Feueralarm bei PHP: Warum gestern viele Websites offline waren und was Sie jetzt tun sollten

Gestern Nachmittag ging in vielen Rechenzentren das Licht aus. Nicht wegen eines Stromausfalls, sondern mit Absicht: Das PHP-Team hatte für 16 Uhr Notfall-Updates angekündigt, die zwei kritische Sicherheitslücken schließen. Mittwald, unser Rechenzentrum, und etliche andere Hoster weltweit haben daraufhin ihre Websites vom Netz genommen, die Updates eingespielt und alles wieder hochgefahren. Wer gestern Abend eine Fehlermeldung statt seiner Website sah, war also nicht gehackt, sondern in Sicherheit gebracht worden. Heute läuft wieder alles wie gewohnt. Fast alles. Dazu gleich mehr.

Was ist passiert?

PHP ist die Programmiersprache, in der WordPress, die meisten Online-Shops, Kontaktformulare und Buchungssysteme laufen; nach Zählung von W3Techs steckt sie hinter rund drei Vierteln aller Websites. Am 21. Oktober 2026 veröffentlichte das PHP-Team eine Sicherheitswarnung der obersten Kategorie: Zwei Lücken (CVE-2026-109618 und CVE-2026-109619) erlauben es Angreifern, ohne Anmeldung eigenen Code auf dem Server auszuführen, und zwar noch bevor die eigentliche Website überhaupt startet. Betroffen sind praktisch alle PHP-Installationen, die Webseiten ausliefern. Die Updates heißen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.

So lief der Tag bei Mittwald ab, nachzulesen auf der Statusseite des Rechenzentrums:

• 14:16 Uhr: Ankündigung, dass die offiziellen Patches um 16 Uhr kommen und automatisch eingespielt werden. Kunden müssen nichts tun.
• 16:17 Uhr: Erste Schutzmaßnahme vor dem Patch: Datei-Uploads und Formular-Übertragungen werden abgeschaltet. Deshalb funktionierten gestern bei manchen Websites Kontaktformulare und Uploads nicht.
• 18:47 Uhr: Neue Erkenntnisse zur Lücke. Mittwald fährt alle Systeme herunter und blockt den Datenverkehr zu allen gehosteten Websites, so wie diverse andere Hosting-Anbieter auch. E-Mails laufen durchgehend weiter.
• 19:46 bis 22:52 Uhr: Die Patches für PHP 7.2 bis 7.4, 8.1 bis 8.5 werden gebaut und ausgerollt; die ersten Websites kommen zurück.
• Um Mitternacht: Alle Projekte mit diesen PHP-Versionen sind wieder erreichbar. Die Prüfungen haben keine Hinweise ergeben, dass die Lücke auf der Mittwald-Infrastruktur ausgenutzt wurde.

Das war kein Ausfall, das war die Feuerwehr: Erst das Gebäude räumen, dann löschen, dann wieder reinlassen. Unangenehm für einen Abend, aber richtig.

Heute: alles wieder normal, mit einer Ausnahme

Wenn Ihre Website heute noch nicht oder nur eingeschränkt läuft, liegt das mit hoher Wahrscheinlichkeit an einem Punkt: In Ihrem Projekt läuft eine veraltete PHP-Version. Für PHP 5.6, 7.0, 7.1 und 8.0 gibt es seit Jahren keine offiziellen Sicherheitsupdates mehr; Mittwald musste dafür eigene Lösungen bauen, und für Versionen unterhalb von 5.6 ist das bis heute nicht gelungen. Solche Projekte bleiben vorsorglich gesperrt.

Das klingt hart, ist aber konsequent: Eine Website mit bekannter, offener Lücke ans Netz zu lassen, wäre, als würde man nach dem Feueralarm ausgerechnet die Tür zum brennenden Zimmer wieder aufschließen.

