Die wichtigste Nachricht vorab: Für alle Webseiten und Dienste, die direkt auf den Servern von Kielburger IT-Consulting oder beim von uns empfohlenen Partner netcup betrieben werden, kann bezüglich dieser PHP-Schwachstelle Entwarnung gegeben werden. Diese Server-Umgebungen sind bereits gepatcht und laufen wieder im Normalbetrieb.

Was ist das für eine Sicherheitslücke?

Unter den offiziellen Kennungen CVE-2026-109618 und CVE-2026-109619 wurden zwei kritische Schwachstellen im Kern von PHP geschlossen (Schweregrad CVSS 9.2 von 10). Solche Fehler im Programmcode tauchen in komplexer Software immer wieder auf. Um zu verhindern, dass Kriminelle die Details vorab ausnutzen, hielt das PHP-Projekt die genauen technischen Informationen unter Verschluss, bis der offizielle Patch heute um 16:00 Uhr (MESZ) veröffentlicht wurde.

Was könnte im Ernstfall passieren?

Beide Schwachstellen ermöglichen eine sogenannte Remote Code Execution (RCE). Vereinfacht ausgedrückt: Auf einem ungeschützten Server könnten Angreifer über speziell präparierte Anfragen aus der Ferne eigenen Schadcode einschleusen und ausführen – ganz ohne Passwort oder Administrator-Zugang. Im Ernstfall ließen sich darüber Webseiten manipulieren, Daten auslesen oder fremde Programme auf dem Server starten. Da das Problem direkt in der PHP-Umgebung des Servers liegt, lässt es sich nicht über ein Update in WordPress selbst beheben, sondern erfordert ein Update durch den jeweiligen Server-Betreiber.

Was ist heute konkret passiert?

Da unmittelbar nach Veröffentlichung eines solchen Patches weltweit automatisierte Angriffsversuche starten, mussten Server-Betreiber und Webhoster heute Nachmittag schnell reagieren. Je nach technischer Infrastruktur und Sicherheitsphilosophie gehen Anbieter am Markt dabei sehr unterschiedlich vor:

• Eigene Server-Infrastruktur von Kielburger IT-Consulting: Auf den durch Kielburger IT-Consulting direkt verwalteten Servern kommt bewusst eine schlanke, moderne System-Architektur ohne veraltete PHP-Versionen zum Einsatz. Dadurch konnte das offizielle Sicherheitsupdate heute unmittelbar nach Erscheinen im laufenden Betrieb und ohne Ausfallzeiten eingespielt werden. Eine anschließende Tiefenprüfung der Systemprotokolle und Prozesse hat bestätigt, dass zu keinem Zeitpunkt ein erfolgreicher Angriff stattgefunden hat.
• Vorbildliches Vorgehen bei netcup: Auf großen Shared-Hosting-Plattformen laufen tausende Kunden-Webseiten parallel – oft auch mit älteren PHP-Versionen, für die der Anbieter eigene Sicherheits-Patches rückportieren muss. Der von uns häufig empfohlene Anbieter netcup hat sich heute für maximale Sicherheit und Transparenz entschieden: Kunden wurden vorab per E-Mail informiert und betroffene Systeme vorsorglich für den Zeitraum der Patch-Entwicklung und -Installation vom Netz genommen. Die vorübergehende Nichterreichbarkeit einiger Webseiten war somit kein erfolgreicher Hackerangriff, sondern eine konsequente Schutzmaßnahme. Inzwischen sind die Updates eingespielt und die Systeme von netcup wieder regulär online.
• Andere Hosting-Anbieter am Markt (Drittanbieter): Wie schnell und gründlich andere Hoster diese Lücke schließen, liegt ausschließlich in deren technischer Verantwortung. Während viele Anbieter Updates still im Hintergrund einspielen, rollen weniger gut gewartete Plattformen kritische Patches im schlimmsten Fall erst mit gefährlicher Verzögerung aus – oder lassen veraltete PHP-Versionen ungeschützt weiterlaufen. Für Webseiten, die bei externen Drittanbietern gehostet werden, können wir daher keine pauschale Aussage zum aktuellen Sicherheitsstatus treffen.

Fazit: Server-Basis bei uns und netcup gesichert – laufende Wartung bleibt wichtig

Wer seine Webseite direkt über die Server-Infrastruktur von Kielburger IT-Consulting oder im Webhosting bei netcup betreibt, muss sich wegen dieser spezifischen PHP-Sicherheitslücke keine Sorgen machen – auf Server-Ebene ist das Problem vollständig gelöst. Liegt eine Webseite hingegen bei einem anderen Hosting-Provider oder auf einem selbst verwalteten Server, sollte zeitnah geprüft werden, ob dort eine aktuelle PHP-Version samt dem heutigen Sicherheits-Patch aktiv ist. Zudem gilt grundsätzlich: Auch auf einem perfekt abgesicherten Server bleibt eine Webseite nur dann dauerhaft geschützt, wenn das System selbst (z. B. WordPress, Plugins und Themes) regelmäßig gewartet und aktualisiert wird.

