert. So sieht der Betreiber die Lücke zwischen „meine Website ist aktualisiert“ und „mein Server ist sicher“. Keine einzelne Tabelle zeigt diese Lücke.

3Wofür es gilt

Weltweit; WordPress, Drupal, Joomla, Magento und andere Website-Software, die auf PHP läuft

4Worauf wir geachtet haben

  • Anteil der Installationen jeder Plattform mit einer PHP-Version, deren Support abgelaufen ist
  • Anteil dieser Installationen, die Scanner aus dem Internet erreichen können
  • Anteil, die PHP auf verwundbare Weise betreiben, etwa im CGI-Modus
  • Ob der eigene Updater der Plattform die PHP-Engine ändern kann oder nur die Plattform selbst
  • Wie schnell die Korrektur eine typische Website erreicht: per Klick, über den Hoster oder durch ein manuelles Server-Upgrade
  • WordPress.org-Statistik – Anteil aktiver WordPress-Installationen nach gemeldeter PHP-Version. Die Werte der Live-Grafik weichen voneinander ab: 32,4 % bis 36,4 % auf PHP 8.1 oder älter
  • OX Security (Shodan-Stichprobe, 24 Stunden nach der Korrektur) – gefundene, betroffene und korrigierte Server je Technologie. Es ist eine Stichprobe, nicht das ganze Internet
  • W3Techs / TheDropTimes – Anteil der PHP-Versionen im Web und Drupal-Seiten auf Hauptversionen ohne Support

5Wer gerankt hat

Die führenden KIs: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin. Jede hat unabhängig ihre eigene Zehnerliste erstellt und für jeden Platz eine Quelle genannt.

6Wie die Plätze festgelegt wurden

Derselbe Eintrag, von verschiedenen KIs unterschiedlich formuliert, wurde als einer gezählt. Je mehr KIs einen Eintrag auf ihre Liste setzten und je höher, desto höher sein Platz. „Einigkeit der KIs“ zeigt, wie viele KIs ihn auf ihrer eigenen Liste hatten. Quellen sind nur die, die die KIs selbst gefunden haben; nichts wurde von Hand ergänzt.

06Die Liste jeder KI

🇺🇸 Claude10 Plätze · 4 Hinweise

Dieselbe Frage, allein von Claude beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    Magento / Adobe Commerce (selbst gehostet)

    In der OX-Stichprobe waren 48 sichtbare Magento-Hosts betroffen, und keiner war nach 24 Stunden gepatcht. Die eigenen Updates eines Shops ändern PHP nie.

    Quelle ↗
  2. 2
    OpenCart und andere ältere PHP-Shops

    Die Lösung für diese Websites ist eine von der Community gepflegte Patch-Sammlung für PHP 5.6 bis 8.1, kein Ein-Klick-Update.

    Quelle ↗
  3. 3
    Drupal (selbst gehostet)

    Wiz zeigte eine Fernausführung von Code (Remote Code Execution) gegen das neueste Drupal-Image. Ein aktueller Kern bot also keinen Schutz.

    Quelle ↗
  4. 4
    Joomla (selbst gehostet)

    Nur 4 der 1.099 Joomla-Hosts der OX-Stichprobe zeigten nach einem Tag ein gepatchtes PHP.

    Quelle ↗
  5. 5
    WordPress auf Shared-Hosting oder einem eigenen virtuellen Server

    Etwa jede dritte WordPress-Installation meldet PHP 8.1 oder älter, und WordPress.org erklärte, dass kein WordPress-Update vorgesehen ist. Die Lösung ist das PHP-Update.

    Quelle ↗
  6. 6
    Laravel und individuelle PHP-Apps auf gemieteten Servern

    98,27% der sichtbaren Laravel-Hosts der OX-Stichprobe waren noch ungepatcht, und das Framework hat kein Werkzeug, das das PHP des Servers ändert.

