Heute Morgen hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Warnung mit hoher Dringlichkeit verschickt. Es geht um zwei sehr schwere Sicherheitslücken in PHP. Das klingt erst einmal nach einem Thema für Techniker. Es betrifft aber fast jede Website, die Sie kennen, und sehr wahrscheinlich auch Ihre.
Wir möchten Ihnen in Ruhe erklären, was los ist, was wir bereits unternommen haben und was in den nächsten Stunden passiert.
Die Kurzfassung für Eilige
- In PHP wurden zwei kritische Sicherheitslücken entdeckt. Beide werden mit 9,2 von 10 möglichen Punkten als besonders schwer eingestuft.
- Die Entwickler von PHP veröffentlichen die Korrekturen (sogenannte Patches) heute, am 21. Oktober 2026 um 16:00 Uhr deutscher Zeit.
- Das Problem: Details zu den Lücken sind vorzeitig durchgesickert. Angreifer könnten sie also schon kennen, bevor die Korrektur da ist.
- Wir spielen die Patches auf unseren Servern ein, sobald sie verfügbar sind. Darum müssen Sie sich als Hosting-Kunde nicht selbst kümmern.
- Bis dahin prüfen wir, ob wir vorübergehende Schutzmaßnahmen aktivieren können.
- Wir beraten intern, ob wir einzelne Systeme vorsorglich kurz vom Netz nehmen. Falls das passiert, ist es eine bewusste Schutzmaßnahme und keine Störung.
Was ist PHP überhaupt?
PHP ist die Programmiersprache, mit der ein Großteil aller Websites weltweit betrieben wird. Wenn Sie WordPress, Joomla, TYPO3, Drupal, Nextcloud, einen Onlineshop mit Magento oder Shopware oder ein Kontaktformular auf Ihrer Seite haben, dann läuft im Hintergrund PHP.
Sie sehen PHP nicht, so wie Sie den Motor eines Autos nicht sehen, wenn Sie einsteigen. Aber ohne ihn bewegt sich nichts.
Was ist das Problem?
Stellen Sie sich vor, der Hersteller eines weit verbreiteten Türschlosses stellt fest, dass sich sein Schloss mit einem bestimmten Trick öffnen lässt. Er entwickelt ein verbessertes Schloss und kündigt an, es zu einem festen Zeitpunkt an alle Kunden auszuliefern. Bis dahin soll der Trick geheim bleiben.
Genau so ist es bei PHP gelaufen. Die Entwickler haben die Lücken gefunden, die Korrektur vorbereitet und den Termin angekündigt. Leider sind inzwischen Informationen über den „Trick“ nach außen gelangt. Sicherheitsforscher haben bestätigt, dass die Lücken echt sind.
Das bedeutet: Es gibt ein Zeitfenster, in dem Angreifer möglicherweise schon wissen, wie sie die Lücke ausnutzen können, die Korrektur aber noch nicht überall eingespielt ist. Dieses Zeitfenster wollen wir so kurz und so sicher wie möglich halten.
Die Lücken sind so schwerwiegend, weil ein Angreifer im schlimmsten Fall fremden Programmcode auf dem Server ausführen könnte. Das ist ungefähr so, als hätte der Einbrecher nicht nur die Tür offen, sondern auch gleich einen Schlüssel für alle Räume.
Was wir tun
1. Patches einspielen, sobald sie da sind
Die PHP-Entwickler veröffentlichen die Korrekturen heute um 16:00 Uhr. Danach werden sie für die Server-Betriebssysteme, die wir einsetzen, als fertige Pakete bereitgestellt. Wir sind vorbereitet und spielen diese Pakete auf unseren Servern ein, sobald sie verfügbar sind. Für alle PHP-Versionen, die wir anbieten.
Als Hosting-Kunde müssen Sie dafür nichts tun. PHP gehört zum Server und liegt in unserer Verantwortung.
2. Übergangsschutz prüfen
Bis die Korrektur eingespielt ist, prüfen wir, ob wir vorübergehende Schutzmaßnahmen aktivieren können. Fachleute nennen das Mitigation. Man kann es sich vorstellen wie einen zusätzlichen Riegel an der Tür, solange das neue Schloss noch nicht eingebaut ist. Das kann zum Beispiel bedeuten, dass wir bestimmte verdächtige Anfragen an Ihre Website schon abfangen, bevor sie PHP überhaupt erreichen.
Ein solcher Riegel ersetzt das neue Schloss nicht. Aber er kann die Zeit bis dahin sicherer machen.
3. Vorsorglich abschalten?
Einige große IT-Dienstleister haben bereits begonnen, Webserver vorübergehend vom Netz zu nehmen. Auch das BSI nennt diesen Schritt als den sichersten Weg, solange die Patches noch nicht installiert sind.
Wir diskutieren intern, ob, wann und welche Systeme wir vorsorglich offline nehmen, um die Zeit zwischen dem Bekanntwerden der Lücken und dem Einspielen der Korrektur zu überbrücken. Das ist eine Abwägung: Eine Website, die eine Stunde nicht erreichbar ist, ist ärgerlich. Eine Website, auf der ein Angreifer Schadsoftware ablegt, ist deutlich ärgerlicher und deutlich teurer.
