So prüfen Sie die PHP-Version und worauf Ihre Website läuft

Wenn eine Meldung über eine Lücke in PHP, Node.js oder einem verbreiteten Plugin auftaucht, lautet die erste Frage: Betrifft das meine Website? Die Antwort hängt von einigen Versionsnummern ab, die selten irgendwo notiert sind. Ohne sie können Sie das Risiko nicht einschätzen, und das Gespräch mit dem Hosting oder dem Dienstleister beginnt mit einem Hin und Her von E-Mails voller Fragen.

In diesem Ratgeber zeige ich, wie Sie die Versionen von PHP, Node.js, CMS und Plugins prüfen, größtenteils ohne IT-Fachkraft, und alles in einem kurzen Steckbrief festhalten. Stand: 6. November 2026. Support-Termine und Versionen mit Patches können sich ändern, prüfen Sie sie daher vor einer Entscheidung auf der Website des Herstellers.

Vier Dinge, die Sie über Ihre Website wissen müssen

Jede Website besteht aus mehreren Software-Schichten. Jede hat ihre eigene Versionsnummer und eigene Sicherheitskorrekturen, und eine Lücke betrifft meist nur eine davon.

1. Webserver, also das Programm, das die Website an den Browser sendet: meist nginx, Apache oder LiteSpeed.
2. Die Sprache, in der die Website läuft: PHP (WordPress, WooCommerce, PrestaShop, Joomla) oder Node.js (Next.js, Nuxt, Express).
3. CMS oder Framework: WordPress, PrestaShop, Next.js und ähnliche.
4. Erweiterungen: Plugins, Theme, Shop-Module und Bibliotheken.

Beim Shared Hosting kümmert sich meist das Hosting um den Webserver, die PHP-Version wählen Sie oft selbst im Panel, und CMS und Plugins sind Ihre Sache oder die des Dienstleisters. Die Aufgabenteilung beschreibe ich im Ratgeber dazu, wer für Website-Updates zuständig ist.

Weg 1: Hosting-Panel und Backend der Website

Das ist die zuverlässigste Methode, denn Sie sehen die Daten von innen und keine Vermutungen.

Hosting-Panel

Melden Sie sich im Hosting-Panel an und suchen Sie nach Punkten wie „PHP-Version“, „PHP-Konfiguration“ oder „PHP und Node.js“. In cPanel dient dazu das Tool MultiPHP Manager, das die PHP-Version bei jeder Domain anzeigt. Die genauen Pfade für OVHcloud, home.pl und nazwa.pl habe ich im Ratgeber zum Support-Ende für PHP 8.2 beschrieben.

Das Panel zeigt oft nur den Zweig, zum Beispiel 8.3. Bei Lücken zählt die vollständige Release-Nummer, zum Beispiel 8.3.x, denn der Patch landet in einem bestimmten Release. Die vollständige Nummer sehen Sie im Backend des CMS oder erhalten sie vom Hosting.

Eine Website auf Node.js läuft meist auf einem VPS-Server oder auf einer Plattform wie Vercel oder Netlify. Die Node.js-Version sieht man dann in den Projekteinstellungen oder in den Projektdateien, am einfachsten fragen Sie also den Dienstleister (eine fertige Nachricht steht weiter unten).

WordPress und WooCommerce

• Dashboard → Aktualisierungen zeigt die WordPress-Version sowie Plugins und Themes, die auf ein Update warten.
• Werkzeuge → Website-Zustand → Bericht ist der bequemste Ort. Im Abschnitt „WordPress“ steht die Version des Systems, im Abschnitt „Server“ die vollständige PHP-Version und die Serversoftware, und in den Abschnitten zu aktiven und inaktiven Plugins jedes Plugin mit Versionsnummer.
• Plugins → Installierte Plugins zeigt die Versionen und ob automatische Updates aktiv sind.

Die Schaltfläche zum Kopieren der Website-Informationen in die Zwischenablage auf derselben Seite liefert den kompletten Datensatz zum Einfügen in eine E-Mail. Senden Sie ihn nur an vertrauenswürdige Personen, denn er enthält technische Details des Servers.

Sehen Sie im Dashboard einen Hinweiskasten, der eine PHP-Aktualisierung empfiehlt, weist WordPress selbst darauf hin, dass das PHP auf dem Server zu alt ist. Laut wordpress.org wird heute PHP 8.3 oder neuer empfohlen.

PrestaShop

Öffnen Sie im PrestaShop-Backend Erweiterte Einstellungen → Informationen (im Menü in der Gruppe „Konfigurieren“). Dort sehen Sie die PrestaShop-Version, die Serverdaten sowie die Versionen von PHP und Datenbank. Die Versionen der Module prüfen Sie unter Module → Modul-Manager.

