Seit dem Notfall-Update für PHP am 21. Oktober höre ich zwei Sätze öfter als alle anderen. Der eine: „Zum Glück haben wir kein PHP." Der andere: „Sollten wir nicht weg von PHP — auf .NET, Java, irgendetwas Sicheres?" Ich verstehe den Impuls. Aber er führt in die falsche Richtung, meistens vom Regen in die Traufe. Hier sind sechs Mythen, die gerade kursieren, und was wirklich dahintersteckt. Vorweg, damit Sie das einordnen können: Ich entwickle selbst mit PHP und mit .NET. Einen Favoriten habe ich in diesem Streit nicht.
Mythos 1: „PHP2Shell beweist, dass PHP unsicher ist"
Kritische Lücken gibt es in jeder verbreiteten Technik. Im Dezember 2021 traf es Java: Die Lücke Log4Shell in einem Baustein, der in unzähligen Java-Anwendungen steckt, bekam die höchstmögliche Bewertung von 10 Punkten, das deutsche BSI rief Warnstufe Rot aus. Im Oktober 2025 vergab Microsoft für eine Lücke in ASP.NET Core, dem Web-Baustein von .NET, 9,9 von 10 Punkten — nach eigener Aussage der höchste Wert, den es dort je gab. PHP2Shell lag bei 9,2.
Dass PHP gerade so im Rampenlicht steht, hat einen einfachen Grund: Rund 70 Prozent aller Websites, deren Technik sich von außen erkennen lässt, laufen mit PHP. Was so verbreitet ist, schauen sich die meisten Menschen genau an — Forscher wie Angreifer. Das heißt nicht, dass PHP unsicherer ist. Es heißt, dass Fehler dort gefunden und geschlossen werden.
Mythos 2: „Mit .NET oder Java wäre uns das erspart geblieben"
Das Bild, das viele vom 21. Oktober im Kopf haben — Websites, die vorsorglich vom Netz gehen —, gab es im Juli 2025 auch in der Microsoft-Welt. Bei SharePoint, Microsofts Software für Firmen-Intranets und Dokumente, nutzten Angreifer eine Lücke aus, bevor es ein Update gab. Die US-Behörde für Cybersicherheit riet, betroffene Server vom Internet zu trennen, bis die Reparatur da ist. Die kam erst Tage später.
Nicht die Programmiersprache entscheidet, ob Sie so einen Tag gut überstehen, sondern ob jemand zuständig ist und schnell reagiert. Daran ändert ein Wechsel nichts.
Mythos 3: „Bei uns läuft kein PHP — wir sind fein raus"
Jede Website läuft auf irgendetwas: einem Webserver, einem Betriebssystem, einer Datenbank und Dutzenden Bausteinen fremder Entwickler. Im September 2025 übernahmen Angreifer über eine gefälschte Mail das Konto eines Entwicklers und versahen beliebte JavaScript-Bausteine mit Schadcode — Bausteine, die zusammen milliardenfach pro Woche heruntergeladen werden. Mit PHP hatte das nichts zu tun.
Und oft läuft PHP doch irgendwo, ohne dass es jemand weiß: in der Verwaltungsoberfläche des Hosters, in einem alten Kontaktformular, im Blog auf einer Unteradresse. Die richtige Frage ist nicht „Haben wir PHP?", sondern: Wissen wir, was bei uns läuft — und wer es aktuell hält?
Mythos 4: „Steigen Sie auf ein System ohne PHP um, das ist sicherer"
Auf PHP läuft ein großer Teil dessen, was Betriebe täglich nutzen: WordPress und WooCommerce, Contao, TYPO3, Joomla und Drupal, die Shopsysteme Shopware und Magento, die Dateiablage Nextcloud, die Lernplattform Moodle, die Besucherstatistik Matomo — und MediaWiki, die Software hinter Wikipedia. Entsprechend laut sind gerade die Angebote, die mit „Unser System läuft nicht auf PHP" werben.
Das mag stimmen, sicherer macht es das System aber nicht. Auch eine Software auf .NET, Java oder JavaScript hat Lücken — nur kennt sie heute noch niemand. Und ein Umstieg ist kein Update, sondern ein Neubau: Monate Arbeit, viel Geld, alle Inhalte übersiedeln, alle neu einschulen. Am Ende steht neuer Code mit neuen Fehlern, die noch keiner gefunden hat. Vom Regen in die Traufe.