Unsicher, wie es um die eigene Webseite steht? Gerne prüfen wir im Rahmen eines kurzen Sicherheits-Checks, auf welchem technischen Stand und bei welchem Anbieter eine Webseite aktuell läuft, ob Handlungsbedarf bei Updates besteht oder ob sich ein Umzug in eine professionell betreute Hosting-Umgebung anbietet.

–> Kontakt

Warum ein „Sofort-Einsatz“ oft nicht möglich ist

Die meisten seriösen IT-Dienstleister arbeiten mit festen Terminplänen, um laufende Projekte und Wartungen zuverlässig durchzuführen. Ein ungeplanter „Notfall-Einsatz“ bei Kunde A würde bedeuten, dass ein geplanter Termin bei Kunde B kurzfristig abgesagt werden müsste. Kunde B wartet vielleicht schon seit Wochen auf seine Wartung oder Installation und hat sich darauf eingestellt. Ihn zu versetzen, wäre unprofessionell und unfair.

Zuverlässigkeit ist das höchste Gut in dieser Branche. Das bedeutet, dass Termine eingehalten werden müssen. Daraus resultiert zwangsläufig: Für spontane Ad-hoc-Einsätze fehlen in einer ausgelasteten Planung schlicht die Kapazitäten. Die „IT-Feuerwehr“ existiert in dieser Form daher praktisch nicht.

Brände verhindern statt löschen

Die gute Nachricht ist: Die meisten dieser IT-Notfälle sind vermeidbar. Während man bei einem Hausbrand oft machtlos ist, lassen sich in der EDV fast alle Risiken technisch minimieren. Anstatt auf eine schnelle Reaktion im Schadensfall zu hoffen, ist der sicherere Weg, die Infrastruktur so aufzubauen, dass der „Brand“ gar nicht erst entsteht oder sich nicht ausbreitet.

Hier sind häufige Beispiele für die effektivsten Maßnahmen zur Vorsorge:

• Redundanz bei der Internetverbindung
  Ein Internetausfall legt heute fast jeden Betrieb lahm. Die Lösung ist ein Router, der zwei Wege ins Netz nutzen kann (z.B. Glasfaser und zusätzlich 5G/LTE). Fällt die Hauptleitung aus, schaltet das System automatisch um. Der Betrieb läuft weiter, oft ohne dass die Nutzer den Ausfall überhaupt bemerken.
• Unterbrechungsfreie Stromversorgung (USV)
  Stromschwankungen oder kurze Ausfälle sind Gift für empfindliche Hardware und Datenbanken. Eine USV puffert diese Schwankungen ab und hält Server sowie Netzwerkkomponenten bei einem Stromausfall lange genug am Leben, um sie sauber herunterzufahren oder kurze Ausfälle zu überbrücken.
• Strukturierte Verkabelung statt WLAN-Flickwerk
  WLAN ist bequem, aber störanfällig. In einer stabilen Firmenumgebung sollten stationäre Geräte (PCs, Drucker, Server) immer per Kabel angebunden sein. Auch Access Points gehören fest verkabelt und nicht über Repeater-Ketten verbunden. Eine saubere Netzwerkstruktur eliminiert „Geisterfehler“, die sonst immer wieder zu Ausfällen führen.
• Professionelle Hardware
  Der klassische Router aus dem Elektromarkt ist für den Heimgebrauch konzipiert, nicht für die Dauerlast eines Unternehmens. Business-Hardware bietet Sicherheitsfunktionen, Stabilität und Update-Versorgung über viele Jahre hinweg, die Consumer-Geräte nicht leisten können.
• Datensicherung und Wiederherstellung
  Backups sind die Lebensversicherung eines Unternehmens. Doch ein Backup allein reicht nicht – es muss automatisiert laufen und die Wiederherstellung muss regelmäßig getestet werden. Nichts ist teurer und nervenaufreibender als eine professionelle Datenrettung nach einem Festplattencrash ohne funktionierendes Backup.
• Dokumentation und Schulung
  Oft unterschätzt, im Ernstfall aber entscheidend: Wissen. Eine saubere IT-Dokumentation (Netzwerkpläne, Zugangsdaten-Management) ist kein bürokratischer Ballast, sondern der „Lageplan“, ohne den jeder Techniker im Nebel stochert. Wenn Passwörter erst gesucht werden müssen, verrinnt wertvolle Zeit. Genauso wichtig ist der „Faktor Mensch“: Die teuerste Sicherheitssoftware ist machtlos, wenn Mitarbeiter versehentlich auf gut gemachte Phishing-Mails klicken. Regelmäßige Schulungen und Sensibilisierung machen Ihr Team zur „menschlichen Firewall“ und verhindern viele Brände, bevor sie überhaupt entstehen.

Investition in Vorsorge kostet Geld, das ist unbestritten. Doch die Kosten für einen tagelangen Ausfall, gepaart mit teuren Eilzuschlägen und Datenrettungsdiensten, übersteigen die Investition in eine solide Anlage meist um ein Vielfaches.

Wer seine IT vorausschauend plant und modernisiert, kauft sich damit nicht nur Technik, sondern vor allem eines: Ruhe. Und die Gewissheit, die Nummer 112 gar nicht erst wählen zu müssen.