Aktueller PHP-Sicherheitsvorfall

Letzter Update: 22.10.2026 | 06:30 Uhr

Vorfall

Das Bundesamt für Cybersicherheit (BACS) hat am 21. Oktober 2026 eine offizielle Warnung bezüglich zwei kritischer Schwachstellen in der Programmiersprache PHP herausgegeben. Angreifer könnten diese Sicherheitslücken ausnutzen, um ohne Anmeldung Schadcode auf betroffenen Servern auszuführen. Unsere Hosting-Partner spielen deshalb zurzeit mit höchster Priorität die notwendigen Sicherheitsupdates und Patches auf den Serverumgebungen ein.

Betroffen von dieser Sicherheitsmassnahme sind potenziell alle Websites und Onlinedienste, deren Systemumgebung auf PHP basiert (wie z. B. CMS wie Joomla, WordPress, Drupal etc.).

Auswirkungen

Um die Infrastrukturen vor unmittelbaren Cyberangriffen zu schützen, führen Hoster derzeit unaufgeschobene Wartungsarbeiten durch. In manchen Fällen werden dabei auch ältere, ungepatchte PHP-Versionen eingeschränkt oder sofortige Server-Neustarts erzwungen. Dies kann bei einzelnen Websites zu kurzzeitigen Ausfällen, Fehlermeldungen oder Funktionseinschränkungen führen.

Was genau mit älteren PHP-Versionen geschieht, für die herstellerseitig keine regulären Patches mehr bereitstehen (sogenannte End-of-Life-Versionen), wird von uns derzeit auf allen Ebenen direkt mit den jeweiligen Hostinganbietern abgeklärt.

Ursache

Grund für die überstürzten Massnahmen der Hosting-Anbieter ist die Dringlichkeit der BACS-Warnung: Die beiden identifizierten Schwachstellen weisen den kritischen Bedrohungsgrad 9.2 (von 10) auf und erlauben das Ausführen von Schadcode ohne vorherige Anmeldung. Da PHP oft nicht nur als reine Website-Sprache, sondern auch in Hintergrundprozessen, Containern und Hosting-Plattformen eingesetzt wird, ist das Risiko eines Übergreifens auf ganze Serverinfrastrukturen extrem hoch.

Die Hoster standen daher vor dem Dilemma, ungepatchte Systeme sofort vom Netz zu trennen, Dienst-Neustarts zu erzwingen oder radikale Konfigurationsanpassungen vorzunehmen. Während aktuelle PHP-Versionen direkt über Herstellersicherheitsupdates aktualisiert werden können, gibt es für ältere PHP-Versionen (End-of-Life) herstellerseitig keine offiziellen Patches mehr. Wie die einzelnen Hoster mit diesen alten PHP-Versionen verfahren – ob sie eigene Patches einspielen (Backporting), die Zugriffe einschränken oder betroffene Versionen komplett deaktivieren –, unterscheidet sich je nach Anbieter und führte zu den unangekündigten Einschränkungen.

Lösungen von innosolutions

Unabhängig von den technischen Rahmenbedingungen und Rückmeldungen der Hoster gilt: innosolutions lässt Sie nicht im Regen stehen.

Wir können für Ihre Website in jedem Fall passende Massnahmen umsetzen:

• Sofortige Notlösungen: Wo der reguläre Betrieb durch veraltete PHP-Stände blockiert ist, schalten wir – wo technisch möglich – temporäre Übergangslösungen frei, um die Erreichbarkeit Ihrer Website unverzüglich wiederherzustellen.
  
  
• Nachhaltige Sicherheit: Wir sichern Ihre Systeme ab und prüfen das zeitnahe Upgrade auf eine aktuelle, vom BACS als sicher eingestufte PHP-Version, damit Ihre Online-Präsenz langfristig stabil und geschützt bleibt.
  Wir überwachen die Lage aktiv und informieren betroffene Kunden direkt über allfällige Schritte. Vielen Dank für Ihr Verständnis und Ihr Vertrauen.
  
  

Wir werden Sie hier auf diesem Kanal und - wo erforderlich - im direkten Austausch weiter auf dem Laufenden halten.