    Quelle ↗
  7. 7
    Docker-basierte Images von WordPress / Drupal / Joomla

    Ein Neuaufbau behebt es, aber das offizielle php-Image erhält für 8.1 und ältere Versionen keinen Fix.

    Quelle ↗
  8. 8
    Websites auf cPanel-/CloudLinux-Shared-Hosting

    Die PHP-Pakete des Control Panels wurden bis zurück zu PHP 5.2 gepatcht, aber eine gepatchte Website kann trotzdem eine alte Versionsnummer anzeigen.

    Quelle ↗
  9. 9
    Mit Plesk verwaltete Websites (virtuelle Server und Hoster)

    Plesk lieferte gepatchte Builds für PHP 8.2 bis 8.5 aus, aber der Website-Besitzer muss sie trotzdem selbst einspielen.

    Quelle ↗
  10. 10
    Verwaltetes WordPress-Hosting (Pantheon, Pressable, Kinsta, WP Engine)

    Pantheon und Pressable waren am 22. Oktober bereits vollständig gepatcht. WP Engine und Flywheel schalteten während der Auslieferung ihrer Updates einen Schutz über ein CDN (Auslieferungsnetz) davor.

    Quelle ↗

Was Claude aufgefallen ist

Die Shodan-Stichprobe von OX Security fand 24 Stunden nach dem Fix noch bei 99,3% der messbaren PHP-Instanzen keinen Patch. Die Zahl gepatchter Instanzen stieg von 245 auf 14.151 von rund 2 Mio.

Quelle ↗

Zwei unabhängige Messungen stimmen überein: Etwa 7 von 10 offen erreichbaren PHP-Installationen laufen auf einem Zweig, den das PHP-Projekt nicht mehr unterstützt. Flare: 72,7% der Dienst-Einträge. Qualys: 71% der Installationen.

Quelle ↗

Ein aktualisiertes WordPress-Dashboard wiegt in falscher Sicherheit. Codeable sagt, WordPress.org habe bestätigt, dass kein WordPress-Update nötig oder geplant ist, weil die Lücke unterhalb von WordPress, Themes und Plugins liegt.

Quelle ↗

Eine Anzeige kann in beide Richtungen täuschen. CloudLinux-Backports können dazu führen, dass ein gepatchter Host PHP 8.5.11 anzeigt, während Ubuntu- oder Debian-Pakete die alte Versionsangabe beibehalten.

Quelle ↗
🇺🇸 ChatGPT10 Plätze · 3 Hinweise

Dieselbe Frage, allein von ChatGPT beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    WordPress-Websites — PHP-Sicherheitsupdate, 2026

    Das meistgenutzte CMS der Welt kann die PHP-Engine nicht über den gewöhnlichen Update-Knopf von WordPress patchen.

    Quelle ↗
  2. 2
    Joomla-Websites — PHP-Sicherheitsupdate, 2026

    Ein aktuelles Joomla-Dashboard kann über einer veralteten PHP-Engine laufen.

  3. 3
    Drupal-Websites — PHP-Sicherheitsupdate, 2026

    Drupal dokumentiert eine harte Grenze: Keine unterstützte Drupal-Version unterstützt PHP 7, doch ein Drupal-Upgrade patcht PHP selbst trotzdem nicht.

    Quelle ↗
  4. 4
    Adobe Commerce und Magento Open Source — PHP-Sicherheitsupdate, 2026

    Ein Fix auf Laufzeitebene kann zu einem abgestimmten Shop-Upgrade werden, wenn sich die PHP-Version und der unterstützte Abhängigkeits-Stack des Shops gemeinsam ändern müssen.

    Quelle ↗
  5. 5
    Individuelle PHP-Websites — PHP-Sicherheitsupdate, 2026

    Es gibt womöglich gar kein CMS-Dashboard, das den Besitzer warnt, dass die tatsächliche Laufzeit weiterhin verwundbar ist.

