Was ist PHP und warum ist es die Grundlage eines Großteils des Webs?

Ich möchte einfach nur, dass die Website funktioniert. Doch hinter einem Großteil des World Wide Web steckt eine Programmiersprache, die über dreißig Jahre alt ist: PHP.

Wir alle haben erst kürzlich erfahren, was passiert, wenn sie sich in PHP-Schwachstellen entdecktDie ganze Welt ist in Aufruhr, und das völlig zu Recht. Zwei kritische Sicherheitslücken in PHP könnten Angreifern ermöglichen, ohne vorherige Autorisierung Schadcode auf entfernten Servern auszuführen. Die Entwickler haben sofort reagiert, aber vielleicht ist es jetzt an der Zeit, darüber zu sprechen, was PHP eigentlich ist, warum diese alte Technologie immer noch so weit verbreitet ist und wie ein Fehler in einer Programmiersprache das gesamte Internet gefährden kann.

Was ist PHP und was bedeutet sein Name?

PHP ist eine Programmiersprache, die primär für die Erstellung von Websites und Webanwendungen entwickelt wurde. Der Name ist eine Abkürzung für PHP Hypertext Preprocessor und bedeutete ursprünglich „Personal Home Page“. Allein daraus wird deutlich, dass die Sprache aus dem rein praktischen Bedürfnis entstand, Websites lebendiger zu gestalten als bloßen statischen Text.

Die Ursprünge der Sprache reichen bis ins Jahr 1994 zurück, als der dänisch-kanadische Programmierer Rasmus Lerdorf einfache Werkzeuge zur Überwachung der Besuche auf seiner persönlichen Website entwickelte. Diese Werkzeuge entwickelten sich nach und nach zu einer Programmiersprache, die zu einem der wichtigsten Bausteine des World Wide Web geworden ist.

PHP ist eine Skriptsprache. Das bedeutet, dass der Code nicht vorab zu einem eigenständigen Programm kompiliert wird, sondern bei jeder Anfrage von einem speziellen Dienst, dem sogenannten Interpreter, gelesen und ausgeführt wird. Dadurch wird dem Programmierer viel Arbeit erspart, die bei komplexeren Sprachen anfällt, was PHP sehr einsteigerfreundlich macht. PHP ist zudem Open Source, das heißt, der Quellcode ist öffentlich zugänglich und jeder kann die Sprache kostenlos nutzen und weiterentwickeln.

Laut dem Marktforschungsunternehmen W3Techs PHP war am 21. Oktober 2026 auf etwa 69,3 % Websites vertreten, bei denen die verwendete serverseitige Programmiersprache identifiziert werden konnte. Dies repräsentiert zwar nicht 69,3 % des gesamten Internets, ist aber ein deutlicher Hinweis auf seine Verbreitung.

Wie funktioniert PHP?

Das Schlüsselwort ist serverseitig. Wenn ich eine Webseite in meinem Browser öffne, sendet dieser eine Anfrage an den Server, also den Computer, der die Seite speichert und dem Besucher bereitstellt. Ist die Seite in PHP geschrieben, übergibt der Server den Code zunächst an den Interpreter. Dieser führt ihn aus, liest gegebenenfalls Daten aus der Datenbank, kompiliert die endgültige Seite in HTML und sendet sie zurück an den Browser. HTML ist die Sprache, in der alle Webseiten geschrieben sind, und der Browser kann sie als Text, Bilder und Schaltflächen darstellen. CSS bestimmt das Aussehen, während JavaScript Interaktivität ermöglicht, beispielsweise das Reagieren auf Klicks, das Öffnen von Menüs und das Aktualisieren von Inhalten.

Der Besucher sieht daher nie den PHP-Code selbst, sondern nur das Ergebnis. Dies ist auch aus Sicherheitsgründen wichtig, da der Code häufig Daten für den Datenbankzugriff enthält. Gelangt ein Angreifer in die Hände des Codes, erhält er auch Zugriff auf diese Daten.

Wir fügen den PHP-Code zwischen den Tags in eine normale Webseite ein. Alles innerhalb dieser Wörter wird vom Dolmetscher ausgeführt, alles andere bleibt unverändert. Diese Einfachheit war einer der Hauptgründe für die rasante Verbreitung der Sprache in den 1990er Jahren.

Man hört oft das Akronym LAMP. Es steht für die klassische Kombination aus dem Linux-Betriebssystem, dem Apache-Webserver, der MySQL-Datenbank und der Programmiersprache PHP. Es handelt sich um eine Sammlung kostenloser Tools, die jahrzehntelang einen Großteil des Webs angetrieben haben und dies auch heute noch vielerorts tun.

PHP ist nicht nur eine Sprache für einfache Websites

Obwohl PHP in einer Zeit des deutlich einfacheren Webs entstand, gehen seine heutigen Möglichkeiten weit über seinen ursprünglichen Zweck hinaus. Es kann zur Entwicklung von Online-Shops, Geschäftsanwendungen, Benutzerportalen, Reservierungssystemen und Programmierschnittstellen für den Datenaustausch zwischen verschiedenen Diensten eingesetzt werden.

Modernes PHP unterstützt objektorientierte Programmierung. Programmierer können die Programmlogik in Klassen und Objekte unterteilen, die einzelne Komponenten der Anwendung repräsentieren. Es unterstützt außerdem Datentypisierung, Ausnahmebehandlung und viele weitere Mechanismen, die einen besser organisierten und vorhersehbaren Programmcode ermöglichen.

