Aktueller PHP-Sicherheitsvorfall

Letzter Update: 22.10.2026 | 11:20 Uhr

Vorfall

Das Bundesamt für Cybersicherheit (BACS) hat am 21. Oktober 2026 eine offizielle Warnung bezüglich zwei kritischer Schwachstellen in der Programmiersprache PHP herausgegeben. Angreifer könnten diese Sicherheitslücken ausnutzen, um ohne Anmeldung Schadcode auf betroffenen Servern auszuführen. Unsere Hosting-Partner haben bereits am Mittwoch, 21. Oktober, mit höchster Priorität die notwendigen Sicherheitsupdates und Patches auf den Serverumgebungen eingespielt.

Betroffen von dieser Sicherheitsmassnahme sind potenziell alle Websites und Onlinedienste, deren Systemumgebung auf PHP basiert (wie z. B. CMS wie Joomla, WordPress / WooCommerce, PrestaShop, Drupal etc.).

Auswirkungen

Um die Infrastrukturen vor unmittelbaren Cyberangriffen zu schützen, führen Hoster derzeit unaufgeschobene Wartungsarbeiten durch. In manchen Fällen werden dabei auch ältere, ungepatchte PHP-Versionen eingeschränkt oder sofortige Server-Neustarts erzwungen. Dies kann bei einzelnen Websites zu kurzzeitigen Ausfällen, Fehlermeldungen oder Funktionseinschränkungen führen.

Was nun genau mit älteren PHP-Versionen (8.1 und älter) weiter geschieht, für die herstellerseitig (seit längerem) keine regulären Patches mehr bereitstehen (sogenannte End-of-Life-Versionen), wird von uns derzeit auf allen Ebenen direkt mit den jeweiligen Hostinganbietern abgeklärt.

Müssen innsolutions-Kunden etwas unternehmen?

Nein. Das Problem liegt auf der Ebene der Webhoster und die Patches sind auf den Servern bereits installiert. Sollten Sie von uns schon länger darüber informiert worden sein, dass Ihr Auftritt auf einer veralteten PHP-Version läuft, wird es nun aber höchste Zeit, ein allfälliges Migrations- oder Neubauprojekt zügig in Angriff zu nehmen.

Ursache

Grund für die überstürzten Massnahmen der Hosting-Anbieter ist die Dringlichkeit der BACS-Warnung: Die beiden identifizierten Schwachstellen weisen den kritischen Bedrohungsgrad 9.2 (von 10) auf und erlauben das Ausführen von Schadcode ohne vorherige Anmeldung. Da PHP oft nicht nur als reine Website-Sprache, sondern auch in Hintergrundprozessen, Containern und Hosting-Plattformen eingesetzt wird, ist das Risiko eines Übergreifens auf ganze Serverinfrastrukturen extrem hoch.

Die Hoster standen daher vor dem Dilemma, ungepatchte Systeme sofort vom Netz zu trennen, Dienst-Neustarts zu erzwingen oder radikale Konfigurationsanpassungen vorzunehmen. Während aktuelle PHP-Versionen direkt über Herstellersicherheitsupdates aktualisiert werden können, gibt es für ältere PHP-Versionen (End-of-Life) herstellerseitig keine offiziellen Patches mehr. Wie die einzelnen Hoster mit diesen alten PHP-Versionen verfahren – ob sie eigene Patches einspielen (Backporting), die Zugriffe einschränken oder betroffene Versionen komplett deaktivieren –, unterscheidet sich je nach Anbieter und führte zu den unangekündigten Einschränkungen.

Lösungen von innosolutions

Unabhängig von den technischen Rahmenbedingungen und Rückmeldungen der Hoster gilt: innosolutions lässt Sie nicht im Regen stehen!

Wir können für Ihre Website in jedem Fall passende Massnahmen umsetzen:

• Sofortige Notlösungen: Wo der reguläre Betrieb durch veraltete PHP-Stände blockiert ist, schlagen wir Ihnen – wo technisch möglich – temporäre Übergangslösungen vor, mit welchen die Erreichbarkeit Ihrer Website unverzüglich wiederhergestellt bzw. bis zu einer Migration sichergestellt ist.
  
  
• Nachhaltige Sicherheit: Wir sichern Ihre Systeme - wo dies noch möglich ist - ab und prüfen das zeitnahe Upgrade auf eine aktuelle, vom BACS als sicher eingestufte PHP-Version, damit Ihre Online-Präsenz langfristig stabil und geschützt bleibt. 

Wir überwachen die Lage aktiv und informieren betroffene Kunden direkt über allfällige Schritte bzw. werden auf diesem Kanal allgemein weiter informieren.

Vielen Dank für Ihr Verständnis und Ihr Vertrauen.