Die wichtigste Nachricht vorab: Für alle Webseiten und Dienste, die direkt auf den Servern von Kielburger IT-Consulting oder beim von uns empfohlenen Partner netcup betrieben werden, kann bezüglich dieser PHP-Schwachstelle Entwarnung gegeben werden. Diese Server-Umgebungen sind bereits gepatcht und laufen wieder im Normalbetrieb.

Was ist das für eine Sicherheitslücke?

Unter den offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619 wurden zwei kritische Schwachstellen im Kern von PHP geschlossen (Schweregrad CVSS 9.2 von 10). Solche Fehler im Programmcode tauchen in komplexer Software immer wieder auf. Um zu verhindern, dass Kriminelle die Details vorab ausnutzen, hielt das PHP-Projekt die genauen technischen Informationen unter Verschluss, bis der offizielle Patch heute um 16:00 Uhr (MESZ) veröffentlicht wurde.

Was könnte im Ernstfall passieren?

Beide Schwachstellen ermöglichen eine sogenannte Remote Code Execution (RCE). Vereinfacht ausgedrückt: Auf einem ungeschützten Server könnten Angreifer über speziell präparierte Anfragen aus der Ferne eigenen Schadcode einschleusen und ausführen – ganz ohne Passwort oder Administrator-Zugang. Im Ernstfall ließen sich darüber Webseiten manipulieren, Daten auslesen oder fremde Programme auf dem Server starten. Da das Problem direkt in der PHP-Umgebung des Servers liegt, lässt es sich nicht über ein Update in WordPress selbst beheben, sondern erfordert ein Update durch den jeweiligen Server-Betreiber.

Was ist heute konkret passiert?

Da unmittelbar nach Veröffentlichung eines solchen Patches weltweit automatisierte Angriffsversuche starten, mussten Server-Betreiber und Webhoster heute Nachmittag schnell reagieren. Je nach technischer Infrastruktur und Sicherheitsphilosophie gehen Anbieter am Markt dabei sehr unterschiedlich vor:

• Eigene Server-Infrastruktur von Kielburger IT-Consulting: Auf den durch Kielburger IT-Consulting direkt verwalteten Servern kommt bewusst eine schlanke, moderne System-Architektur ohne veraltete PHP-Versionen zum Einsatz. Dadurch konnte das offizielle Sicherheitsupdate heute unmittelbar nach Erscheinen im laufenden Betrieb und ohne Ausfallzeiten eingespielt werden. Eine anschließende Tiefenprüfung der Systemprotokolle und Prozesse hat bestätigt, dass zu keinem Zeitpunkt ein erfolgreicher Angriff stattgefunden hat.
• Vorbildliches Vorgehen bei netcup: Auf großen Shared-Hosting-Plattformen laufen tausende Kunden-Webseiten parallel – oft auch mit älteren PHP-Versionen, für die der Anbieter eigene Sicherheits-Patches rückportieren muss. Der von uns häufig empfohlene Anbieter netcup hat sich heute für maximale Sicherheit und Transparenz entschieden: Kunden wurden vorab per E-Mail informiert und betroffene Systeme vorsorglich für den Zeitraum der Patch-Entwicklung und -Installation vom Netz genommen. Die vorübergehende Nichterreichbarkeit einiger Webseiten war somit kein erfolgreicher Hackerangriff, sondern eine konsequente Schutzmaßnahme. Inzwischen sind die Updates eingespielt und die Systeme von netcup wieder regulär online.
• Andere Hosting-Anbieter am Markt (Drittanbieter): Wie schnell und gründlich andere Hoster diese Lücke schließen, liegt ausschließlich in deren technischer Verantwortung. Während viele Anbieter Updates still im Hintergrund einspielen, rollen weniger gut gewartete Plattformen kritische Patches im schlimmsten Fall erst mit gefährlicher Verzögerung aus – oder lassen veraltete PHP-Versionen ungeschützt weiterlaufen. Für Webseiten, die bei externen Drittanbietern gehostet werden, können wir daher keine pauschale Aussage zum aktuellen Sicherheitsstatus treffen.

Fazit: Server-Basis bei uns und netcup gesichert – laufende Wartung bleibt wichtig

Wer seine Webseite direkt über die Server-Infrastruktur von Kielburger IT-Consulting oder im Webhosting bei netcup betreibt, muss sich wegen dieser spezifischen PHP-Sicherheitslücke keine Sorgen machen – auf Server-Ebene ist das Problem vollständig gelöst. Liegt eine Webseite hingegen bei einem anderen Hosting-Provider oder auf einem selbst verwalteten Server, sollte zeitnah geprüft werden, ob dort eine aktuelle PHP-Version samt dem heutigen Sicherheits-Patch aktiv ist. Zudem gilt grundsätzlich: Auch auf einem perfekt abgesicherten Server bleibt eine Webseite nur dann dauerhaft geschützt, wenn das System selbst (z. B. WordPress, Plugins und Themes) regelmäßig gewartet und aktualisiert wird.

Unsicher, wie es um die eigene Webseite steht? Gerne prüfen wir im Rahmen eines kurzen Sicherheits-Checks, auf welchem technischen Stand und bei welchem Anbieter eine Webseite aktuell läuft, ob Handlungsbedarf bei Updates besteht oder ob sich ein Umzug in eine professionell betreute Hosting-Umgebung anbietet.

–> Kontakt