Weg 2: Was die Website nach außen verrät

Diese Methode funktioniert ohne Anmeldung, aber Sie sehen nur, was die Website selbst zeigt. Verbirgt sie die Versionen gut, erfahren Sie wenig, und das ist ausnahmsweise eine gute Nachricht.

Server-Header

Jede Antwort des Servers hat Header, also einen kurzen Steckbrief, der auf der Seite nicht sichtbar ist. Über die Software verraten zwei davon etwas:

• Server: nginx und Apache geben hier in der Standardeinstellung Namen und Versionsnummer an, zum Beispiel nginx/1.24.0.
• X-Powered-By: PHP trägt hier in der Standardeinstellung seine Version ein, zum Beispiel PHP/8.3.x. Express trägt Express ein und Next.js Next.js, in beiden Fällen ohne Nummer.

So sehen Sie sie in Chrome: Drücken Sie F12, öffnen Sie den Tab Network (in der deutschen Version „Netzwerk“), laden Sie die Seite neu, klicken Sie auf den ersten Eintrag in der Liste und suchen Sie die Antwort-Header. Manche Hosting-Anbieter verbergen die Versionsnummern, ein leeres Ergebnis besagt also nichts.

Quellcode der Seite

Drücken Sie Strg+U, dann Strg+F und geben Sie generator ein. WordPress fügt standardmäßig ein Tag mit der Versionsnummer in den Code ein, zum Beispiel:

<meta name="generator" content="WordPress 7.1.4">

Die Dateiadressen verraten den Rest: /wp-content/plugins/name-des-plugins/ zeigt die Namen der Plugins, /_next/static/ bedeutet Next.js und /_nuxt/ Nuxt. Sicherheits-Plugins entfernen das Generator-Tag oft, sein Fehlen beweist also nichts.

Browser-Erweiterung

Am schnellsten erkennen Sie die Technologien mit der Erweiterung Wappalyzer oder BuiltWith (beide gibt es für Chrome und Firefox). Nach einem Klick auf das Symbol sehen Sie CMS, Framework, Server und Bibliotheken. Das ist eine Erkennung anhand von Spuren: Die Version zeigen sie nur, wenn die Website sie verrät, und manchmal irren sie sich.

Dasselbe sehen automatisierte Tools, die im Netz nach Websites mit alten Versionen suchen, deshalb sollte der Server keine Nummern angeben. Das ist kein vollständiger Schutz (die Express-Dokumentation schreibt ausdrücklich, dass erfahrene Angreifer die Software ohnehin erkennen), erschwert aber einfache Scans.

Website prüfen

Mein kostenloses Tool Website prüfen erledigt einen Teil dieser Arbeit für Sie. Es warnt, wenn der Header Server oder X-Powered-By eine Versionsnummer enthält, und empfiehlt, sie zu verbergen. Es erkennt auch die Plattform am Generator-Tag und an den Dateiadressen (unter anderem WordPress, WooCommerce, PrestaShop, Shopify, Shoper und Next.js) und zeigt sie beim Ergebnis an. Die CMS-Version und die Plugin-Liste liest es aber nicht aus und meldet sich nicht im Backend an, es ersetzt also keine Prüfung von innen.

Wo Sie die Versionen finden: Tabelle für verbreitete Websites

Wird Ihre PHP- und Node.js-Version noch unterstützt?

Die Nummer allein sagt wenig. Wichtig ist, ob der Hersteller für diese Version noch Sicherheitskorrekturen veröffentlicht. Stand 6. November 2026 laut der Tabelle der unterstützten Versionen auf php.net und dem Release-Zeitplan von Node.js:

Node.js 27 ist erst in der Testphase (Alpha). Laut nodejs.org sollten auf Produktivservern nur Versionen mit Langzeit-Support (LTS) verwendet werden.

Der zweite Punkt ist die vollständige Nummer. Korrekturen für PHP 8.3 landen in den folgenden Releases 8.3.x, und wenn der Hersteller eine Lücke bekannt gibt, nennt er die Versionen mit dem Patch. Ihre muss gleich oder neuer sein. Beim Shared Hosting installiert neue Releases innerhalb eines Zweigs meist das Hosting, es lohnt sich aber, das per E-Mail bestätigen zu lassen.

Bei WordPress-Plugins können Sie Namen und Version in die Schwachstellendatenbank von Patchstack oder in die Datenbank von Wordfence eingeben. Sie sehen die bekannten Lücken und die Version, in der sie behoben wurden.

