Veraltete Software

Was wir prüfen

Wir sammeln alle Versionsangaben, die die Website preisgibt:

• in den Antworten des Servers, etwa Server: Apache/2.4.29 oder X-Powered-By: PHP/7.4.3,
• im Code der Seite, etwa die WordPress-Version im Meta-Tag generator,
• über unsere Technik-Erkennung im Browser, etwa jQuery, Bootstrap, React, TYPO3 oder Shopware.

Diese Versionen gleichen wir mit den Support-Daten der Hersteller auf endoflife.date ab:

• Kein Support mehr: schwerer Mangel, ob Server, Programmiersprache, CMS oder ein Baustein im Browser (z.B. Bootstrap, React, Vue). Bekannte Lücken werden nicht mehr geschlossen.
• Noch unterstützt, aber nicht auf dem neuesten Stand: Warnung mit der aktuellen Version.
• Versionen öffentlich sichtbar: Warnung, auch wenn sie aktuell sind, weil sie gezielte Angriffe erleichtern.

Warum das wichtig ist

Jede Software hat Fehler, und manche davon sind Sicherheitslücken. Solange eine Version unterstützt wird, schliesst der Hersteller sie mit Updates. Danach nicht mehr: Jede neu entdeckte Lücke bleibt für immer offen.

Angreifer arbeiten automatisiert. Programme durchsuchen das Internet rund um die Uhr nach Servern, die bestimmte veraltete Versionen melden, und greifen sie mit fertigen Werkzeugen an. Es braucht dafür kein besonderes Interesse an der Firma. Die Folgen reichen von Spam-Versand über den Server bis zu Datenabfluss und einer Website, die Besucher mit Schadsoftware infiziert.

Häufige Kandidaten sind alte PHP-Versionen wie 7.4 oder 8.0, die seit Jahren keine Updates mehr erhalten, nicht aktualisierte WordPress-Installationen und CMS-Versionen, die die Agentur vor Jahren eingerichtet und nie angefasst hat.

Wer offenlegt, welche Version läuft, macht Angreifern die Suche zusätzlich leicht.

So behebst Du es

Server und PHP

Bei Shared Hosting wählst Du die PHP-Version meist selbst im Kundenpanel. Wähle die neueste Version, die das CMS unterstützt, und teste die Website danach. Bei einem eigenen Server muss das Betriebssystem aktualisiert werden. Das ist Aufgabe des Hosters oder der Agentur.

CMS

WordPress, Joomla, TYPO3 und Co. aktualisierst Du im Backend. Steht ein Wechsel der Hauptversion an, etwa von TYPO3 10 auf 12, braucht es meist die Agentur, weil Erweiterungen angepasst werden müssen. Plane solche Updates fest ein, ähnlich wie den Service für ein Firmenfahrzeug.

Versionsangaben ausblenden

Das ersetzt keine Updates, erschwert aber gezielte Angriffe:

• Apache: ServerTokens Prod und ServerSignature Off
• nginx: server_tokens off;
• PHP: expose_php = Off in der php.ini
• WordPress: Sicherheits-Plugins entfernen das Meta-Tag generator.

So prüfst Du es selbst

In WordPress zeigt «Werkzeuge › Website-Zustand» die PHP-Version und ob sie veraltet ist. Auf endoflife.date kannst Du für jede Software nachsehen, bis wann eine Version unterstützt wird.

Häufige Fragen

Der Hoster sagt, der Server sei aktuell. Wer hat recht?

Möglicherweise beide. Manche Anbieter spielen Sicherheitskorrekturen ein, ohne die Versionsnummer zu ändern. Die Versionsangabe ist deshalb ein Hinweis. Es lohnt sich nachzufragen, ob die genannte Version noch Sicherheitsupdates erhält.

Was heisst «End of Life»?

Der Hersteller hat den Support für diese Version beendet. Neu entdeckte Sicherheitslücken werden nicht mehr geschlossen, auch nicht gegen Bezahlung.