CMS erkennen: veraltete WordPress- und PHP-Version prüfen

Was ein CMS ist und was Supportende bedeutet

• Ein CMS (Content-Management-System, Redaktionssystem) ist die Software, in der Sie die Website pflegen: WordPress, Drupal, Joomla oder gehostete Plattformen wie Shopify, Wix oder die tschechische Shop-Plattform Shoptet. Darunter laufen PHP und ein Webserver wie Apache oder nginx, im Browser der Besucher JavaScript-Bibliotheken wie jQuery oder Bootstrap.
• Das Supportende (End of Life, EOL) ist der Tag, nach dem die Entwickler für eine Version keine Sicherheitsupdates mehr veröffentlichen. Die Software funktioniert weiter, aber niemand behebt mehr ihre Fehler.

Supportende der häufigsten Software, Stand Oktober 2026:

Quellen: php.net, WordPress.org, drupal.org, joomla.org, Microsoft Lifecycle, AngularJS und der CISA-KEV-Katalog.

Warum ein veraltetes CMS kleinen Firmen schadet

Angriffe auf kleine Websites sind selten gezielt. Bots durchsuchen das Internet nach bekannten Softwareversionen mit öffentlich beschriebenen Lücken und nutzen sie automatisch aus. Eine kompromittierte Website verschickt dann womöglich Spam, leitet Besucher auf betrügerische Seiten um oder gibt Daten aus Formularen und Bestellungen preis. Browser und Suchmaschinen können sie als gefährlich markieren, was dem Vertrauen der Kunden und den Besucherzahlen schadet. Ein veraltetes System fällt oft erst auf, wenn der Hoster eine alte PHP-Version abschaltet und die Website auf der neuen nicht mehr läuft. Wer Lieferanten prüft, etwa nach den NIS2-Cybersicherheitsregeln, sieht das außerdem von außen.

Häufige Probleme mit veralteten CMS

• WordPress wurde jahrelang nicht aktualisiert, weil sonst ein Theme oder Plugin ausfallen würde, das niemand mehr pflegt.
• Die Website ist auf einer alten PHP-Version geblieben, weil niemand den Umstieg geplant hat.
• Ein Theme oder Plugin bringt eine eigene alte Kopie von jQuery oder Bootstrap mit, die Core-Updates nicht ändern.
• Die Header Server und X-Powered-By verraten die genaue PHP- oder Serverversion, sodass sich leicht nachschlagen lässt, welche bekannten Lücken zutreffen (mehr unter Sicherheitsheader und in der Prüfung der Angriffsfläche).
• Eine Website auf Drupal 7 oder Joomla 3 bzw. 4 läuft ohne Support weiter, weil der Umstieg auf eine neue Version fast eine neue Website bedeutet.

WordPress-Version und CMS: was wir prüfen

WebMeter liest nur die Startseite: ihr HTML, die Antwort-Header und Cookies und, falls eine andere Prüfung sie in derselben Messung gerendert hat, auch die Seite nach Ausführung von JavaScript. CMS und Plattform erkennt es an konkreten Merkmalen (Meta-Generator, Header, Cookies, Pfade wie /wp-content/ auf der eigenen Domain, Adressen von Plattformen wie Shoptet, Wix, Webnode oder Shopify). Bei WordPress erkennt es auch gängige Erweiterungen wie WooCommerce, Elementor oder Yoast SEO.

Die WordPress-Version vergleicht es mit dem Versionsstatus von WordPress.org und mit dem CISA-KEV-Katalog tatsächlich ausgenutzter Lücken. Bei Drupal und Joomla bewertet es die Hauptversion, bei PHP, Apache, der TLS-Bibliothek (das Zertifikat selbst prüft der SSL-Zertifikat-Check) und nginx die Version aus den Headern Server und X-Powered-By und bei einem IIS-Server den zugehörigen Windows Server. Es weist auch auf ein Supportende innerhalb von 90 Tagen hin. Aus Skriptadressen erkennt es jQuery, jQuery UI, jQuery Migrate, Bootstrap, AngularJS, Moment.js und Lodash. Die Tabellen zu Supportende und Bibliotheken hält es lokal vor, der Betreiber aktualisiert sie regelmäßig.

Die Nummer im Header muss nicht stimmen, weil Linux-Distributionen Updates auch in ältere Versionen zurückportieren; deshalb schreibt WebMeter „wahrscheinlich“. Es probiert keine Angriffe und keine versteckten Adressen aus, meldet sich nicht im Admin-Bereich an und kann weder Plugin-Versionen prüfen noch, ob die Website bereits kompromittiert wurde.

WordPress- und PHP-Updates: was dazugehört

Die PHP-Version legt der Hoster oder Serveradministrator fest, und Updates über 2026 hinaus erhalten nur PHP 8.3 und neuer. Größere Updates führen Administratoren nach einem Backup und zuerst auf einer Kopie der Website durch, weil ein altes Plugin oder Theme ausfallen kann. Ob danach etwas veraltet geblieben ist, zeigt eine neue Messung mit WebMeter.

Website erstellen lassen statt altes WordPress flicken

Hält ein Theme oder Plugin die Website zusammen, das niemand mehr pflegt, werden Updates aufgeschoben und die Website altert weiter. Wir bauen eine neue Website von Grund auf mit unterstützter Software, ohne alte Kopien von Bibliotheken wie jQuery. Nach der Übergabe bearbeiten Sie sie selbst.

So läuft die Website-Erstellung ab → Fallstudie: von 73 auf 97 Punkte →

Häufige Fragen zu CMS und veralteter Software

Weitere Prüfbereiche

• SEO-Check
• Was ist SEO
• SSL-Zertifikat prüfen
• SPF, DKIM und DMARC prüfen
• Website-Geschwindigkeit
• Cookies und DSGVO auf der Website
• Sicherheitsheader
• NIS2 und Ihre Website
• Wettbewerbsvergleich
• KI-Suche
• Barrierefreiheit der Website
• Drittanbieter auf der Website
• DNS und Domain
• Exposition der Website
• Firma und Onlineshop
• Suchmaschinen außer Google
• Überblick über alles, was WebMeter prüft

Wie sich die Prüfung gegenüber Ihrer Website verhält, beschreibt die Seite über den Robot WebMeterBot; was gespeichert wird und wie lange, steht in der Datenschutzrichtlinie.