PHP-Version herausfinden: So prüfen Sie die Version Ihrer Website

Wer die PHP-Version herausfinden will, hat meist einen konkreten Anlass. Ein Plugin verlangt eine Mindestversion, der Hoster kündigt eine Umstellung an, oder eine Sicherheitslücke betrifft nur bestimmte Versionen. Die Zahl lässt sich in wenigen Minuten ablesen, schwieriger ist die Frage, welche Zahl auf einem Server die richtige ist.

Kommandozeile, Webserver und Container können verschiedene PHP-Versionen nutzen. Linux-Distributionen liefern Korrekturen außerdem oft unter einer alten Versionsnummer aus. Die folgenden Wege reichen vom Kundenmenü bis zum Changelog des Pakets.

Welche PHP-Version habe ich? Der schnellste Weg

Am schnellsten finden Sie die Antwort in der Verwaltung Ihres Hosters, denn dort steht die PHP-Version, mit der Ihre Domain läuft. Nutzen Sie WordPress, zeigt der Website-Zustand dieselbe Angabe ohne Login beim Hoster. Auf einem eigenen Server prüfen Sie die Version des Webservers, nicht nur die der Kommandozeile.

Bei Shared-Hosting-Paketen, etwa von IONOS oder Strato, steht die PHP-Version in der Verwaltung des Pakets, meist unter einem eigenen Menüpunkt zu PHP. In Plesk öffnen Sie unter "Websites & Domains" die PHP-Einstellungen der jeweiligen Domain. In cPanel zeigt der MultiPHP Manager für jede Domain die eingestellte Version.

Ob der Hoster nach einer Lücke wie PHP2Shell gepatcht hat, zeigt das Panel nicht immer, denn gepatchte Versionen behalten teils ihre alte Nummer. Eine Übersicht zeigt, was die großen Hoster gemeldet haben.

Manche Oberflächen nennen nur den Zweig, etwa 8.3, ohne den genauen Patch-Stand. Für die vollständige Nummer brauchen Sie einen der folgenden Wege. Liegen Webdesign und Betrieb Ihrer Website bei einem Dienstleister, kann er Ihnen Version und Patch-Stand nennen.

So prüfen Sie die PHP-Version in WordPress

Melden Sie sich mit einem Administratorkonto an und öffnen Sie "Werkzeuge" und dann "Website-Zustand". Im Tab "Bericht" klappen Sie den Abschnitt "Server" auf. Dort stehen die PHP-Version und die PHP-SAPI, also die Schnittstelle, über die der Webserver PHP ausführt.

Diese Angabe ist verlässlich, weil WordPress sie aus dem laufenden Web-Prozess liest, also genau aus dem PHP, das Ihre Seiten ausliefert. Der Tab "Status" meldet veraltete Versionen zusätzlich als Problem, und auf dem Dashboard erscheint bei älteren Versionen der Hinweis "PHP-Update erforderlich". Die Anforderungen von WordPress empfehlen laut wordpress.org PHP 8.3 oder neuer.

PHP-Version mit einer Testdatei anzeigen

Ohne CMS hilft eine kleine Testdatei mit der Funktion phpinfo(), die neben der PHP-Version sehr viele weitere Daten ausgibt. Das PHP-Handbuch nennt unter anderem Pfade, Konfigurationswerte, HTTP-Header und Umgebungsvariablen. Deshalb gehört die Datei nur für wenige Minuten auf den Server.

1. Legen Sie eine Datei mit einem zufälligen Namen an, zum Beispiel info-7k2q9x.php.
2. Schreiben Sie <?php echo PHP_VERSION; hinein, denn diese Zeile gibt nur die Versionsnummer aus. Brauchen Sie die ganze Konfiguration, nehmen Sie <?php phpinfo();.
3. Laden Sie die Datei per SFTP in das Hauptverzeichnis der Website und rufen Sie sie einmal im Browser auf.
4. Löschen Sie die Datei sofort danach wieder vom Server.

Bei phpinfo() steht die Version ganz oben. Die Zeile "Server API" nennt die Schnittstelle, über die der Webserver PHP startet. Eine vergessene Infodatei verrät Angreifern Pfade und Einstellungen. Auch Umgebungsvariablen mit Zugangsdaten können darin stehen.

Warum zeigt php -v eine andere Version als die Website?

Der Befehl php -v fragt nur das PHP der Kommandozeile ab. Der Webserver kann ein anderes PHP nutzen, etwa PHP-FPM oder das Apache-Modul mod_php. Auf vielen Servern laufen mehrere Versionen parallel, jede mit eigener Konfiguration. Für Ihre Website zählt die Version, die der Webserver tatsächlich ausführt.

Die Ausgabe von php -v beginnt zum Beispiel mit PHP 8.3.6 (cli). Der Zusatz "cli" zeigt, dass Sie die Kommandozeile befragt haben. Welche Konfigurationsdateien diese Version lädt, zeigt php --ini. Die Version des Webservers lesen Sie verlässlicher über die Testdatei oder den Website-Zustand von WordPress ab.

PHP-Version in Docker-Containern

Bei Docker nennt der Image-Tag oft nur den Zweig, etwa php:8.3-fpm. Welcher Patch-Stand im Container läuft, hängt davon ab, wann das Image gebaut wurde. Fragen Sie deshalb den laufenden Container direkt mit docker exec <container> php -v. Die offiziellen PHP-Images auf Docker Hub setzen zusätzlich die Umgebungsvariable PHP_VERSION.