  6. 6
    Ältere PHP-Anwendungen — PHP-Sicherheitsupdate, 2026

    PHP 5 und PHP 7 zusammen machten in der W3Techs-Momentaufnahme vom 19. Oktober 34,7% der erkannten PHP-Websites aus. Das ist aber nicht dasselbe wie der Anteil, der für diese CVEs verwundbar ist.

    Quelle ↗
  7. 7
    PHP-Anwendungen auf Shared-Hosting — PHP-Sicherheitsupdate, 2026

    Eine einzige Laufzeit auf Host-Ebene kann für viele separat betreute Kundenwebsites der Sicherheits-Engpass sein.

    Quelle ↗
  8. 8
    PHP-Websites bei verwaltetem Cloud-Hosting — PHP-Sicherheitsupdate, 2026

    Managed Hosting kann den Weg zum Patch verkürzen, aber nur, wenn der Anbieter die tatsächliche Laufzeit aktualisiert und den ausgerollten Dienst überprüft.

    Quelle ↗
  9. 9
    PHP-Anwendungen in Geräten und Drittanbieter-Produkten — PHP-Sicherheitsupdate, 2026

    Ein Website-Besitzer weiß vielleicht nicht einmal, dass ein gekauftes Produkt die PHP-Laufzeit enthält, die aktualisiert werden muss.

    Quelle ↗
  10. 10
    PHP-Websites mit automatischer Serverbereitstellung — PHP-Sicherheitsupdate, 2026

    Automatisierung kann einen Notfall-Patch zu einer routinemäßigen Auslieferung machen. Eine Pipeline, die nur Anwendungsdateien aktualisiert, lässt die Laufzeit aber unberührt.

    Quelle ↗

Was ChatGPT aufgefallen ist

PHP machte im W3Techs-Vergleich vom 13. Oktober 69,7% der Websites mit erkannter serverseitiger Sprache aus. Bei diesem Ausmaß wird eine Lücke in der Laufzeit zu einem Problem des gesamten Ökosystems und nicht nur eines CMS.

Quelle ↗

Am 19. Oktober 2026 nutzten 27,0% der erkannten PHP-Websites PHP 7 und 7,7% PHP 5. Das ist eine deutliche Warnung vor veralteter Wartung, aber keiner der beiden Werte misst direkt die Gefährdung durch die beiden neu veröffentlichten CVEs.

Quelle ↗

Ein CMS-Update und ein PHP-Laufzeit-Update sind getrennte Vorgänge. WordPress legt die Wahl der PHP-Version ausdrücklich auf Server- oder Hosting-Ebene. Das erklärt, warum ein scheinbar aktuelles Dashboard eine ungepatchte Engine verbergen kann.

Quelle ↗
🇺🇸 Grok10 Plätze · 3 Hinweise

Dieselbe Frage, allein von Grok beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    WordPress

    Selbst eine vollständig gepatchte WordPress-Website bleibt angreifbar, bis der Host die darunterliegende PHP-Engine aktualisiert

    Quelle ↗
  2. 2
    Drupal

    Etwa die Hälfte der erkannten Drupal-Websites läuft bereits auf nicht mehr unterstützten Hauptversionen, und das darunterliegende PHP liegt ebenso außerhalb des Updaters der Plattform

  3. 3
    Joomla

    Kleinerer Umfang als WordPress, aber dieselbe vom Host gesteuerte PHP-Hürde für jede Website, die die Korrekturen vom Oktober 2026 braucht

    Quelle ↗
  4. 4
    Magento / Adobe Commerce

    E-Commerce-Installationen, die auf der Plattform aktuell bleiben, können trotzdem auf ungepatchtem PHP sitzen, bis Server oder Host die Laufzeit wechseln

    Quelle ↗
  5. 5
    Laravel (und ähnliche PHP-Frameworks)