Programmierer müssen nicht alle Funktionen von Grund auf selbst entwickeln. Frameworks wie Laravel und Symfony vereinfachen die Entwicklung komplexerer Anwendungen. Auch Composer, ein Abhängigkeitsmanager, spielt eine wichtige Rolle. Er ermöglicht es Entwicklern, vorgefertigte Bibliotheken einzubinden und deren Versionen zu verwalten.

Ohne Datenbanken wäre ihr Nutzen deutlich geringer.

Eine der Hauptaufgaben von PHP ist die Anbindung von Webanwendungen an Datenbanken. Wenn ich mich in einem Online-Shop anmelde, muss das System mein Benutzerkonto verifizieren. Bei einer Bestellung müssen die ausgewählten Produkte, die Lieferadresse und die Bestellinformationen gespeichert werden. PHP kann hierfür mit Datenbanken wie MySQL, MariaDB, PostgreSQL und SQLite zusammenarbeiten.

Für den Zugriff auf Datenbanken steht unter anderem PDO zur Verfügung. PHP-DatenobjekteEs handelt sich um eine Programmierschnittstelle, die die Arbeit mit verschiedenen Datensystemen ermöglicht. Dabei muss der Entwickler besonderes Augenmerk auf die Sicherheit legen.

Wenn eine Anwendung versehentlich Benutzereingaben in einen Datenbankbefehl einfügt, kann eine Sicherheitslücke namens SQL-Injection entstehen. SQL ist eine standardisierte Sprache für die Arbeit mit relationalen Datenbanken. Ein Angreifer kann eine solche Schwachstelle ausnutzen, um Daten ohne Autorisierung zu lesen oder zu verändern.

Als Schutzmaßnahme wird die Verwendung vorbereiteter Abfragen empfohlen, bei denen die Benutzerdaten getrennt vom Befehl selbst behandelt werden.

Warum ist PHP so eng mit WordPress verbunden?

Das beste Beispiel für seine Verbreitung ist WordPress, eines der meistgenutzten Content-Management-Systeme im Web. WordPress basiert auf PHP und einer Datenbank. Wenn ein Redakteur einen Artikel veröffentlicht, wird dessen Inhalt in einer Datenbank gespeichert. PHP kümmert sich dann um das Abrufen des Inhalts, die Überprüfung der Benutzerberechtigungen und die Vorbereitung der Seite, die der Besucher sieht.

Auch Drupal und Joomla basieren auf PHP, ebenso wie der Online-Shop WooCommerce und die MediaWiki-Software, die Wikipedia zugrunde liegt. PHP ermöglicht zudem Erweiterungen, Benutzerkonten, Formulare, Online-Shops und viele redaktionelle Funktionen. Es ist jedoch wichtig, zwischen Sicherheitslücken in PHP selbst, Fehlern in WordPress und Problemen mit einzelnen Plugins zu unterscheiden.

Beispielsweise bedeutet ein WordPress-Update nicht zwangsläufig, dass auch PHP auf dem Server aktualisiert wird. Es handelt sich um unterschiedliche Softwareebenen, die jeweils separate Wartung erfordern. Dieser Unterschied wird oft übersehen, insbesondere von weniger anspruchsvollen Nutzern, die die Serververwaltung ihrem Hosting-Anbieter überlassen.

Was haben die jüngsten kritischen Sicherheitslücken offenbart?

Die Sicherheitswarnungen mit den Bezeichnungen CVE-2026-109618 und CVE-2026-109619 sind besonders schwerwiegend, da sie die internen Abläufe von PHP betreffen. CVE ist eine standardisierte internationale Bezeichnung für öffentlich bekannte Sicherheitslücken. Beide Fehler erhielten einen CVSS-Wert von 9,2, der die Schwere von Sicherheitslücken auf einer Skala von 1 bis 10 bewertet.

Die erste Schwachstelle betrifft eine fehlerhafte Speicherverwaltung, wenn der verfügbare Speicher während der Bearbeitung einer Anfrage erschöpft ist. Die zweite Schwachstelle entsteht durch die Verwendung interner Daten einer vorherigen Anfrage, nachdem deren Speicher bereits freigegeben wurde. Unter bestimmten Umständen könnte ein Angreifer diese Schwachstelle ausnutzen, um ohne Anmeldung an der Anwendung Schadcode auszuführen.

Im Fall von PHP warnen sie insbesondere vor der Verwendung von mod_php, da ein Angriff nachgewiesen wurde, der ausgelöst werden kann, bevor der Code der Webanwendung ausgeführt wird. Das bedeutet, dass selbst eine korrekt programmierte Website nicht unbedingt geschützt ist, wenn sie eine anfällige PHP-Version verwendet.

Wird PHP aufgrund von Sicherheitslücken seine dominante Stellung verlieren?

PHP ist weder ein Wundermittel noch ein verpöntes Relikt. Es ist eine ausgereifte, schnelle und weit verbreitete Sprache, die dank ihrer Einfachheit vielen den Einstieg in die Webprogrammierung ermöglicht hat. Doch genau diese weite Verbreitung ist ihre Achillesferse, denn jeder schwerwiegende Fehler kann große Teile des Webs gefährden. Für alle, die eine eigene Website oder einen Onlineshop betreiben, ist die wichtigste Botschaft daher ganz einfach: Aktualisieren Sie Ihre Software regelmäßig und warten Sie nicht auf den ersten Angriff.