Leider versuchen gerade viele, aus der Verunsicherung ein Geschäft zu machen. Mein Rat: Lassen Sie sich keinen Systemwechsel einreden. Sorgen Sie dafür, dass Ihre PHP-Version aktuell ist und Updates zeitnah eingespielt werden — das schützt Sie mehr als jeder Umstieg. Gute Gründe für einen Wechsel gibt es durchaus: wenn das alte System am Ende ist, wenn eine Anbindung es verlangt oder wenn Sie mit der Bedienung nicht zurechtkommen. „Es wurde eine Lücke gefunden" gehört nicht dazu.
Mythos 5: „In anderen Sprachen gibt es keine offenen Lücken"
Jede Software enthält Fehler, die heute noch niemand kennt — oder die jemand kennt und nicht meldet. Die Fehler hinter PHP2Shell steckten über zehn Jahre unentdeckt im Code. Niemand kann Ihnen sagen, welche Lücke in .NET, Java oder Python gerade schlummert.
Neu ist das Tempo, mit dem solche Fehler jetzt auftauchen: Künstliche Intelligenz durchsucht Code inzwischen schneller und gründlicher als jeder Mensch. An der Entdeckung von PHP2Shell war OpenAI beteiligt, und Google meldete 2025, dass seine KI „Big Sleep" eine Lücke in der weit verbreiteten Datenbank SQLite gefunden hat, die bis dahin nur Angreifern bekannt war. Das betrifft jede Sprache. Das nächste Notfall-Update kann genauso gut .NET oder Java treffen — und dann sind es eben diese Websites, die vom Netz gehen.
Mythos 6: „PHP hat zu langsam reagiert"
Das Gegenteil ist der Fall. Die Lücken wurden ab August gemeldet, die Reparatur war fertig und sollte am Donnerstag, 22. Oktober, erscheinen — zusammen mit allen Details, damit Betreiber sofort handeln können. So läuft eine verantwortungsvolle Veröffentlichung. Am 20. Oktober tauchten die Details vorzeitig im Netz auf. PHP hat noch am selben Abend reagiert und das Update einen Tag vorgezogen: Mittwoch, 21. Oktober, 16 Uhr unserer Zeit, für vier Versionen gleichzeitig.
Das eigentliche Problem war das Leck, und das haben Angreifer ausgenutzt: Laut Cloudflare gab es schon am Vormittag erste Angriffsversuche. Daran ist nicht PHP schuld. Ein Projekt, das nach einem Leck innerhalb eines Tages ein geprüftes Update liefert, macht seine Arbeit gut.
Was wirklich schützt — egal mit welcher Technik
Es gibt kein sicheres System. Es gibt nur Betriebe, die auf den nächsten Notfall vorbereitet sind, und solche, die es nicht sind. Vorbereitet heißt:
- Eine Person ist zuständig. Namentlich, mit Vertretung — wie im Beitrag Wer hat Ihre Website gepatcht? beschrieben.
- Updates in Stunden, nicht in Wochen. Wer bei einem Notfall erst einen Termin ausmachen muss, ist zu langsam.
- Nur Versionen mit Sicherheitsupdates. Eine Version, die keine Reparaturen mehr bekommt, ist ein offenes Fenster — in jeder Sprache.
- Wenig verraten. Keine Versionsnummern nach außen, keine vergessenen Testdateien. Was Ihre Website von außen zeigt, sehen Sie im Website-Check.
- Getestete Backups. Damit Sie nach einem Einbruch zurück können — mehr dazu im Beitrag über Backups, die im Ernstfall funktionieren.
Mein Fazit
Wer jetzt aus Angst die Technik wechselt, gibt viel Geld aus und tauscht bekannte Risiken gegen unbekannte. Man kann eher froh sein, wie schnell und offen PHP reagiert hat. Mein Rat in einem Satz: Nicht umsteigen, sondern aktualisieren — PHP-Version prüfen, Update einspielen und klären, wer das beim nächsten Notfall am selben Abend erledigt. Denn niemand kann Ihnen sagen, welche Lücke in einer anderen Programmiersprache gerade auf ihre Entdeckung wartet.
Wenn Sie unsicher sind, wie gut Ihre Website darauf vorbereitet ist: Schreiben Sie mir zwei Sätze mit Ihrer Adresse. Ich sage Ihnen ehrlich, was ich sehe — und ob ein Wechsel bei Ihnen wirklich Sinn ergibt.