Kurzantwort: Die PHP2Shell-Schwachstellen (CVE-2026-109618 und CVE-2026-109619) haben erneut gezeigt, wie riskant alte PHP-Versionen sind. Für Systeme auf PHP 7.x, 8.0 und 8.1 hat das PHP-Projekt keine offizielle Korrektur veröffentlicht; ihre Sicherheit hängt nun vom Patch des Hosting-Anbieters ab. 360 Soft hebt Ihre PHP-Altanwendungen in einer Testumgebung auf 8.3 oder 8.4, behebt Kompatibilitätsprobleme und bringt sie ohne Ausfallzeit live.
Warum jetzt aktualisieren?
- Nicht unterstützte Versionen erhalten keine Patches: PHP 8.1 und älter sind außerhalb des aktiven Supports. Offizielle PHP2Shell-Releases gab es nur für die Zweige 8.2, 8.3, 8.4 und 8.5.
- Auch 8.2 läuft bald aus: Der Sicherheitssupport für PHP 8.2 endet am 31. Dezember 2026. Wer heute auf 8.2 wechselt, wiederholt die Arbeit wenige Monate später.
- Audit und Compliance: In Revisionen, Penetrationstests, ISO-27001-Audits und Datenschutzprüfungen nach DSGVO oder KVKK wird der Einsatz nicht unterstützter Software als Befund gewertet.
- Performance: PHP 8.3 und 8.4 laufen spürbar schneller als 7.x, was Serverkosten senken kann.
Ablauf des Upgrades
- Inventar und Voranalyse: PHP-Version, Framework, Plugins und Bibliotheken werden erfasst. Statische Analysewerkzeuge (PHPCompatibility, Rector) melden inkompatible Codezeilen.
- Testumgebung: Eine exakte Kopie des Live-Systems wird auf der Ziel-Version aufgesetzt. Das Live-System bleibt unberührt.
- Korrekturen: Entfernte Funktionen, Typfehler, alte Plugins und Bibliotheken werden aktualisiert; bei Bedarf auch die Framework-Version.
- Tests: Kritische Geschäftsabläufe (Login, Zahlung, Formulare, Berichte, Schnittstellen) werden durchgängig getestet; Logs und Performance werden verglichen.
- Go-live: Die Umstellung erfolgt in einem verkehrsarmen Zeitfenster mit Backup und vorbereitetem Rollback-Plan. Danach wird das System 7 Tage überwacht.
Plattformen, auf denen wir arbeiten
| Plattform | Typische Arbeiten | Geschätzte Dauer |
|---|---|---|
| WordPress / WooCommerce | Theme- und Plugin-Kompatibilität, Austausch verwaister Plugins, Wechsel auf PHP 8.3/8.4 | 1–3 Arbeitstage |
| Laravel | Von Laravel 5.x–9.x auf eine aktuelle Version, Paket-Updates, Tests | 1–4 Wochen |
| CodeIgniter, Yii, Symfony | Framework-Upgrade oder Überführung in eine moderne Struktur | 2–6 Wochen |
| Magento, OpenCart, PrestaShop | Plattform- und Modul-Updates, Tests der Zahlungsanbindung | 1–4 Wochen |
| Individuelles PHP (ohne Framework) | Codeanalyse, Neuentwicklung kritischer Module oder Plattformwechsel | Je nach Analyse |
Ist der Code sehr alt oder nähern sich die Upgrade-Kosten denen einer Neuentwicklung, sagen wir das in der Voranalyse offen. Dann stellen wir die Migration von PHP zu.NET und eine Neuentwicklung mit aktuellem Laravel vergleichend gegenüber.
Typische Kompatibilitätsprobleme, die wir beheben
- Entfernte Funktionen und Erweiterungen (etwa die alten mysql_*-Funktionen, each(), create_function())
- Strengere Typprüfung: null an nicht-nullable interne Parameter, String-Zahl-Vergleiche
- Dynamische Properties, seit 8.2 als veraltet markiert und Quelle vieler Warnungen in Altklassen
- Alte Composer-Pakete und Plugins, die veraltete PHP-Versionen voraussetzen
- Geändertes Fehlerverhalten, bei dem frühere Warnungen zu Exceptions werden
PHP2Shell: Schutz während des Upgrades
Ihr System darf während der Planung nicht offen bleiben. Vor dem Upgrade setzen wir Übergangsmaßnahmen um (session.upload_progress-Einstellung, WAF-Regeln, Zugriffsbeschränkung) und prüfen, ob der Anbieter-Patch installiert ist. Details auf unserer Seite PHP-Sicherheitslücken beheben. Betreiben Sie viele PHP-Anwendungen über Marken oder Länder hinweg, erstellt ein PHP-Sicherheitsaudit für Unternehmen zuerst das vollständige Inventar.
