Kritische PHP-Sicherheitslücke: So haben wir reagiert

Die beiden Schwachstellen mit den Bezeichnungen CVE-2026-109618 und CVE-2026-109619 erhielten eine offizielle Risikobewertung von 9,2 auf einer Skala bis 10. Betroffen waren zahlreiche PHP-Versionen und damit potenziell auch Websites, die technisch einwandfrei funktionierten und regelmäßig besucht wurden. Eine Website kann nach außen völlig normal aussehen und trotzdem eine kritische Sicherheitslücke aufweisen. Für einen Angriff war in diesem Fall nicht einmal eine Anmeldung im Verwaltungssystem erforderlich. Die PHP-Entwickler stellten am 21. Oktober Sicherheitsupdates bereit. Bis diese für die verschiedenen Versionen verfügbar und installiert waren, mussten Website-Betreiber und Hosting-Anbieter entscheiden, wie sie mit dem Risiko umgehen.

Nachdem das Ausmaß der Sicherheitslücke bekannt geworden war, haben wir umgehend die von uns betreuten Websites und Server überprüft. Websites, für die bereits ein Sicherheitsupdate verfügbar war, haben wir direkt aktualisiert. Die übrigen Websites haben wir vorsorglich vom Netz genommen oder mit einer Wartungsseite versehen. Damit wollten wir verhindern, dass sie bis zur Bereitstellung der fehlenden Updates ungeschützt erreichbar bleiben.

Im Laufe des Abends konnten wir einen Großteil der Websites wieder freigeben. Bei extern betriebenen Managed-Hosting-Servern waren wir allerdings auf die Sicherheitsupdates des Anbieters angewiesen. Die dort betriebenen Websites blieben deshalb vorsorglich bis zum Mittag des Folgetages offline. Besonders schwierig war die Situation bei älteren PHP-Versionen, für die Sicherheitsupdates teilweise erst später oder gar nicht mehr bereitgestellt wurden. Auch das zeigt, wie wichtig es ist, Websites technisch aktuell zu halten.

Anschließend haben wir unsere Server auf mögliche Angriffsspuren kontrolliert. Dabei fanden wir keine Hinweise auf eine erfolgreiche Ausnutzung der Sicherheitslücken oder einen Datenabfluss. Für einige Kunden bedeuteten unsere Maßnahmen eine vorübergehende Unterbrechung ihrer Website-Erreichbarkeit. Das war ärgerlich, aus unserer Sicht angesichts des Sicherheitsrisikos aber die richtige Entscheidung.

Wer eine Website betreibt, benötigt einen Webserver und die passende technische Infrastruktur. Diese Leistungen bieten zahlreiche Hosting-Unternehmen an – häufig zu günstigen monatlichen Preisen. Doch was passiert, wenn eine kritische Sicherheitslücke bekannt wird? Hosting-Anbieter kümmern sich um die Sicherheit ihrer Serverinfrastruktur. Wie schnell notwendige Updates bereitgestellt werden, kann allerdings unterschiedlich sein. Und ob darüber hinaus die Website selbst, das verwendete CMS und dessen Erweiterungen aktuell und funktionsfähig bleiben, hängt vom jeweiligen Vertrag ab.

Genau hier liegt der Unterschied zwischen einem reinen Hosting-Angebot und einer umfassenden Website-Betreuung. Bei plakart kennen wir die Websites unserer Kunden. Wir wissen, welches CMS eingesetzt wird, welche technischen Besonderheiten bestehen und welche Aktualisierungen notwendig sind. Hosting, Website-Entwicklung und technische Betreuung greifen bei uns ineinander.

Dadurch können wir bei kritischen Sicherheitsproblemen nicht nur reagieren, sondern auch einschätzen, welche Maßnahmen für die jeweilige Website sinnvoll sind. Und wenn ein externer Serverbetreiber nicht schnell genug reagiert, können wir entscheiden, ob eine Website vorsorglich abgeschaltet werden muss. Denn eine vorübergehend nicht erreichbare Website ist im Zweifel das kleinere Problem gegenüber einer kompromittierten Website.

Die PHP-Sicherheitslücke zeigt auch, warum veraltete Software ein Problem ist. Ältere PHP-Versionen erhalten irgendwann keine regulären Sicherheitsupdates mehr. Das Gleiche gilt für Content-Management-Systeme und Erweiterungen. Deshalb setzen wir bei plakart auf regelmäßige Wartung und empfehlen unseren Kunden, ihre Websites technisch aktuell zu halten. Dazu gehören insbesondere Sicherheitsupdates für das CMS, die Überprüfung der PHP-Version sowie die regelmäßige Kontrolle der technischen Voraussetzungen. Eine hundertprozentige Sicherheit gibt es auch mit professioneller Betreuung nicht. Aber wer seine Website kontinuierlich pflegt und bei kritischen Vorfällen schnell reagiert, kann Risiken erheblich reduzieren.

Der 21. Oktober war auch für uns ein außergewöhnlicher Arbeitstag. Innerhalb weniger Stunden mussten wir technische Entwicklungen verfolgen, Entscheidungen treffen, Sicherheitsmaßnahmen umsetzen und zahlreiche Websites wieder in Betrieb nehmen. Unsere Kunden mussten sich darum nicht selbst kümmern. Sie wurden nach Abschluss der Maßnahmen über den Vorfall und unser Vorgehen informiert. Genau das verstehen wir unter gutem Website-Hosting: nicht nur die Technik bereitstellen, sondern auch Verantwortung übernehmen, wenn es darauf ankommt.