WordPress auf alten PHP-Versionen: Risiken, Optionen und der Weg nach vorne
Ihre WordPress-Seite läuft seit Jahren stabil. Niemand hat in dieser Zeit die PHP-Version angefasst. Warum auch, es funktioniert ja alles. Genau hier beginnt das Problem. Tausende WordPress-Seiten laufen 2026 noch auf PHP 7.4 oder älter. Diese Versionen erhalten keine Sicherheits-Updates mehr, teils seit Jahren. Welche PHP-Version Ihr WordPress nutzt, ist deshalb keine technische Randnotiz. Es ist eine Frage, die über ein reales Geschäftsrisiko entscheidet. Dieser Artikel erklärt, was bei altem PHP konkret passieren kann. Er zeigt außerdem, wie der Wechsel auf eine aktuelle Version abläuft. Der Aufwand ist meist kleiner, als Betreiber befürchten.
Kurz zum Hintergrund: PHP ist die Programmiersprache, auf der WordPress läuft. Jede PHP-Version wird einige Jahre gepflegt und erhält danach keine Updates mehr. Fachleute nennen diesen Zeitpunkt End of Life. Für PHP 7.4 kam er am 28. November 2022. PHP 8.0 folgte Ende 2023, PHP 8.1 Ende 2025. Wer heute eine dieser Versionen betreibt, arbeitet mit Software, die niemand mehr absichert.
Warum laufen so viele WordPress-Seiten auf altem PHP?
WordPress ist genügsam. Es startet auch auf PHP-Versionen, die längst niemand mehr pflegt. Der Hoster stellt selten automatisch um. Er will keine Seiten brechen, deren Plugins mit PHP 8 nicht zurechtkommen. Der Betreiber wiederum sieht keinen Anlass, etwas zu ändern. Die Seite lädt, der Shop verkauft. So bleibt alles beim Alten, und im Hintergrund sammelt sich einiges an.
Dazu kommt Erfahrung. Wer schon einmal ein missglücktes Update erlebt hat, wird vorsichtig. Diese Vorsicht ist verständlich. Sie schützt aber nur vor dem sichtbaren Risiko. Das unsichtbare wächst weiter: Sicherheitslücken, für die es nie wieder einen Patch geben wird.
Welche Risiken bringt eine alte PHP-Version für WordPress?
Bekannte Lücken, keine Korrekturen
WordPress ist das meistgenutzte Content-Management-System der Welt. Das macht es auch zum meistuntersuchten Angriffsziel. Sicherheitslücken in PHP werden öffentlich dokumentiert. Für aktuelle Versionen erscheinen Korrekturen, für PHP 7 nicht mehr. Angreifer müssen Ihre Seite dafür nicht kennen. Sie scannen das Netz automatisiert nach Installationen mit bekannten Schwachstellen. Eine alte PHP-Version ist in diesen Scans ein Treffer. Was seit dem PHP 7 End of Life offen liegt, beschreibt unser eigener Artikel dazu.
Plugins und Themes ziehen weiter
Plugin-Entwickler testen gegen aktuelle PHP-Versionen. Viele setzen PHP 8 inzwischen voraus. WooCommerce etwa, das verbreitetste Shop-Plugin, empfiehlt seit Jahren aktuelle 8er-Versionen. Wer auf PHP 7 bleibt, erhält für wichtige Plugins irgendwann keine Updates mehr. Damit bleiben auch deren Sicherheitslücken offen. Der WordPress-Kern hebt seine Anforderungen ebenfalls schrittweise an. Eine veraltete PHP-Version blockiert dann selbst das Core-Update. Aus einem Versäumnis werden so mit der Zeit drei.
Alte Versionen bremsen die Seite
PHP 8 arbeitet deutlich schneller als PHP 7. Viele WordPress-Seiten laden nach der Umstellung spürbar flotter, ohne eine einzige Zeile neuen Code. Ladezeit beeinflusst Absprungrate und Google-Ranking. Eine alte PHP-Version kostet Sie also laufend Besucher, ohne dass es jemandem auffällt.
DSGVO und Haftung
Die Datenschutz-Grundverordnung verlangt Schutz nach dem Stand der Technik. Eine PHP-Version ohne Sicherheits-Updates erfüllt diesen Anspruch nicht. Nach einem Vorfall fragt die Aufsichtsbehörde zuerst nach dem Zustand der Systeme. Auf die Frage nach PHP 7 gibt es dann keine gute Antwort.