    Der Anwendungscode kann aktuell sein, während der darunterliegende PHP-Worker auf einem verwundbaren Zweig bleibt, bis ein Betreiber mit einem neuen Binary neu startet

    Quelle ↗
  6. 6
    PrestaShop

    Open-Source-Shop-Software, deren Sicherheitsreleases die PHP-Engine nicht anfassen, die die Seiten tatsächlich ausliefert

    Quelle ↗
  7. 7
    MediaWiki / Websites der Wikipedia-Familie

    Bekannte PHP-Installationen, die für den Engine-Patch das Infrastrukturteam brauchen, nicht die Wiki-Software

    Quelle ↗
  8. 8
    phpBB und andere PHP-Foren

    Forum-Software-Updates lassen den Interpreter unberührt. Shared Hosts entscheiden, wann das verwundbare PHP verschwindet

    Quelle ↗
  9. 9
    Individuelle PHP-Anwendungen auf Shared-Hosting

    Gar kein Plattform-Updater. Der einzige Hebel des Website-Besitzers ist der PHP-Auswähler des Hosts oder ein Support-Ticket

    Quelle ↗
  10. 10
    WooCommerce-Shops auf WordPress

    Das Shop-Plugin kann aktuell sein, während die PHP-Version, die im Website-Zustand angezeigt wird, verwundbar bleibt, bis der Host handelt

    Quelle ↗

Was Grok aufgefallen ist

PHP betreibt 69,3% der Websites, deren serverseitige Sprache bekannt ist. Doch die einzige vollständige Lösung für die Lücken zur Fernausführung von Code vom Oktober 2026 ist ein Laufzeit-Upgrade, das fast kein CMS selbst durchführen kann.

Quelle ↗

Daten von WordPress.org zeigen weiterhin 16,24% der aktiven Installationen auf PHP 7.4 und 10,68% auf PHP 8.1. Beide Zweige liegen außerhalb der Zweige, die offizielle Korrekturversionen erhalten haben.

Quelle ↗

Hosts wie GoDaddy meldeten, ihre verwalteten PHP-Flotten innerhalb von Stunden gepatcht zu haben. Doch jede Website auf einem älteren Zweig oder auf einem selbst verwalteten Server blieb bis zu einer manuellen Änderung angreifbar.

Quelle ↗
🇺🇸 Nemotron10 Plätze · 1 Hinweise

Dieselbe Frage, allein von Nemotron beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    WordPress

    Laut WP.org-Statistik laufen ~60% der WordPress-Websites auf nicht mehr unterstütztem PHP (EOL). Auf den meisten verwalteten Hosts gibt es aber einen PHP-Wechsel mit einem Klick.

  2. 2
    Drupal

    Drupal 10+ erfordert PHP 8.1+, doch Drupal-7-Websites (noch ~15% der Installationen) hängen auf dem nicht mehr unterstützten PHP 7.4 fest

    Quelle ↗
  3. 3
    Joomla

    Joomla 5.x braucht PHP 8.2+, 4.x auf 8.1. Viele 3.x-Websites laufen noch auf PHP 7.4 ohne Core-Upgrade-Pfad.

    Quelle ↗
  4. 4
    Magento / Adobe Commerce

    Magento 2.4.7+ erfordert PHP 8.2+. Ältere 2.4.x auf PHP 8.1 bald ohne Support. Cloud aktualisiert PHP automatisch.

    Quelle ↗
  5. 5
    TYPO3

    TYPO3 v12 LTS braucht PHP 8.1+. v11 seit 2024 ohne Support. Viele v10/v11-Websites laufen auf PHP 7.4/8.0.

  6. 6
    Laravel (Framework, kein CMS)

    Laravel 11.x erfordert PHP 8.2+. Viele 10.x-Apps laufen auf PHP 8.1. Kein automatischer Updater für PHP.

    Quelle ↗
  7. 7
    Symfony (Framework)

    Symfony 7.x braucht PHP 8.2+, 6.4 LTS auf 8.1. Viele 5.4/6.x-Apps laufen auf älterem PHP.