Beispielszenario (illustrativ): Online-Shop auf PHP 7.4
Beispielszenario (illustrativ), keine Kundenreferenz. Ein mittelständischer Händler betreibt einen WooCommerce-Shop auf PHP 7.4 mit rund 40 Plugins, zwei davon seit Jahren nicht mehr gepflegt, sowie einer individuellen Schnittstelle zur Warenwirtschaft. In einem solchen Fall würden wir zuerst den Anbieter-Patch und die Übergangsmaßnahmen prüfen, dann eine Kopie des Shops auf PHP 8.3 aufsetzen, die verwaisten Plugins durch gepflegte Alternativen ersetzen und die Schnittstelle an die strengere Typprüfung anpassen. Bestellprozess, Zahlungsarten, Gutscheine und der Export in die Warenwirtschaft würden vollständig getestet, bevor die Umstellung nachts mit Rollback-Plan erfolgt. In den sieben Tagen danach würden Fehlerlogs und Antwortzeiten täglich ausgewertet.
Zusammenarbeit mit Teams in der DACH-Region
Wir arbeiten in Ihrem Ticketsystem und Repository und stimmen Go-live-Fenster mit Ihren Wartungszeiten ab. Die Zeitverschiebung zwischen Istanbul und der MEZ beträgt nur ein bis zwei Stunden, sodass gemeinsame Abstimmungen im normalen Arbeitstag stattfinden.
Arbeitsmodelle
| Modell | Umfang | Geeignet für |
|---|---|---|
| Einzelnes Upgrade-Projekt | Eine Anwendung wird mit Tests und Go-live auf 8.3 oder 8.4 gehoben | WordPress-, Laravel- oder Shop-Systeme auf alten Versionen |
| Upgrade-Programm | Mehrere Anwendungen werden in Wellen nach Priorität aktualisiert | Agenturen, Konzerne und Unternehmen mit vielen Websites |
| Upgrade plus Wartung | Nach dem Upgrade monatliche Wartung, Sicherheitsupdates und Monitoring | Teams ohne eigene PHP-Kapazität |
| Dedizierte PHP-Entwickler | Entwickler arbeiten in Ihrem Team mit, remote, vor Ort oder hybrid | Längere Modernisierungs-Roadmaps |
Wenn Sie Ihr eigenes Team verstärken möchten, können Sie bei uns auch Laravel- und PHP-Entwickler mieten. Teams starten mit einer Person und wachsen nach Bedarf; längere Einsätze beginnen typischerweise innerhalb von 1–2 Wochen, und muss ein Teammitglied wechseln, greift unser Ersatzprozess mit Übergabe.
Kennzahlen und Abnahmekriterien
| KPI | Bedeutung |
|---|---|
| Kritische Abläufe bestanden | Alle vereinbarten Geschäftsabläufe laufen vor dem Go-live auf der Zielversion fehlerfrei |
| Fehlerlog-Volumen | Keine neuen Fehler oder Deprecations im 7-tägigen Monitoring im Vergleich zur Ausgangslage |
| Antwortzeiten | Gleiche oder bessere Antwortzeiten nach dem Upgrade |
| Rollback-Bereitschaft | Getestetes Backup und getesteter Rollback-Plan vor der Umstellung |
Was den Aufwand bestimmt (keine Festpreise)
- Ausgangsversion von PHP und Framework
- Anzahl der Plugins, Module und Drittanbieter-Pakete
- Umfang des individuellen Codes und vorhandene Testabdeckung
- Anzahl der Schnittstellen (Zahlung, ERP, CRM, APIs)
- Hosting-Umgebung: Shared Hosting, VPS, Container, Cloud
- Gewünschtes Go-live-Fenster und Dauer des Monitorings
Vertrag und Datenschutz
Wir arbeiten auf Basis eines Dienst- oder Werkvertrags; es handelt sich um eine Dienstleistung, keine Arbeitnehmerüberlassung. Hinweise zu AÜG und Scheinselbständigkeit gelten hier allgemein, eine rechtliche Prüfung durch Ihre Beratung empfehlen wir. Alle Codeänderungen gehen in Ihr Eigentum über; eine NDA unterzeichnen wir auf Wunsch vor dem ersten Gespräch. Enthalten Testumgebungen personenbezogene Daten, schließen wir einen AVV nach DSGVO mit Standardvertragsklauseln und verarbeiten Daten in der Türkei gemäß KVKK. Wo möglich, arbeiten wir mit anonymisierten Testdaten.
