In den vergangenen Tagen sorgte eine kritische Sicherheitslücke in der Programmiersprache PHP weltweit für erhebliche Aufmerksamkeit. Zahlreiche Hosting-Anbieter, Behörden, Universitäten, Kliniken und Unternehmen schränkten ihre Online-Dienste vorsorglich ein oder nahmen Webseiten zeitweise sogar vollständig vom Netz.
Auch einige Kunden von stilmission waren von vorübergehenden Einschränkungen ihrer Hosting-Anbieter betroffen und fragten sich verständlicherweise:
- Warum sind manche Webseiten plötzlich offline?
- Ist meine Website betroffen?
- Wurde meine Website gehackt?
Die gute Nachricht vorweg:
Nach aktuellem Stand gibt es bei den von uns betreuten Projekten keine Hinweise auf Sicherheitsvorfälle oder erfolgreiche Kompromittierungen.
Was ist überhaupt passiert?
Betroffen waren die beiden kritischen Sicherheitslücken:
- CVE-2026-109618
- CVE-2026-109619
Die Schwachstellen befanden sich nicht in WordPress, Shopware, WooCommerce oder einzelnen Plugins, sondern direkt in PHP selbst.
PHP gehört zu den weltweit wichtigsten Webtechnologien und bildet die Grundlage für einen großen Teil aller Websites, Onlineshops und Webanwendungen.
Die Sicherheitsbehörden stuften die Schwachstellen als besonders kritisch ein, da Angreifer dadurch unter bestimmten Voraussetzungen Schadcode auf betroffenen Servern ausführen könnten.
Es war kein Virus und kein Trojaner
Ein häufiger Irrtum:
Viele Medienberichte erweckten den Eindruck, als würde ein Virus oder Trojaner aktuell Webseiten infizieren.
Das war nicht der Fall.
Bei der veröffentlichten Warnung handelte es sich um eine Schwachstelle in einer Serverkomponente.
Betroffen waren daher nicht:
- Outlook
- Microsoft 365
- Exchange-Postfächer
- lokale Computer
- Smartphones
- Tablets
Ebenso wenig konnte die Sicherheitslücke durch ein Plugin-Update oder Änderungen innerhalb der Website selbst behoben werden.
Die erforderlichen Maßnahmen mussten durch die jeweiligen Hosting-Anbieter auf Serverebene umgesetzt werden.
Warum wurden einige Webseiten vorsorglich abgeschaltet?
Diese Frage wurde uns besonders häufig gestellt.
Viele Betreiber gehen davon aus, dass ein Angriff erst dann gefährlich wird, wenn noch kein Sicherheitsupdate existiert.
Tatsächlich beginnt häufig genau mit der Veröffentlichung eines Updates die kritischste Phase.
Sobald Entwickler einen Patch veröffentlichen, können Sicherheitsforscher – aber auch Angreifer – die Änderungen analysieren.
Durch den Vergleich von alter und neuer Version lässt sich häufig nachvollziehen:
- welche Schwachstelle behoben wurde,
- wie sie funktioniert,
- und wie sie theoretisch ausgenutzt werden könnte.
Moderne Analysewerkzeuge und KI-Systeme beschleunigen diesen Prozess erheblich.
Deshalb empfahlen Sicherheitsbehörden und CERTs, Systeme im Zweifel lieber kurzfristig vom Netz zu nehmen, als ungepatchte Server dem Risiko einer möglichen Ausnutzung auszusetzen.
Warum waren manche Hosting-Anbieter betroffen und andere nicht?
Die Reaktionen der Hosting-Anbieter fielen unterschiedlich aus.
Manche Anbieter spielten die Sicherheitsupdates im laufenden Betrieb ein.
Andere entschieden sich für einen besonders konservativen Ansatz und beschränkten den Zugriff auf ihre Infrastruktur vorübergehend.
Beides sind grundsätzlich mögliche Strategien.
Wichtig ist:
Eine vorübergehende Nichterreichbarkeit bedeutet nicht automatisch, dass eine Website unsicher war oder ein technisches Problem vorlag.
In vielen Fällen waren die Einschränkungen eine bewusst getroffene Sicherheitsmaßnahme.
Was bedeutet das für Kunden von stilmission?
Für die von uns betreuten Projekte wurden die Entwicklungen fortlaufend beobachtet.
Dabei achten wir grundsätzlich darauf, dass:
- unterstützte PHP-Versionen eingesetzt werden,
- Sicherheitsupdates zeitnah bewertet werden,
- technische Risiken frühzeitig erkannt werden,
- Hosting- und Infrastrukturthemen aktiv überwacht werden.
Zusätzlich wurden die betroffenen Systeme kontrolliert und auf Auffälligkeiten überprüft.
Bislang liegen keine Hinweise auf Sicherheitsvorfälle in den von uns betreuten Projekten vor.
Persönliche Betreuung statt anonymer Hotline
Gerade Vorfälle wie dieser zeigen, wie wichtig ein direkter Ansprechpartner ist.
Automatische Statusmeldungen, KI-Chatbots und Wissensdatenbanken können hilfreich sein.
Die Bewertung einer konkreten Situation und die Einschätzung der Auswirkungen auf ein individuelles Projekt erfordern jedoch Erfahrung sowie Kenntnis der jeweiligen Infrastruktur.
Deshalb steht stilmission auch künftig bei technischen Störungen, Sicherheitsvorfällen und Rückfragen persönlich zur Verfügung.
Fazit
Die PHP-Sicherheitslücke war kein gewöhnlicher Sicherheitsvorfall und wurde von Behörden weltweit als ernsthafte Bedrohung eingestuft.
Die gute Nachricht:
- Die Sicherheitsupdates wurden inzwischen bereitgestellt.
- Die meisten Hosting-Anbieter haben ihre Systeme wieder freigegeben.
- Bislang gibt es keine Hinweise auf Vorfälle bei den von stilmission betreuten Projekten.
- Ein unmittelbarer Handlungsbedarf besteht aktuell nicht.
Wie bei allen sicherheitsrelevanten Ereignissen beobachten wir die weitere Entwicklung weiterhin aufmerksam und informieren bei neuen Erkenntnissen.
Quellen und weiterführende Informationen
- Bundesamt für Sicherheit in der Informationstechnik (BSI)
- PHP Foundation
- Nationale CERT-Meldungen und Sicherheitshinweise
- Veröffentlichungen und Statusmeldungen betroffener Hosting-Anbieter
- Öffentliche Stellungnahmen deutscher Behörden, Kommunen, Universitäten und Kliniken
- Veröffentlichungen internationaler Sicherheitsbehörden (u. a. FBI und NSA)
- Berichterstattung deutscher und internationaler Medien
- Eigene Auswertung der veröffentlichten Sicherheitsinformationen sowie technischer Meldungen betroffener Anbieter