Der Header X-Powered-By

Ist die Einstellung expose_php aktiv, schreibt PHP die Version in den HTTP-Header X-Powered-By. Laut PHP-Handbuch ist sie standardmäßig eingeschaltet. Den Header sehen Sie mit curl -I https://www.ihre-domain.de oder in den Entwicklerwerkzeugen des Browsers.

Was Ihnen hilft, hilft aber auch automatisierten Scannern, die gezielt nach verwundbaren Versionen suchen. Setzen Sie deshalb expose_php = Off in der php.ini. Diese Einstellung lässt sich nur dort ändern, nicht per ini_set().

Versionsnummer richtig lesen: Zweig, Patch-Stand und Backports

Eine Nummer wie 8.3.6 hat drei Teile. Die 8 ist die Hauptversion, 8.3 der Zweig und die 6 der Patch-Stand innerhalb des Zweigs. Das PHP-Projekt plant Support und Fehlerkorrekturen pro Zweig. Der Patch-Stand zeigt, welche Korrekturen der offizielle Quellcode enthält.

Bei Paketen aus Linux-Distributionen trügt dieser Wert oft. Debian, Ubuntu und Red Hat übernehmen Korrekturen in die ausgelieferte Version, statt auf ein neues Release zu wechseln. Die Sicherheits-FAQ von Debian nennt dieses Vorgehen Backport. Die Versionsnummer wirkt dann alt, obwohl der Fehler behoben ist.

Ein Beispiel ist Ubuntu 24.04 LTS. Dort meldet php -v die Version 8.3.6, das Paket trägt aber eine Nummer wie 8.3.6-0ubuntu0.24.04.13. Der Teil nach dem Bindestrich kennzeichnet den Stand der Distribution. Ob eine bestimmte Lücke geschlossen ist, zeigt erst das Changelog des Pakets.

Unter Debian und Ubuntu öffnen Sie es mit apt-get changelog php8.3-cli, unter RHEL und kompatiblen Systemen mit rpm -q --changelog php-cli. Steht die CVE-Nummer der Lücke im Changelog, enthält Ihr Paket die Korrektur.

Was sagt die Versionsnummer über den Sicherheitsstand?

Der Zweig zeigt, ob das PHP-Projekt Ihre Version mit Korrekturen versorgt. Laut php.net erhält jeder Zweig zwei Jahre aktive Pflege und zwei weitere Jahre nur Sicherheitskorrekturen. Danach entscheidet Ihre Distribution oder Ihr Hoster, ob weitere Patches kommen. Der Patch-Stand zeigt, ob eine bestimmte Lücke geschlossen ist.

Für PHP 8.2 endet die Versorgung durch das PHP-Projekt am 31.12.2026. Eine Übersicht, welche PHP-Versionen noch Sicherheitsupdates bekommen, hilft beim Einordnen Ihrer Zahl. Liegt Ihr Zweig außerhalb des Supports, steht die Umstellung auf eine neuere PHP-Version an.

Am 21.10.2026 veröffentlichte das PHP-Projekt zum Beispiel Korrekturen für die als PHP2Shell bekannten Lücken. Mit Version, Patch-Stand und Changelog können Sie prüfen, ob Ihr Server von PHP2Shell betroffen ist.

Weitere Fragen zum Herausfinden der PHP-Version

Kann ich die PHP-Version einer fremden Website herausfinden?

Nur eingeschränkt. Sendet der Server den Header X-Powered-By, steht die Version in den Antwort-Headern. Der Betreiber kann ihn aber abschalten. Fehlt der Header, lässt sich die Version von außen nicht verlässlich bestimmen, und er sagt auch nichts über den Patch-Stand.

Ist eine phpinfo-Datei ein Risiko?

Ja, wenn sie online bleibt. Sie zeigt Pfade, Konfiguration, Module und Umgebungsvariablen, in denen manchmal Zugangsdaten stehen. Geben Sie der Datei einen zufälligen Namen, rufen Sie sie einmal auf und löschen Sie sie danach. Für die reine Versionsnummer genügt echo PHP_VERSION.

Warum zeigt WordPress eine andere Version als die Kommandozeile?

WordPress liest die Version aus dem Web-Prozess, zum Beispiel PHP-FPM. Die Kommandozeile nutzt oft ein anderes PHP-Programm mit eigener Konfiguration. Für Ihre Website zählt die Angabe aus WordPress. Die Kommandozeile ist nur für Cronjobs und Skripte wichtig, die dort laufen.

Mein Hoster zeigt nur 8.3 an. Woher bekomme ich den Patch-Stand?

Den vollständigen Stand zeigen der Website-Zustand von WordPress oder eine kurze Testdatei mit echo PHP_VERSION. Bei Shared Hosting spielt in der Regel der Hoster die Patches ein. Ob ein bestimmter Fix enthalten ist, beantwortet der Support des Hosters.

Welche PHP-Versionen sind auf meinem Server installiert?

Unter Debian und Ubuntu hat jeder installierte Zweig ein eigenes Verzeichnis, etwa /etc/php/8.3/. Der Befehl ls /etc/php/ zeigt deshalb alle vorhandenen Zweige, update-alternatives --list php die installierten Programme für die Kommandozeile. Welche Version Ihre Website nutzt, zeigt aber erst die Testdatei oder der Website-Zustand von WordPress.