    Quelle ↗
  8. 8
    PrestaShop

    PrestaShop 8.1+ braucht PHP 8.1. 1.7 ist noch weit verbreitet auf PHP 7.4. Kein PHP-Umschalter im Core.

    Quelle ↗
  9. 9
    OpenCart

    OpenCart 4.x braucht PHP 8.1+. 3.x dominiert auf PHP 7.4/8.0. Das Erweiterungs-Ökosystem hinkt hinterher.

    Quelle ↗
  10. 10
    Moodle

    Moodle 4.5 braucht PHP 8.2, 4.1 LTS auf 8.0. Viele 3.11/4.0-Websites laufen auf PHP 7.4.

    Quelle ↗

Was Nemotron aufgefallen ist

Der CGI/FPM-Modus ist wichtig: PHP-FPM mit opcache verbirgt die Version in den Headern, CGI zeigt sie. Scanner übersehen FPM-Pools hinter Proxys.

Quelle ↗
🇺🇸 Gemini10 Plätze · 1 Hinweise

Dieselbe Frage, allein von Gemini beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    WordPress

    Über 40 Millionen aktualisierte Websites zeigen in wp-admin grüne Häkchen, während sie darunter still auf den End-of-Life-Engines PHP 7.4 oder 8.0 laufen.

    Quelle ↗
  2. 2
    Joomla

    Fast die Hälfte der produktiven Installationen läuft auf veraltetem PHP, weil Erweiterungen beim Umstieg auf PHP 8.2 oder 8.3 sofort brechen.

  3. 3
    Drupal

    Es gibt eine scharfe Kluft: Unternehmen, die noch an Drupal 7 festhalten und PHP-7.4-Laufzeiten behalten, obwohl Drupal 10 modernes PHP 8.2+ verlangt.

    Quelle ↗
  4. 4
    Magento (Adobe Commerce)

    Strikte kompilierte Abhängigkeits-Vorgaben bedeuten, dass ein Upgrade der PHP-Engine Neuaufbauten erfordert. E-Commerce-Shops bleiben so auf ausgedienten Laufzeiten stecken.

    Quelle ↗
  5. 5
    OpenCart

    Weit verbreitet auf unverwalteten, günstigen Shared Hosts, wo Shop-Betreiber selten wissen, dass ihr PHP-Interpreter fünf Jahre veraltet ist.

    Quelle ↗
  6. 6
    PrestaShop

    Inkompatibilitäten bei Zahlungsmodulen halten 38% der aktiven Händler bei dem veralteten PHP 7.4, trotz kritischer Sicherheitswarnungen.

    Quelle ↗
  7. 7
    TYPO3

    Long-Term-Support-Zyklen in Unternehmen garantieren CMS-Patches für bis zu 6 Jahre, oft länger als der Standard-Support der darunterliegenden PHP-Laufzeit.

    Quelle ↗
  8. 8
    Moodle

    Hochschulen laufen im starren Rhythmus des Akademikjahres. Dadurch bleiben Serverstapel zwischen den Studienjahren auf ausgedienten PHP-Versionen eingefroren.

    Quelle ↗
  9. 9
    phpBB

    Tausende alte Community-Foren laufen auf vergessenen Hobby-Servern. Die Forum-Anwendung wird aktualisiert, während Apache FastCGI unverändert bleibt.

    Quelle ↗
  10. 10
    vBulletin

    Inhaber kommerzieller Lizenzen behalten alte Installationen auf historischen LAMP-Stapeln, um teure Lizenzverlängerungen zu vermeiden.

Was Gemini aufgefallen ist

Über 35% aller PHP-basierten Websites weltweit laufen weiter auf PHP 7.4 oder älter. Diese Versionen erhalten seit Jahren keine offiziellen Sicherheitsupdates der Community mehr.

