Mail vom Hoster: „Ihre PHP-Version ist veraltet.“ Was jetzt?

Meistens ja. Hoster verschicken solche Hinweise seit Jahren, und in diesem Herbst verschicken sie besonders viele. Trotzdem ist genau diese Mail eine beliebte Vorlage für Fälschungen: Sie klingt technisch, sie klingt dringend, und sie enthält einen Link.

Der Umgang damit kostet dreißig Sekunden. Klick nicht auf den Link in der Mail. Melde dich so an, wie du es immer tust — über dein Lesezeichen oder die Adresse, die du kennst. Steht die Meldung auch dort im Kundenbereich, war die Mail echt. Steht sie nicht dort, war sie es nicht.

Das gilt für jede Mail, die etwas von dir will: nie der Weg aus der Mail, immer der Weg, den du selbst kennst. Und wenn dir eine Mail Angst macht, ist das schon ein Grund, ihr nicht zu folgen.

Weil nichts passiert. Keine Fehlermeldung, kein Hinweis im Verwaltungsbereich, keine rote Zeile. PHP ist die Sprache, in der WordPress geschrieben ist; sie läuft auf dem Server, unter der Website. Ein WordPress-Update aktualisiert sie nicht mit. Das liegt beim Hoster — und bei dir, falls du im Kundenbereich die Version selbst auswählen darfst.

WordPress ist dabei erstaunlich geduldig. Empfohlen ist PHP 8.3 oder neuer. Laufen tut es schon ab 7.4, einer Version, deren Pflege 2022 endete. Die Projektseite schreibt das offen hin: Diese Versionen hätten „ihr offizielles Lebensende erreicht und können deine Seite Sicherheitslücken aussetzen“.

Genau darin liegt die Falle. Ein System, das nein sagt, erzieht. Ein System, das weiterläuft, lässt die Frage offen — und offene Fragen bleiben jahrelang offen. Deshalb ist diese Mail nützlich: Sie ist oft der einzige Moment, in dem jemand die Frage überhaupt stellt.

Sichtbar: nichts. Die Seite ist am 1. Januar erreichbar wie vorher, nichts wird abgeschaltet, niemand wird gesperrt. Was endet, ist die Wartung. Für Lücken, die nach diesem Datum in PHP 8.2 gefunden werden, erscheint keine Korrektur mehr.

Wie das in der Praxis aussieht, hat dieser Oktober gezeigt. Für die PHP-Lücke, die damals die Runde machte, kam für 8.2 ein Update. Für 8.1, dessen Frist ein Jahr früher ablief, kam keines — dieselbe Lücke, derselbe Tag, zwei verschiedene Antworten. Der Unterschied war allein das Datum.

Welche Version wie lange gepflegt wird, steht als Tabelle im Lagebericht. Dort wird sie fortgeschrieben — zwei Tabellen mit denselben Daten veralten sonst unterschiedlich schnell.

Der naheliegende Schritt ist der von 8.2 auf 8.3: eine Version weiter, klingt vorsichtig. Es ist der Schritt, von dem ich abrate. 8.3 wird selbst nur noch mit Sicherheitskorrekturen versorgt und endet am 31. Dezember 2027. Du hättest ein Jahr gewonnen und dieselbe Mail im nächsten Herbst wieder im Postfach.

Sinnvoll ist 8.4: gepflegt bis Ende 2028, seit knapp zwei Jahren im Einsatz, von Themes und Erweiterungen gut vertragen. Bei einer neuen Installation kannst du direkt zu 8.5 gehen. Bei einer bestehenden würde ich 8.5 erst nehmen, wenn alle Erweiterungen sie ausdrücklich unterstützen — sonst tauschst du ein bekanntes Problem gegen ein unbekanntes.

Die Regel dahinter ist einfacher als die Versionsnummern: nicht die älteste Version wählen, die noch läuft, sondern die neueste, die deine Seite verträgt.

Das ist die eigentliche Angst, und sie ist berechtigt: Eine neuere PHP-Version kann alten Code zum Stehen bringen. Betroffen sind fast immer dieselben drei Dinge — eine Erweiterung, die seit Jahren nicht gepflegt wird, ein gekauftes Theme ohne Aktualisierungen, oder selbst geschriebener Code in der functions.php.

Entscheidend ist der Satz, der selten dabeisteht: Das Umstellen ist umkehrbar. Die Version ist eine Einstellung, kein Eingriff. Wenn die Seite nach dem Wechsel weiß bleibt oder einen Serverfehler zeigt, schaltest du zurück, und sie ist wieder da. Deshalb darf man es wagen — man muss es nur zur richtigen Zeit tun.

• +Vorher ein Backup, und zwar eines, das schon einmal zurückgespielt wurde.
• +Erst alles aktualisieren: WordPress, Theme, Erweiterungen. Die meisten Probleme sind damit schon weg.
• +Wenn der Hoster eine Testumgebung anbietet, dort umstellen und durchklicken. Sonst: nicht Freitagabend und nicht vor dem Urlaub.
• +Nach dem Umstellen die Seiten aufrufen, die etwas tun — Kontaktformular, Suche, Anmeldung, Bestellvorgang. Nur die Startseite zu prüfen, reicht nicht.
• +Was nicht mehr läuft, nennt dir das Fehlerprotokoll des Hosters. Dort steht meist genau die Datei, die das Problem macht.

Bleibt etwas liegen, ist das kein Grund, auf der alten Version zu bleiben. Es ist der Hinweis, dass dort etwas steht, das seit Jahren niemand mehr pflegt — und das wäre auch ohne den Stichtag ein Problem.