PHP

PHP gehört zu den meistgenutzten Sprachen im Web. Laut W3Techs verwenden 69,2 Prozent aller Websites, deren serverseitige Programmiersprache bekannt ist, PHP (Stand: 25. Oktober 2026). Viele Content-Management-Systeme, Webshops, Kundenportale und Frameworks wie Laravel basieren darauf. Für Unternehmen ist PHP deshalb häufig im Einsatz, oft ohne dass es im Alltag auffällt: auf der eigenen Website, im Shop oder in einer Fachanwendung beim Hostinganbieter.

Wie PHP funktioniert

Ruft ein Browser eine Seite auf, nimmt ein Webserver wie nginx oder Apache die HTTP-Anfrage entgegen und übergibt sie an den PHP-Interpreter, häufig über PHP-FPM. PHP führt das Skript aus, fragt bei Bedarf eine Datenbank ab und liefert das Ergebnis zurück, etwa eine HTML-Seite oder eine JSON-Antwort für eine API. Den Quellcode selbst sehen Besucherinnen und Besucher nicht.

Damit PHP Skripte nicht bei jeder Anfrage neu übersetzen muss, speichert OPcache den vorkompilierten Bytecode im Arbeitsspeicher. Fremde Bibliotheken werden meist mit Composer eingebunden. PHP läuft außerdem auf der Kommandozeile, etwa für zeitgesteuerte Aufgaben und Skripte.

Unterstützte Versionen

Das PHP-Projekt unterstützt jede Version zwei Jahre aktiv und danach zwei weitere Jahre nur mit Sicherheitskorrekturen. Laut php.net gilt mit Stand 25. Oktober 2026:

• PHP 8.5: veröffentlicht am 20. November 2025, aktive Unterstützung bis 31. Dezember 2027, Sicherheitsupdates bis 31. Dezember 2029.
• PHP 8.4: aktive Unterstützung bis 31. Dezember 2026, Sicherheitsupdates bis 31. Dezember 2028.
• PHP 8.3: nur noch Sicherheitsupdates, bis 31. Dezember 2027.
• PHP 8.2: nur noch Sicherheitsupdates, bis 31. Dezember 2026.

PHP 8.1 hat am 31. Dezember 2025 das Ende der Unterstützung erreicht. Was das bedeutet und wie ein Upgrade gelingt, erklärt der Eintrag PHP End of Life. Laut W3Techs laufen 65,5 Prozent der PHP-Websites mit Version 8 und 26,8 Prozent noch mit Version 7, deren Unterstützung längst beendet ist.

Typische Einsatzbereiche

• Websites und Content-Management-Systeme
• Webshops und Buchungssysteme
• Kundenportale und interne Werkzeuge
• Programmierschnittstellen für Apps und Integrationen
• Hintergrundaufgaben wie Importe, Berichte und Datenabgleiche

Sicherheit und Betrieb

• Unterstützte Version einsetzen: Nur unterstützte Versionen erhalten Sicherheitskorrekturen. Updates innerhalb einer Version gehören ins Patch-Management.
• Version nicht verraten: Mit expose_php = Off und entferntem Header X-Powered-By gibt der Server seine PHP-Version nicht preis. Der Security-Header-Check der TOMORIS Toolbox zeigt, ob Ihre Website solche Angaben ausliefert.
• Fehler nicht anzeigen: Laut PHP-Handbuch ist display_errors eine Entwicklungsfunktion und sollte auf Produktivsystemen nie aktiv sein. Fehler gehören ins Protokoll.
• Sitzungs-Cookies härten: Ohne Einstellung setzt PHP für das Sitzungs-Cookie weder Secure noch HttpOnly. Die Optionen session.cookie_secure und session.cookie_httponly gehören auf 1. Der Cookie-Check prüft das von außen.
• SQL-Injection verhindern: Datenbankabfragen mit vorbereiteten Anweisungen (Prepared Statements) und Parametern aufbauen, statt Eingaben in SQL-Texte einzusetzen.
• Abhängigkeiten prüfen: Mit composer audit bekannte Sicherheitslücken in Bibliotheken finden.
• Rechte begrenzen: PHP-Prozesse unter einem eigenen Benutzer mit minimalen Rechten betreiben, siehe Least Privilege.

Abgrenzung

JavaScript läuft vor allem im Browser, PHP auf dem Server. Beide arbeiten in Webanwendungen oft zusammen. PHP ist die Sprache, Frameworks wie Laravel liefern darauf aufbauend Struktur und fertige Bausteine, und PHP-FPM ist die Laufzeitumgebung, in der PHP auf dem Webserver ausgeführt wird.

Häufige Fragen

Ist PHP noch zeitgemäß?

PHP wird aktiv weiterentwickelt. Version 8.5 erschien am 20. November 2025 und brachte unter anderem eine eingebaute Erweiterung zum Verarbeiten von URLs nach RFC 3986 und WHATWG sowie den Pipe-Operator |>. Zusammen mit der hohen Verbreitung macht das PHP weiterhin zu einer soliden Wahl für Webanwendungen.

Welche PHP-Version sollte ich einsetzen?

Am besten eine Version mit aktiver Unterstützung, derzeit PHP 8.4 oder 8.5, sofern Anwendung, Plugins und Bibliotheken sie unterstützen. Mindestens aber eine Version, die noch Sicherheitsupdates erhält. Läuft eine Website auf einer älteren Version, sollte das Upgrade geplant werden, bevor Probleme auftreten.

Wie finde ich heraus, welche PHP-Version meine Website nutzt?

Im Verwaltungsbereich des Hostingangebots, auf dem Server mit php -v oder über eine geschützte Diagnoseseite. Eine Ausgabe von phpinfo() gehört nie öffentlich ins Web. Zeigt der Header X-Powered-By die Version an, ist sie auch von außen sichtbar.

Quellen

• php.net: Introduction, What is PHP?
• php.net: Supported Versions (abgerufen am 25.10.2026)
• php.net: PHP 8.5 Release Announcement
• php.net: Unsupported Branches
• php.net: Runtime configuration, display_errors
• php.net: Session runtime configuration
• php.net: Prepared statements and stored procedures
• W3Techs: Usage statistics of PHP for websites (25.10.2026)