Häufig gestellte Fragen
Geht meine Website beim PHP-Upgrade kaputt?
Wird die Version direkt auf dem Live-Server umgestellt, können alte Plugins, entfernte Funktionen und Typänderungen Fehler verursachen. Wir führen das Upgrade zuerst in einer exakten Kopie in einer Testumgebung durch, beheben die Fehler und gehen erst nach bestandenen Tests live. Ein Rollback-Plan liegt immer bereit.
Ich nutze PHP 8.1. Ist das dringend?
Ja. Für PHP 8.1 hat das PHP-Projekt kein offizielles Release gegen PHP2Shell veröffentlicht; der Schutz hängt vom Patch des Anbieters ab. Da 8.1 außerhalb des aktiven Supports ist, wiederholt sich das bei der nächsten Lücke. Ziel sollte 8.3 oder 8.4 sein.
Auf welche Version sollte ich wechseln?
Für die meisten Unternehmensanwendungen ist PHP 8.3 die ausgewogene Wahl mit langer Supportdauer und breiter Bibliothekskompatibilität. Für Neuentwicklungen empfehlen wir 8.4. PHP 8.2 sollte nicht als Ziel gewählt werden, da der Support am 31. Dezember 2026 endet.
Ich habe Laravel, CodeIgniter oder alten Individualcode. Lässt sich das aktualisieren?
Ja. Bei Laravel 5.x und 6.x, CodeIgniter 3 und älteren PHP-Projekten erstellen wir zuerst eine Abhängigkeitskarte und aktualisieren Framework und Pakete schrittweise. Ist der Code sehr alt und geschäftskritisch, kann eine Neuentwicklung oder ein Plattformwechsel wirtschaftlicher sein; das zeigen wir in der Analyse offen.
Wie lange dauert es?
Eine einzelne WordPress-Website wird meist innerhalb eines Arbeitstages getestet und aktualisiert. Mittelgroße Laravel- oder Individualanwendungen benötigen 1–3 Wochen, umfangreiche Unternehmenssysteme werden nach einer Umfangsanalyse geplant.
Brauchen Sie Zugriff auf unseren Live-Server?
Für Analyse und Testumgebung benötigen wir den Code und eine Kopie der Datenbank, idealerweise anonymisiert. Zugriff auf den Live-Server ist nur für das Go-live nötig und wird befristet und protokolliert.
Ist ein Upgrade ohne Ausfallzeit möglich?
In den meisten Fällen ja. Die Umstellung erfolgt in Ihrem verkehrsarmen Zeitfenster mit Backup und Rollback-Plan; bei größeren Systemen nutzen wir parallele Deployments, sofern das Hosting es erlaubt.
Übernehmen Sie auch die Wartung danach?
Ja. Nach dem Upgrade können wir monatliche Wartung, Sicherheitsupdates und Monitoring übernehmen oder mit Dokumentation an Ihr Team übergeben.
Versions-Upgrade anfragen
Nennen Sie uns die Adresse Ihrer Website, die Plattform (WordPress, Laravel, individuelles PHP, Magento usw.) und die Hosting-Art. Telefon +90 850 335 10 87, WhatsApp, E-Mail info@360-soft.com oder unsere Kontaktseite. Alle Leistungen: IT-Outsourcing Türkei.
Quellen: PHP-Sicherheitsankündigung und Liste der unterstützten Versionen, technische Hinweise von Tenable und InMotion Hosting. Stand: 22. Oktober 2026.
