Stand: 21. Oktober 2026, 21:15 Uhr
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt (CVE-2026-109618 und CVE-2026-109619). PHP ist die Programmiersprache, auf der die meisten Websites, Onlineshops und Buchungsstrecken laufen - auch viele, die wir für dich betreuen. Über die Lücken hätten Angreifer ohne Passwort eigenen Programmcode auf einem Server ausführen können. Einfach gesagt: Ein präparierter Dateiupload hätte gereicht, um die Kontrolle über eine Website zu übernehmen.
Wie wir reagiert haben
Noch bevor die offiziellen Updates erschienen sind, haben wir alle von uns betreuten Server erfasst und eine Schutzmaßnahme eingerichtet, die den bekannten Angriffsweg schließt. Ab 16:00 Uhr, als die Updates verfügbar waren, haben wir sie Server für Server eingespielt und jede Website vorher und nachher auf Erreichbarkeit geprüft. Für ältere Serversysteme, für die der Hersteller keine Updates mehr liefert, haben wir die korrigierten PHP-Versionen selbst gebaut, getestet und eingespielt. Parallel haben wir die Serverprotokolle unserer gesamten Infrastruktur nach Angriffsspuren durchsucht. Bisher haben wir keine Hinweise auf einen erfolgreichen Angriff gefunden.
Am Nachmittag waren einige Onlineshops rund 40 Minuten nicht erreichbar, weil eine unserer Schutzmaßnahmen nicht mit der Shop-Software zusammengepasst hat. Das haben wir um 15:57 Uhr behoben. Für die Unannehmlichkeit entschuldigen wir uns.
Wo wir jetzt stehen
Nach unserem aktuellen Stand ist keine der von uns betreuten Websites mehr ungeschützt. Rund drei Viertel laufen auf vollständig aktualisierten Systemen - hier ist nichts weiter zu tun. Wo es ohne Risiko möglich war, haben wir Websites heute zusätzlich auf eine aktuellere PHP-Version angehoben; lief eine Website danach nicht einwandfrei, haben wir sie automatisch auf die vorherige Version zurückgestellt.
Der übrige Teil läuft auf älteren PHP-Versionen oder Serversystemen, die sich nicht vollständig aktualisieren lassen. Diese Websites haben wir mit zusätzlichen Schutzmaßnahmen abgesichert. Das funktioniert, bringt aber Einschränkungen mit sich: Dateien können dort derzeit nur bis etwa 6 MB hochgeladen werden, pro Formularversand insgesamt bis 8 MB. Dauerhaft sicher wird eine solche Website erst mit einem Upgrade auf eine aktuelle PHP-Version oder mit einem Relaunch.
Ist deine Website betroffen?
Das kannst du hier prüfen: www.web-crossing.com/sicherheitscheck/
Gib deine Domain und deine E-Mail-Adresse ein. Nach der Bestätigung deiner E-Mail-Adresse bekommst du den Stand deiner Website. Sind Arbeiten nötig, kannst du direkt ein Angebot für ein Upgrade oder einen Relaunch anfordern - wir melden uns dann bei dir.
Was wir aus dem Vorfall mitnehmen
Systeme aktuell halten: Die Websites, die schon auf aktuellen Versionen liefen, waren innerhalb weniger Stunden gepatcht. Je älter eine Website technisch ist, desto aufwendiger und unsicherer wird jede Absicherung. Mit einem Wartungsvertrag kümmern wir uns laufend um Updates, damit deine Website gar nicht erst ins Hintertreffen gerät.
Shared Hosting überdenken: Auf einem Shared-Hosting-Server teilen sich viele Websites dieselbe Maschine. Wird eine davon kompromittiert und übernimmt der Angreifer darüber den Server, können auch die Daten der anderen Websites betroffen sein. Das lässt sich bei Shared Hosting grundsätzlich nicht ausschließen. Für Websites mit Kundendaten, Buchungen oder Shopfunktionen empfehlen wir deshalb einen eigenen Server. Wir beraten dich gerne, was für dich sinnvoll ist.
Fragen?
Melde dich bei uns unter info@web-crossing.com oder +43 512 206567.
Dein Team von web-crossing