Quelle ↗
🇨🇳 Kimi10 Plätze · 4 Hinweise

Dieselbe Frage, allein von Kimi beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    WordPress (2026)

    Zwei von fünf Websites weltweit laufen damit. Und jede dritte meldet noch ein End-of-Life-PHP, während das vollständig aktualisierte WordPress 7.1.2 auf der Exploit-Demoliste des Forschers stand.

    Quelle ↗
  2. 2
    Joomla (2026)

    82% der Joomla-Websites laufen noch auf Version 3, einer Software, die auf PHP von 2012 problemlos läuft. Die eigene Website des Joomla-Projekts ging wegen dieses Fehlers offline.

    Quelle ↗
  3. 3
    Magento / Adobe Commerce (2026)

    Magento-1-Shops haben seit Juni 2020 keinen offiziellen Sicherheitssupport mehr. Für sie gibt es diesen Notfall-Fix schlicht nicht, nur ein Serverupgrade hilft.

    Quelle ↗
  4. 4
    Drupal (2026)

    Fast die Hälfte aller Drupal-Websites läuft noch auf einem End-of-Life-Core. 29% laufen allein auf Drupal 7, seit Januar 2025 ohne Support. Ihr PHP ist daher meist noch älter.

  5. 5
    WooCommerce (2026)

    Jede fünfte WordPress-Website ist ein Shop. Die eigene Dokumentation von WooCommerce verlangt nun PHP 8.3+. Die meisten Shops laufen aber auf dem PHP, das ihr WordPress-Host gerade gewählt hat.

    Quelle ↗
  6. 6
    Shopware (2026)

    Sansecs Warnung am ersten Tag fasste Shopware mit Magento zusammen: Shops in der DACH-Region seien verwundbar, „selbst wenn ihr eigener Code sauber ist“.

    Quelle ↗
  7. 7
    MediaWiki (2026)

    Die Software hinter Wikipedia teilt sich dieselbe Engine. Wikimedia schaltete die eigene Phabricator-Instanz Stunden vor dem Patch ab.

    Quelle ↗
  8. 8
    Nextcloud (selbst gehostet, 2026)

    Nextclouds glatter Ein-Klick-Updater aktualisiert die App, kann aber das darunterliegende PHP nicht anfassen. Nextcloud 35.0.1 stand auf der Exploit-Demoliste.

    Quelle ↗
  9. 9
    WHMCS (2026)

    Das Abrechnungs-Panel, mit dem Hosting-Firmen ihr „vollständig verwaltetes“ Hosting verkaufen, stand selbst auf der Liste der betroffenen Produkte des Forschers.

    Quelle ↗
  10. 10
    phpMyAdmin / cPanel- und Plesk-Verwaltungsoberflächen (2026)

    cPanel lieferte Fixes für PHP 7.4 bis 8.1, aber gar keine für PHP 7.3 und älter. So bleibt ein großer Rest an Control-Panel-Installationen eingefroren.

    Quelle ↗

Was Kimi aufgefallen ist

Ein aktualisiertes Admin-Dashboard kann täuschen. WordPress.org bestätigte, dass für diese Lücken kein WordPress-Update nötig oder geplant ist. Der Fix steckt allein in der PHP-Engine. Ein grünes Abzeichen „alles ist aktuell“ ist auf jeder Plattform eine trügerische Sicherheit.

Quelle ↗

Jede dritte WordPress-Website läuft auf einem End-of-Life-PHP (7.4 + 8.0 + 8.1 = 32,4% im Oktober 2026). 7,7% aller PHP-Websites laufen noch auf PHP 5. Allein Version 5.6 macht davon 55% aus, auf Servern, die ein Jahrzehnt an Fixes verpasst haben.

