30,5 Prozent der Websites niederländischer KMU laufen mit veralteter Software. Das zeigen Messungen der Webagentur Bureau Imago bei 1.280 Unternehmen, durchgeführt in den Tagen nach der Bekanntgabe zweier kritischer PHP-Sicherheitslücken am 21. Oktober. Am 31. Dezember endet der Support für PHP 8.2. Die Agentur schätzt, dass damit gut 800.000 niederländische Websites auf einer PHP-Version ohne Updates laufen werden.
Bureau Imago, eine Marketing- und Webagentur aus Utrecht, legt eine weit gefasste Definition von veralteter Software zugrunde. Dazu zählen eine PHP-Version ohne Updates, eine WordPress-Version, die WordPress.org als unsicher einstuft, ein Plugin, das mindestens eine Version zurückliegt, oder ein Plugin, das aus Sicherheitsgründen aus dem WordPress-Verzeichnis entfernt wurde. Die Stichprobe umfasst pro Stadt und Branche die dreißig Unternehmen mit den meisten Google-Bewertungen in Utrecht, Amsterdam, Rotterdam, Eindhoven, Groningen und Zwolle.
WordPress-Plugins hinken hinterher
57 Prozent der gemessenen KMU-Websites laufen auf WordPress. Bei 44 Prozent dieser Sites liegt mindestens ein Plugin eine Version zurück, bei 23 Prozent eine komplette Hauptversion. Auf 4 Prozent der WordPress-Sites läuft ein Plugin, das WordPress.org aus Sicherheitsgründen entfernt hat und für das somit keine Updates mehr erscheinen. Von den WordPress-Sites, die ihre Versionsnummer anzeigen, nutzen 15 Prozent eine Version, die WordPress.org als unsicher einstuft.
Über alle gemessenen Sites hinweg laufen 8 Prozent erkennbar auf einer PHP-Version ohne Updates. Bei den Sites, die ihre PHP-Version preisgeben, ist es gut ein Viertel.
Unterschiede zwischen den Branchen
In allen zwölf untersuchten Branchen läuft auf einem Fünftel bis gut einem Drittel der Sites veraltete Software. Die höchsten Anteile misst die Agentur bei Anwaltskanzleien (36 Prozent), Dachdeckern (35 Prozent) sowie Garten- und Landschaftsbauern und Zahnarztpraxen (jeweils 34 Prozent). Restaurants schneiden mit 21 Prozent am besten ab. Pro Branche geht es um 52 bis 126 Sites, bei einer Fehlermarge von etwa 8 Prozentpunkten. Die Agentur weist selbst darauf hin, dass man die Ergebnisse als Gruppen und nicht als exakte Rangliste lesen sollte.
Support-Ende für PHP 8.2
Laut Daten von WordPress.org laufen 59,6 Prozent der WordPress-Installationen auf PHP 8.2 oder älter. Bureau Imago kombiniert diesen Anteil mit Zahlen der niederländischen Domain-Registrierungsstelle SIDN und von W3Techs und kommt so auf eine Schätzung von gut 800.000 niederländischen WordPress-Sites, die ab dem 1. Januar auf PHP ohne Updates laufen. Weltweit wären es gut 50 Millionen. Es handelt sich um gerundete Schätzungen, nicht um Zählungen. WordPress.org zählt zudem auch Test- und Backup-Installationen mit.
Das Sicherheitsunternehmen Patchstack meldet, dass die Zahl der gemeldeten Sicherheitslücken in WordPress-Plugins und -Themes von 1.382 im Jahr 2021 auf 11.334 im Jahr 2025 gestiegen ist. Etwa die Hälfte der schwerwiegenden Lücken wird laut Patchstack innerhalb eines Tages nach ihrer Bekanntgabe ausgenutzt.
Methode und Einschränkungen
Die Agentur rief pro Site einmalig die Startseite auf und las die PHP-Version aus dem Server-Header aus. 72 Prozent der Sites zeigen diese Version nicht an. Bei WordPress-Sites wurden zusätzlich die öffentlichen Readme-Dateien der Plugins abgerufen, die die Startseite lädt – im Durchschnitt vier pro Site. Kostenpflichtige Plugins und verborgene Versionen fließen nicht ein, weshalb der tatsächliche Anteil laut der Agentur höher liegt. Es wurde nichts getestet oder angegriffen. Bureau Imago merkt zudem an, dass veraltete Software nicht automatisch bedeutet, dass eine Site angreifbar ist.
Kommerzielles Interesse
Die Untersuchung steht nicht unabhängig von einem eigenen Angebot. Laut Partner Sylvester Bongers spielen große Organisationen Updates noch am selben Tag ein, während sich die Sites kleiner Unternehmer oft noch in dem Zustand befinden, in dem sie vor Jahren ausgeliefert wurden. Bongers zufolge führt die Pflege von WordPress, Plugins, Themes und PHP bei älteren Sites häufig zu Problemen. Nach Angaben der Agentur nutzen Angreifer KI, um Lücken schneller zu finden und auszunutzen. Bongers hält einen Neuaufbau ohne WordPress für die meisten Unternehmer für die bessere Wahl.
Bureau Imago hat dafür kürzlich Resite Now auf den Markt gebracht. Der Dienst wandelt eine bestehende WordPress-Site in eine statische Site ohne WordPress, Plugins und PHP um, wobei Texte, Fotos und Webadressen erhalten bleiben. Laut dem Unternehmen geschieht dies mithilfe von KI innerhalb weniger Stunden, und ein Mitarbeiter prüft jede Seite, bevor sie live geht.
Wenn Sie selbst prüfen möchten, wie es um eine WordPress-Site steht, finden Sie veraltete Komponenten unter Dashboard, Aktualisierungen. Die PHP-Version finden Sie unter Werkzeuge, Website-Zustand, Bericht, Server, oder im Kundenbereich des Hosters.
Dieser Artikel ist ursprünglich auf Niederländisch bei MSP Business erschienen. Zum Originalartikel →
