Liebe TT-Mitglieder, liebe TT-Newsletter-Abonnenten,
wir möchten euch auf ein ernstes Sicherheitsproblem aufmerksam machen, das möglicherweise auch deine Website betrifft.
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt. PHP ist eine Technik, die im Hintergrund vieler Websites arbeitet, beispielsweise bei WordPress, Joomla und Online-Shops.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt ausdrücklich vor den kritischen PHP-Sicherheitslücken: „Es besteht also unverzüglicher Handlungsbedarf!“
Durch diese Sicherheitslücken können Angreifer unter bestimmten Umständen in Websites eindringen, Daten ausspähen oder Schaden anrichten – auch ohne ein Passwort zu kennen. Erste Angriffsversuche wurden bereits beobachtet.
Die gute Nachricht: Es gibt bereits Sicherheitsupdates. Viele Hosting-Anbieter haben diese inzwischen automatisch installiert. Möglicherweise ist deine Website also schon geschützt.
Was solltest du jetzt tun?
- Prüfe, ob deine Website bereits geschützt ist. Frage bei deinem Hosting-Anbieter nach: „Ist meine Website gegen die beiden kritischen PHP-Sicherheitslücken vom 21. Oktober 2026 geschützt?“ Häufig findest du entsprechende Hinweise auch im Kundenbereich deines Anbieters.
- Falls noch kein Schutz besteht: Bitte deinen Hoster, das Sicherheitsupdate schnellstmöglich einzuspielen. Ist das nicht kurzfristig möglich, sollte die Website vorsichtshalber vom öffentlichen Zugriff getrennt werden. Ein gewöhnlicher Wartungsmodus reicht dafür nicht aus.
- Falls du Auffälligkeiten bemerkst: Unbekannte Benutzer, veränderte Seiten oder ungewöhnlicher E-Mail-Versand können Hinweise auf einen Angriff sein. Informiere dann deinen Hoster oder einen IT-Fachmann. Ein Sicherheitsupdate allein beseitigt einen möglicherweise bereits erfolgten Angriff nicht.
Wichtig für WordPress- und Joomla-Nutzer: Die normalen Updates dieser Programme aktualisieren PHP nicht automatisch. PHP läuft auf dem Server deines Hosting-Anbieters.
Entwarnung für viele IONOS-Kunden: IONOS hat mitgeteilt, dass die Sicherheitslücken bei seinen verwalteten Hosting-Angeboten bereits geschlossen wurden. Das gilt insbesondere für normales Webhosting und Managed WordPress. Wer einen eigenen Server selbst verwaltet, muss sich dagegen selbst um die Updates kümmern. Hier die Mitteilung von IONOS.
Wenn du einen Website-Baukasten verwendest, kümmert sich normalerweise der Anbieter um solche Sicherheitsprobleme.
Warum informieren wir euch? Wir möchten keine unnötige Angst verbreiten. Aber diese Sicherheitslücken sind ernst zu nehmen. Mit einer kurzen Überprüfung kannst du feststellen, ob Handlungsbedarf besteht, und möglicherweise größeren Schaden vermeiden.
Wenn du Unterstützung brauchst und keinen geeigneten Webentwickler kennst, vermitteln wir dir gern den Kontakt zu unserem, mit dem wir sehr gute Erfahrungen gemacht haben.
Mit herzlichen Grüßen
Bernhard & Andrea