Kritische PHP-Sicherheitslücke: Unsere Server sind bereits aktualisiert
Am 21. Oktober 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor zwei kritischen Sicherheitslücken in PHP gewarnt. PHP ist die Programmiersprache, auf der ein Großteil aller Websites läuft, darunter WordPress, WooCommerce und viele Online-Shops. Auch bei Macbay wird der Großteil der Kunden-Websites mit PHP betrieben. Das Wichtigste vorab:
- Unsere Admins haben die Sicherheitsupdates unmittelbar eingespielt, nachdem das PHP Konsortium die Fehlerbehebung veröffentlicht und CloudLinux die Update-Pakete bereitgestellt hat.
- Alle PHP-Versionen auf unseren Servern wurden unmittelbar nach der Veröffentlichung aktualisiert, auch die älteren.
- Für den Patch selbst müssen Sie nichts tun.
- Das Update führte zu einer kurzen Unterbrechung von wenigen Minuten.
Was ist passiert?
Die beiden Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und wurden mit 9,2 von 10 Punkten bewertet. Das ist die Kategorie „kritisch“. Nach Einschätzung des BSI könnten Angreifer darüber aus der Ferne eigenen Schadcode auf Webservern ausführen, und zwar voraussichtlich ohne Anmeldung. Anders gesagt: Wer die Lücke ausnutzt, könnte im schlimmsten Fall Websites übernehmen oder Daten abgreifen.
Das BSI hat Betreiber deshalb aufgerufen, die Sicherheitsupdates sofort nach Veröffentlichung einzuspielen und den Patch-Stand anschließend zu überprüfen.
Warum betrifft das so viele Websites?
PHP ist kein einzelnes Programm auf Ihrer Website, sondern die Grundlage darunter. Die Lücke steckt im Kern von PHP selbst. Sie lässt sich deshalb nicht über ein Website-Update beheben, sondern nur auf dem Server. Genau dort setzen wir an.
Wichtig: Einfache Websites, die lediglich mit HTML und CSS aufgesetzt wurden, sind nicht betroffen, ebensowenig die Mail-Systeme!
Was haben wir getan?
Sobald die offiziellen Fehlerbehebungen von PHP vorlagen und CloudLinux die passenden Pakete für unsere Server bereitgestellt hat, haben unsere Administratoren die Updates eingespielt. Dabei haben wir nicht nur die aktuellen PHP-Versionen berücksichtigt, sondern auch die älteren Versionen, die manche Websites aus Kompatibilitätsgründen noch nutzen. Alle PHP-Versionen, die wir anbieten, sind aktualisiert: 5.2 bis 8.2 abgehärtet, 8.3 und höher regulär gepatched.
Warum gab es eine kurze Unterbrechung?
Damit die neuen PHP-Pakete aktiv werden, müssen die Webserver-Prozesse neu gestartet werden. Das führte kurzzeitig zu einer Unterbrechung von wenigen Minuten am heutigen Tag (22.10.2026) zwischen 20 und 24 Uhr, wobei die Downtime je Server maximal 5 Minuten betrug. Wir haben uns bewusst für diesen schnellen Weg ohne Vorankündigung entschieden, denn bei einer kritischen Lücke mit Remote-Zugriff ist Geschwindigkeit wichtiger als ein ungestörter Betrieb.
Was können Sie tun?
Für den PHP-Patch ist nichts erforderlich. Ein paar Dinge helfen Ihnen aber grundsätzlich, Ihre Website sicher zu halten:
- Halten Sie WordPress, Themes und Plugins aktuell. Das schützt vor anderen Angriffswegen.
- Nutzen Sie eine aktuelle PHP-Version, sofern Ihre Website damit kompatibel ist. Wenn Sie unsicher sind, ob Ihre Seite mit einer neueren Version läuft, schauen Sie gerne im entsprechenden Support-Bereich nach oder schreiben uns.
- Prüfen Sie Ihre Zugangsdaten, falls Ihnen Auffälligkeiten an Ihrer Website begegnen, etwa unbekannte Dateien oder unerwartete Weiterleitungen, und melden Sie sich bei uns.
Häufige Fragen
Muss ich mein Passwort ändern? Aufgrund dieser Lücke allein haben wir keine Veranlassung dazu. Aktuelle, einzigartige Passwörter sind aber immer eine gute Idee.
Meine Website war kurz nicht erreichbar. Ist etwas kaputt? Nein. Die Unterbrechung war die Folge der Neustarts nach dem Update. Sollte Ihre Seite weiterhin Probleme zeigen, schreiben Sie unserem Support.
Läuft meine Website mit einer alten PHP-Version noch sicher? Auf unseren Servern sind alle PHP-Versionen gepatcht. Unabhängig davon empfehlen wir, auf eine aktuelle, vom Hersteller unterstützte Version umzusteigen.
Fragen? Wir helfen gern
Wenn Sie wissen möchten, welche PHP-Version Ihre Website nutzt, oder ein Upgrade planen, hilft Ihnen unser Support-Team weiter: Kontaktformular
Quellen
- BSI-Pressemitteilung vom 21.10.2026: PHP: BSI warnt vor kritischen Schwachstellen – Sicherheitsupdate noch heute notwendig
- BSI-IT-Sicherheitshinweis: PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit (PDF)