Was Sie heute tun sollten: Website-Steckbrief in 15 Minuten

Notieren Sie die Ergebnisse an einer Stelle. Bei der nächsten Meldung über eine Lücke prüfen Sie in einer Minute, ob sie Sie betrifft. Vorlage zum Kopieren:

Website: ihrefirma.pl Hosting und Paket: … Wer aktualisiert: CMS und Plugins …, Server und PHP … Webserver: … (Version, falls bekannt) PHP oder Node.js: … (vollständige Nummer) CMS oder Framework: … (Version) Plugins, Theme, Module: Name und Version von jedem Datum der Prüfung: …

Gehen Sie dann diese Liste durch:

1. Vergleichen Sie die Versionen von PHP und Node.js mit der Tabelle oben. Eine Version ohne Korrekturen ist die erste Aufgabe, die Sie vergeben sollten.
2. Aktualisieren Sie CMS und Plugins, beginnend mit einem Backup. Die Reihenfolge habe ich im Ratgeber zum sicheren Aktualisieren von WordPress beschrieben.
3. Löschen Sie Plugins, die Sie nicht nutzen. WordPress warnt im Website-Zustand selbst, dass inaktive Plugins ein leichtes Ziel sind.
4. Prüfen Sie die Plugins in der Schwachstellendatenbank, besonders solche, die lange nicht aktualisiert wurden.
5. Lassen Sie die Website durch Website prüfen laufen und kontrollieren Sie, ob der Server Versionen verrät.
6. Tragen Sie eine Durchsicht des Steckbriefs einmal im Monat in den Kalender ein.

Was Sie dem Hosting oder dem Dienstleister auftragen sollten

Finden Sie etwas nicht oder läuft die Website auf Node.js, senden Sie eine kurze Nachricht:

Guten Tag, bitte teilen Sie mir mit, auf welcher Software die Website ihrefirma.pl läuft: vollständige Version von PHP oder Node.js, Version des CMS oder Frameworks, Liste der Plugins oder Abhängigkeiten mit Versionen und Version des Webservers. Bitte schreiben Sie auch, wer Sicherheitskorrekturen installiert und wie schnell, und ob der Server die Versionsnummern in den Headern verbirgt. Vielen Dank.

Ein Dienstleister mit Zugang zum Server prüft das mit wenigen Befehlen:

curl -sI https://twojafirma.pl | grep -iE "^(server|x-powered-by):"
node -v
npx next -v
php -v

Achtung: php -v zeigt die PHP-Version, die in der Konsole verwendet wird. Auf einem Hosting mit mehreren Versionen weicht sie mitunter von der Version der Website ab, zuverlässiger sind daher der Website-Zustand oder das Hosting-Panel.

Versionsnummern verbirgt man meist in der Konfiguration: expose_php = Off in PHP, server_tokens off; in nginx, ServerTokens Prod in Apache, poweredByHeader: false in Next.js und app.disable('x-powered-by') in Express. Beim Shared Hosting kann einen Teil dieser Einstellungen nur das Hosting ändern.

Stellt sich heraus, dass die Website eine Lücke hat, finden Sie den Aktionsplan im nächsten Ratgeber dieser Serie: „Lücke in der Firmenwebsite: Was in den ersten 24 Stunden zu tun ist“.

Wenn in PHP eine schwere Lücke auftaucht, zählt die Version sofort. Ein Beispiel und einen Plan beschreibe ich im Ratgeber Lücke in PHP (PHP2Shell): Was Sie prüfen und dem Hosting auftragen.

Zusammenfassung

Die Frage „Betrifft mich diese Lücke?“ beantworten Sie in einer Minute, wenn Sie vier Dinge notiert haben: Server, Version von PHP oder Node.js, CMS-Version und Liste der Erweiterungen. Das meiste finden Sie im Hosting-Panel und im WordPress-Dashboard, den Rest verraten Website prüfen oder eine E-Mail an den Dienstleister.

Wenn Sie möchten, dass jemand das für Sie im Blick behält, wählen Sie die technische Betreuung. Im Paket Wache (ab 149 PLN netto pro Monat) überwache ich die Website, mache Backups und spiele Sicherheitsupdates ein, und jeden Monat schicke ich einen Bericht. Die Pakete Standard (ab 349 PLN netto pro Monat) und Pro (ab 749 PLN netto pro Monat) bieten zusätzlich häufigere Backups und Updates, Arbeitsstunden im Monat und eine schnellere Reaktion. Wenn Sie prüfen möchten, wie widerstandsfähig die Website gegen typische Angriffe ist, beauftragen Sie ein Sicherheitsaudit (ab 990 PLN netto) oder schreiben Sie mir. Ich antworte innerhalb von 24 Stunden.