PHP-Check aller Kunden-Websites

Passiv geprüft am 22.10.2026. Liste und WhatsApp-Vorschlag zur Freigabe. Es ist noch nichts gesendet.

Nur passiv geprüft: je Domain ein normaler Aufruf der Startseite (GET, Weiterleitungen gefolgt), keine Admin-Pfade, keine Logins, nichts gesendet. Ausgewertet wurden der Header X-Powered-By (PHP-Version), Server, das Generator-Meta-Tag (WordPress, Joomla, Drupal und andere), Erreichbarkeit, HTTPS-Zertifikat und ob die Domain auf BEG-Hosting zeigt (kunden.beg-lab.com, *.pages.dev).

Zusammenfassung

Veraltet insgesamt (PHP 8.1 oder älter): 36 Kunden, davon 25 mit PHP 8.0 oder älter.

Einordnung der Versionen (Stand php.net, 22.10.2026)

• Gepflegt sind nur noch PHP 8.2, 8.3, 8.4 und 8.5. Am 21.10.2026 kamen Sicherheitsupdates für alle vier: 8.2.35, 8.3.36, 8.4.27, 8.5.12.
• PHP 8.1 bekommt seit dem 01.01.2026 keine Updates mehr (letzte Version 8.1.34). Deshalb zählt 8.1 hier ebenfalls als veraltet, abweichend von der Grenze „unter 8.1“ im Auftrag. Beide Gruppen sind getrennt ausgewiesen.
• PHP 8.2 läuft am 31.12.2026 aus. Seiten darauf sind heute in Ordnung, brauchen aber bald einen Wechsel.
• WordPress aktuell: 7.1.3. Ältere Zweige bekommen noch Sicherheitsnachträge (z. B. 7.0.7, 6.9.10, 6.8.11). Als veraltet zählt eine WordPress-Version nur, wenn sie nicht der letzte Stand ihres Zweigs ist.

Die fünf auffälligsten Fälle

Knapp dahinter: ETC Elektrotechnik (aktiv, Gruppe, etc-bruchsal.de PHP 7.4.33), Alisia Sina Wagner Fotografin (aktiv, Gruppe, PHP 7.4.33, Seite zeigt nur „Hier entsteht Neues“), Augenzentrum Eckert (aktiv, Gruppe, medizentrum-eckert.de PHP 7.4.33, Zuordnung über Easybill „Medizentrum Eckert Rheinstetten“ bitte prüfen), Best Media Web GmbH (aktiv, PHP 7.4.33), Stahlbau Trepels (ehemalig, PHP 8.0.30), Wellness Spass im Fass (pausiert, PHP 8.0.30), Jug Abbruch (ehemalig, PHP 8.0.30), Schröppel Bau (ehemalig, PHP 7.4.33).

Außerdem dringend, unabhängig von PHP: reisemobile-juergens.de (Reisemobil Jürgens, aktiv, Gruppe) zeigt gerade nur eine WordPress-Fehlerseite (HTTP 500, PHP 8.2.35). Die Seite ist für Besucher derzeit kaputt.

Schon angeschrieben?

Für R&D Recycling, Stahlbau Trepels, Natürlich Brot, Gerüstbau Kampmann, C4C Pfandhaus, Fachpraxis Mathias Mohr und Wörner Raumausstattung liegen seit heute früh eigene Texte in /Users/mien/Claude/BEG-Sicherheit-PHP2Shell-2026-10-22/kundentexte.md (laut Datei in der Fulfillment-Gruppe zur Abnahme gepostet). Diese sieben bitte nicht doppelt anschreiben. Hinweis: Rohrklar und Weick waren dort als offline vermerkt, heute antworten rohrklar.de und die Weick-Seiten wieder (PHP nicht erkennbar).

Grenzen der Prüfung

• Viele Hoster verbergen die PHP-Version. „Nicht erkennbar“ heißt nicht „sicher“, nur „von außen nicht sichtbar“.
• Die Domain kommt meist aus der Mailadresse in Easybill. Bei Kunden mit Status „unklar (nur Easybill)“ ist nicht sicher, ob sie Kunde von BEG mit Betreuung waren oder nur eine Rechnung bekommen haben. Konzern- und Behördendomains sind markiert und kein Ziel für die Nachricht.
• Strato-Server (Apache, Fehler 503) haben beim ersten, parallelen Durchlauf geblockt. Diese Domains wurden einzeln mit dem normalen curl-Kennzeichen erneut abgerufen, danach antworteten fast alle.
• Name und Gruppe wurden über Namensabgleich zusammengeführt. Einzelne Zuordnungen vor dem Versand kurz prüfen, besonders bei „unklar“.

Vorschlag WhatsApp-Nachricht

Platzhalter in eckigen Klammern je Kunde füllen. Anrede „Hi,“, Du-Form, ohne Gedankenstriche, ohne Preis.

Hi,

uns ist bei einem Routine-Check eurer Webseite [domain.de] etwas aufgefallen, das wir euch nicht vorenthalten wollen.

Die Seite läuft noch auf PHP [Version]. PHP ist die Technik im Hintergrund, auf der zum Beispiel WordPress läuft. Für diese Version gibt es keine Sicherheitsupdates mehr. Bekannte Lücken bleiben damit offen, und genau danach suchen Angreifer automatisiert. Im schlimmsten Fall wird Schadsoftware eingeschleust, Besucher landen auf fremden Seiten oder Daten aus dem Kontaktformular werden ausgelesen.

Ihr seid uns weiterhin wichtig, deshalb sagen wir es euch direkt. Wir beheben das gern für euch: Sicherung vorher, Umstellung auf eine aktuelle PHP-Version, danach Test von Seite und Formular.

Dafür bräuchten wir den Zugang zu eurem Hosting ([Anbieter, z. B. IONOS oder Strato]). Die Login-Mailadresse gern hier, das Passwort bitte getrennt per Direktnachricht. Und falls sich jemand anderes um eure Seite kümmert, gebt ihm die Info gern weiter.

Viele Grüße

Variante für „Patch fehlt“ (PHP 8.2 bis 8.5, Update vom 21.10. noch nicht eingespielt): zweiten Absatz ersetzen durch „Die Seite läuft auf PHP [Version]. Für diese Version ist seit gestern ein wichtiges Sicherheitsupdate draußen, das bei euch noch nicht eingespielt ist.“

Auffällige Domains (73)

Nur Befund veraltet, Patch fehlt oder CMS veraltet. Die vollständige Liste mit allen 534 Domains steht in /Users/mien/Claude/Walter-Auftraege/2026-10-22-php-check-kunden.md