Reicht das normale WordPress-Update nicht aus?
Nein, und dieses Missverständnis ist verbreitet. Das Update in der WordPress-Verwaltung aktualisiert den Kern, die Plugins und die Themes. Die PHP-Version liegt eine Ebene tiefer, beim Hosting. Sie ändert sich dadurch nicht. Eine Seite kann also das neueste WordPress anzeigen und trotzdem auf PHP 7.2 laufen. Für die Sicherheit zählt beides. Ein aktueller Kern auf veraltetem PHP bleibt verwundbar, so gewissenhaft Sie auch jedes Plugin-Update einspielen. Prüfen Sie deshalb beide Ebenen, nicht nur die, die WordPress Ihnen im Dashboard anzeigt.
So prüfen Sie, welche PHP-Version Ihr WordPress nutzt
Sie brauchen dafür keinen Entwickler. Öffnen Sie in der WordPress-Verwaltung den Punkt Werkzeuge, dann Website-Zustand. Im Bericht steht die aktive PHP-Version. Alternativ zeigt das Kunden-Panel Ihres Hosters die Version an. Was WordPress mindestens erwartet und was sinnvoll ist, erklärt unser Artikel welche PHP-Version WordPress braucht. Steht bei Ihnen eine 7 oder gar eine 5, besteht Handlungsbedarf.
Der Weg auf eine aktuelle Version
Ein Wechsel auf PHP 8 ist planbare Routinearbeit. Er folgt einem festen Ablauf.
Zuerst kommt die Bestandsaufnahme. Welche Plugins und Themes sind installiert, welche davon laufen wirklich? Verwaiste Erweiterungen fliegen an dieser Stelle raus. Jedes Plugin, das seit Jahren kein Update gesehen hat, ist ein Kandidat für Ersatz.
Dann folgt der Test. Ein gutes Hosting-Paket bietet eine Staging-Umgebung, also eine Kopie der Seite zum Ausprobieren. Dort stellen Sie PHP 8.3 oder 8.4 ein und prüfen die wichtigsten Funktionen. Fehler landen im Log und verraten, welches Plugin Ärger macht. Welche Version derzeit die beste Wahl ist, zeigt unsere Übersicht zur aktuellen PHP-Version.
Erst danach kommt die echte Umstellung. Mit frischem Backup, außerhalb der Stoßzeiten, mit einem Blick ins Fehler-Log in den Tagen danach. Die einzelnen Schritte haben wir in der Anleitung WordPress auf PHP 8 umstellen ausführlich beschrieben.
Warum das leichter ist, als viele befürchten
Die meisten WordPress-Seiten nutzen gepflegte Standard-Plugins. Deren Entwickler haben ihre Arbeit längst gemacht. In solchen Fällen dauert die Umstellung wenige Stunden, Tests eingerechnet. Probleme entstehen fast immer an denselben Stellen: alte Themes, verwaiste Plugins, individuelle Anpassungen aus früheren Jahren. Genau diese Stellen lassen sich vorab finden, bevor irgendetwas live geht.
Ehrlich bleibt: Es gibt auch schwierige Fälle. Ein individuell entwickeltes Theme von 2014 kann echte Arbeit bedeuten. Dann hilft keine Anleitung, sondern jemand, der den Code liest und anpasst. Auch das ist lösbar, nur eben nicht an einem Nachmittag. Wir übernehmen solche Fälle regelmäßig, mehr dazu auf unserer Seite zum PHP-Upgrade. Eine seriöse Aufwandsschätzung gibt es erst nach einem Blick ins System. Dafür ist das Erstgespräch da.
Fazit: Das Risiko ist real, der Weg ist kurz
Eine alte PHP-Version unter WordPress ist eine offene Tür. Die Anleitung zum Öffnen steht öffentlich im Netz. Der Ausweg dagegen ist überschaubar: Version prüfen, Plugins aufräumen, im Staging testen, umstellen. Das meiste davon erledigt ein geübter Dienstleister in kurzer Zeit. Je länger die Seite auf PHP 7 bleibt, desto teurer wird der Rückstand.
Wenn Sie nicht wissen, wo Ihre Seite steht: Sprechen Sie uns an. Das Erstgespräch ist kostenlos. Wir schauen uns Ihre WordPress-Installation an und sagen Ihnen ehrlich, was ansteht und was es kostet.