Warum wir Ihre Website nicht einfach wieder freischalten

Technisch könnten wir ein gesperrtes Projekt wieder online nehmen. Wir raten dringend davon ab, solange dort eine alte PHP-Version läuft. Die Gründe:

• Die Lücke bleibt offen. Für alte Versionen gibt es keinen Patch. Jeder, der die Lücke kennt, kann Code auf dem Server ausführen, ohne Passwort, ohne Anmeldung.
• Es geht um Ihre Daten. Kundendaten aus Formularen, Bestellungen, Zugangsdaten, E-Mail-Adressen: Alles, was auf dem Account liegt, wäre erreichbar. Die DSGVO verlangt von Ihnen angemessene technische Schutzmaßnahmen; eine ungepatchte Website ist das Gegenteil davon.
• Der Schaden wandert. Ein gekaperter Webspace verschickt Spam, verteilt Schadsoftware an Ihre Besucher und landet auf Sperrlisten. Dann ist nicht nur die Website weg, sondern auch der gute Ruf.

Wenn der Rauchmelder piept, nimmt man nicht die Batterie raus. Man sucht das Feuer. Wer unsere Öllampe aus dem letzten Dezember noch im Kopf hat, kennt das Prinzip.

Was jetzt zu tun ist

1. Website testen. Rufen Sie Ihre Seite auf und probieren Sie Kontaktformular, Login oder Shop einmal durch. Mittwald hatte Uploads und Formulare gestern zeitweise abgeschaltet; sollte etwas noch klemmen, sagen Sie uns Bescheid.
2. PHP-Version prüfen. In WordPress finden Sie sie unter Werkzeuge → Website-Zustand → Bericht → Server, sonst im Kundenmenü Ihres Hosters. Alles unter 8.2 ist zu alt. Und 8.2 selbst läuft zum Jahresende aus; wer jetzt ohnehin anfasst, geht gleich auf 8.3 oder 8.4.
3. Melden, nicht warten. Wenn Ihre Website gesperrt ist oder eine alte Version läuft, schauen wir uns gemeinsam Ihre Software an: WordPress, Plugins, Shop-System oder Eigenentwicklung. Dann wissen wir, was einem Update im Weg steht, und finden den Weg nach vorn. Den gibt es immer: ein Update, ein Zwischenschritt über eine LTS-Version, ein Ersatz für ein verwaistes Plugin oder, wenn es sein muss, ein sauberer Neuaufbau.

Auch wenn Sie nicht bei uns hosten

Die Lücke betrifft nicht nur Mittwald-Kunden. Wenn Ihre Website bei einem anderen Anbieter liegt und seit gestern Probleme macht oder gesperrt wurde, melden Sie sich trotzdem. Wir sehen uns die Lage an, sagen Ihnen ehrlich, welche Möglichkeiten es gibt, und wenn Sie wollen, übernehmen wir nach Absprache Ihre Software und Ihre Daten zu uns. In einer Notsituation zählt erst einmal, dass jemand abnimmt und einen Plan hat. Das machen wir.

Kurz gesagt

• 21. Oktober 2026: zwei kritische PHP-Lücken, Notfall-Updates vom PHP-Team, Rechenzentren weltweit kurz offline.
• Seit heute läuft bei aktuellen PHP-Versionen wieder alles; keine Hinweise auf Missbrauch bei Mittwald.
• Gesperrt bleiben Projekte mit veralteter PHP-Version. Freischalten geht, ist aber ein Sicherheitsrisiko für Ihre Daten. Wir empfehlen es nicht.
• Für jede Website gibt es einen Weg auf eine aktuelle Version. Wir finden ihn mit Ihnen.

Betroffen oder unsicher? Schreiben Sie uns an info@pronetic.de oder nutzen Sie unser Kontaktformular. Wir melden uns schnell, schauen uns Ihre Software an und sagen Ihnen, was zu tun ist.

Kontakt aufnehmen

Quellen: PHP-Team, Security Advisory vom 21. Oktober 2026 (php.net, CVE-2026-109618 und CVE-2026-109619); Mittwald, Statusmeldung „Vorsorgliche Einschränkungen aufgrund der aktuellen PHP-Sicherheitslücke“, Verlauf 21. Oktober 14:16 Uhr bis 22. Oktober 2026 00:28 Uhr; W3Techs, Nutzungsstatistik serverseitiger Programmiersprachen. Mehr zu Laufzeiten und Extended Support in unserem Beitrag Informationen zu Ihrer PHP-Version; passende Leistungen: WordPress-Wartung und Sicherheit & Datenschutz.

Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz recherchiert und erstellt und von uns redaktionell geprüft.