PHP-Sicherheitslücken: Was wir für Ihre Website getan haben
Am 21. Oktober 2026 hat das PHP-Projekt Korrekturen für zwei kritische Sicherheitslücken veröffentlicht (CVE-2026-109618 und CVE-2026-109619, auch „PHP2Shell“ genannt). Darüber können Angreifer unter Umständen ohne Anmeldung Programmcode auf Webservern ausführen, auf denen PHP läuft. Behoben sind die Lücken in den PHP-Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12.
Fast zeitgleich meldete der Hersteller des verbreiteten WordPress-Backup-Plugins UpdraftPlus einen Einbruch: Verbindungsschlüssel für seinen Fernwartungsdienst UpdraftCentral wurden am 18. und 19. Oktober gestohlen und missbraucht.
Was wir noch am selben Tag getan haben
- Unsere Hosting-Plattform hat die abgesicherten PHP-Versionen noch am selben Tag eingespielt. Für die meisten älteren PHP-Versionen wurden die Korrekturen nachträglich eingebaut.
- Wir haben uns nicht auf Ankündigungen verlassen, sondern auf den Servern selbst geprüft, welche PHP-Version jede Website tatsächlich nutzt. Diese Kontrolle wiederholen wir regelmäßig, bis alle Versionen abgedeckt sind.
- Wo eine Website kein PHP braucht, etwa bei reinen Weiterleitungen oder Mail-Hostings, haben wir PHP ganz abgeschaltet.
- Geeignete Websites haben wir nach vorherigem Test auf aktuelle PHP-Versionen umgestellt.
- Bei Websites mit älteren Redaktionssystemen haben wir den Verwaltungsbereich gesperrt. Die Website selbst bleibt online.
- Vor jeder Änderung haben wir verschlüsselte Sicherungen von Datenbanken und Dateien angelegt.
- Wir haben die Websites auf Spuren eines Angriffs untersucht und, wo nötig, sofort gehandelt.
- Bei den von uns betreuten WordPress-Websites haben wir auf Anzeichen des UpdraftCentral-Vorfalls geprüft, UpdraftPlus aktualisiert und alte Fernwartungsschlüssel entfernt.
Diese Sicherheitsprüfungen und Sofortmaßnahmen haben wir für alle bei uns gehosteten Websites durchgeführt, auch für Websites ohne Wartungsvertrag, und ohne zusätzliche Kosten für Sie.
Was das für Sie bedeutet
Nach heutigem Stand laufen die von uns betreuten Websites ganz überwiegend auf abgesicherten PHP-Versionen. Wo noch ältere Systeme im Einsatz sind, haben wir zusätzliche Schutzmaßnahmen getroffen und arbeiten an der Umstellung; diese Websites sollten modernisiert werden, und wir melden uns dazu persönlich bei Ihnen.
Sie müssen in der Regel nichts tun. Nur wenn Sie UpdraftCentral selbst über den Cloud-Dienst von TeamUpdraft nutzen: Verbinden Sie den Dienst bitte neu und ändern Sie im Zweifel Ihre Admin-Passwörter. Oder melden Sie sich einfach bei uns, wir helfen gern.
Fragen? Schreiben Sie uns an support@euregio.net oder rufen Sie uns an unter +32 80 64 27 93.