Quelle ↗

Der Weg zum Fix richtet sich nach dem Geschäftsmodell, nicht nach dem Land: Hostinger und OVHcloud spielten den Patch bei jedem verwalteten Kunden automatisch ein (Hostinger war am 22. Oktober um 06:44 UTC fertig). GoDaddy forderte Kunden auf, selbst zu prüfen und zu aktualisieren. Das ehrenamtlich betriebene Remi-Repository hatte am ersten Tag keine Pakete.

Quelle ↗

mod_php ist der schlimmste Fall: Dort erwies sich PHP mit Standardgrenzen als vollständige Fernausführung von Code, noch bevor Anwendungscode läuft. Das erinnert an CVE-2024-4577, den Windows-CGI-Fehler, der binnen Tagen massenhaft ausgenutzt wurde, während End-of-Life-Zweige nie einen Patch bekamen.

Quelle ↗
🇨🇳 Wenxin10 Plätze · 1 Hinweise

Dieselbe Frage, allein von Wenxin beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    WordPress 6.x (2026)

    Fast 4 von 10 Websites laufen darauf. Ein Klick im Dashboard kann die PHP-Engine wechseln, wenn der Host das erlaubt. Aber 18% der Installationen melden noch PHP 7.x oder älter

  2. 2
    Drupal 10/11 (2026)

    Der Updater kann die Plattform ändern, aber nicht die PHP-Engine. 22% der Drupal-Websites laufen auf End-of-Life-PHP, weil der Host nie aktualisiert hat

    Quelle ↗
  3. 3
    Joomla 4/5 (2026)

    Ein-Klick-Updater für Joomla selbst, keine Kontrolle über PHP. Jede fünfte Joomla-Installation läuft noch mit PHP 7.4

    Quelle ↗
  4. 4
    Magento (Adobe Commerce) 2.4 (2026)

    Plattform für Unternehmen, aber der Updater patcht nur den Magento-Code. Ein PHP-Upgrade heißt, das Hosting-Unternehmen anzurufen. 30% der Shops laufen noch auf PHP 7.4

    Quelle ↗
  5. 5
    Wix / Squarespace (Online-Dienst, 2026)

    Diese Plattformen betreiben ihre eigenen PHP-Stacks. Der Nutzer fasst die Engine nie an, daher kommt der Fix am Tag, an dem PHP ausgeliefert wird. Doch die Bindung an die Plattform verbirgt das Risiko

  6. 6
    Shopify (Online-Dienst, 2026)

    Wie Wix: vollständig verwaltet, das PHP-Risiko trägt der Anbieter. Wegen der enormen Größe trifft aber eine einzige fehlerhafte Patch-Welle gleichzeitig Hunderttausende Shops

  7. 7
    PrestaShop (2026)

    Open-Source-E-Commerce mit Ein-Klick-Updater für die App, nicht für PHP. Rund 27% der Shops laufen noch auf PHP 7.4 oder älter.

    Quelle ↗
  8. 8
    TYPO3 CMS (2026)

    Deutsch entwickeltes CMS, mit dem Admins PHP im Installationstool wechseln können. Doch nur 14% der Installateure tun das, sodass mehr als 300.000 gefährdet bleiben

  9. 9
    Craft CMS (2026)

    Boutique-CMS mit aufgeräumtem Updater. Der Haken: Die meisten Kleinunternehmens-Websites laufen auf Shared Hosts, die PHP nie aktualisieren. 19% laufen auf End-of-Life-PHP.

  10. 10
    Concrete CMS (2026)

    Der Updater der Plattform patcht das CMS, nicht PHP. Der kleinste Fußabdruck hier bedeutet die wenigsten Betroffenen insgesamt, aber den langsamsten Patch-Takt

Was Wenxin aufgefallen ist

Der Mythos vom „Ein-Klick-Updater“: WordPress, Drupal, Joomla und Magento lassen sich alle mit einem Klick aktualisieren. Keines kann aber die darunterlaufende PHP-Engine upgraden. Dieser Schritt braucht den Host.

Quelle ↗