Sollten wir uns für diesen Schritt entscheiden, kann Ihre Website für eine begrenzte Zeit nicht erreichbar sein. Das ist dann kein Defekt, sondern eine bewusste Schutzmaßnahme. Sobald die Korrektur eingespielt ist, ist alles wieder wie gewohnt online.
Was Sie tun sollten
Als Hosting-Kunde bei uns: In Bezug auf PHP selbst nichts. Das übernehmen wir.
Unabhängig davon ist heute ein guter Tag, um zu prüfen, ob Ihr WordPress, Joomla oder anderes System samt Plugins auf dem aktuellen Stand ist. Das hat mit dieser Lücke nichts direkt zu tun, aber jede geschlossene Tür ist eine Tür weniger.
Falls Sie zusätzlich eigene Server oder Systeme betreiben, die nicht von uns verwaltet werden: Dort sind Sie selbst für das Einspielen der Patches verantwortlich. Bitte planen Sie das für heute ab 16:00 Uhr ein. Den aktuellen Stand finden Sie auf der Seite des PHP-Sicherheitsteams (Link unten). Wenn Sie dabei Unterstützung brauchen, sprechen Sie uns an.
Vorsicht vor falschen Warnungen
Solche Ereignisse locken leider auch Betrüger an. Rechnen Sie in den nächsten Tagen mit E-Mails, die vor „gefährlichen PHP-Lücken“ warnen und Sie auffordern, sich irgendwo anzumelden oder ein „Sicherheitsupdate“ herunterzuladen.
Deshalb noch einmal zur Erinnerung: Wir fordern Sie niemals per E-Mail auf, Passwörter einzugeben, und wir verschicken keine Dateianhänge mit angeblichen Updates. Im Zweifel melden Sie sich direkt im Kundenmenü an oder rufen Sie uns an.
Fazit
Sicherheitslücken in weit verbreiteter Software gehören zum Alltag. Diese hier ist allerdings ungewöhnlich ernst, weil die Details vorzeitig bekannt geworden sind. Das verkürzt die Zeit, die allen Betreibern für eine ruhige Reaktion bleibt.
Wir haben uns vorbereitet. Wir spielen die Korrekturen ein, sobald sie verfügbar sind, wir prüfen zusätzlichen Schutz für die Zwischenzeit, und wir treffen, falls nötig, auch unbequeme Entscheidungen, um Ihre Daten und Websites zu schützen.
Wir aktualisieren diesen Beitrag, sobald es Neuigkeiten gibt.
👉 Fragen? Unser Support-Team ist für Sie da: per E-Mail, Telefon oder Ticketsystem.
(Bitte haben Sie Verständnis, dass wir telefonisch aktuell nicht bzw. nur stark eingeschränkt erreichbar sind.)
Stand: 21. Oktober 2026, 14:30 Uhr. Quellen: Warnmeldung des BSI vom 21.10.2026, Ankündigung des PHP-Sicherheitsteams.
Stand: 21. Oktober 2026, 17:34 Uhr: Die ersten Single-PHP-Server werden gerade mit Updates versorgt und getestet.
Stand: 21. Oktober 2026, 18:41 Uhr: PHP 8.5.12/PHP 8.3.36/PHP 8.2.35 sind auf allen SharedHosts in Deutschland, Kanada und Frankreich aktualisiert.
Stand: 21. Oktober 2026, 18:50 Uhr: PHP 8.4.27 ist auf allen SharedHosts in Deutschland und Frankreich aktualisiert.
Stand: 21. Oktober 2026, 19:20 Uhr: PHP 8.4.27 ist auf allen SharedHosts in Kanada aktualisiert.
Stand: 21. Oktober 2026, 20:10 Uhr: PHP 8.1.34-5/8.0.30-13 ist auf allen SharedHosts in Deutschland, Kanada und Frankreich aktualisiert.
Stand: 21. Oktober 2026, 20:40 Uhr: PHP 7.4.33-16 ist auf allen SharedHosts in Deutschland und Frankreich aktualisiert.
Stand: 21. Oktober 2026, 20:45 Uhr Zur Sicherheit offline genommene Server werden im Moment sukzessive kontrolliert online genommen.
Stand: 21. Oktober 2026, 20:47 Uhr PHP 7.4.33-16 ist auf allen SharedHosts in Kanada aktualisiert.
Stand: 21. Oktober 2026, 21:50 Uhr Sämtliche zur Sicherheit offline genommen Server sind wieder online.
Stand: 21. Oktober 2026, 21:55 Uhr PHP 5.6.40-24 ist auf allen SharedHosts in Deutschland, Kanada und Frankreich aktualisiert.
Stand: 21. Oktober 2026, 22:00 Uhr
Zusätzliche Firewall-Regeln werden entfernt
Wir haben alle aktiven PHP-Versionen auf unseren Servern aktualisiert. Deshalb brauchen wir die zusätzlichen Schutzregeln in unserer Web Application Firewall (WAF) nicht mehr und entfernen sie gerade schrittweise.
Voraussichtlich sind wir damit am 22. Oktober 2026 zwischen 4:00 und 5:00 Uhr fertig. Danach sollten alle Anwendungen wieder ohne Einschränkungen laufen.