Am gestrigen Mittwoch, dem 21. Oktober 2026, wurden zwei schwerwiegende Sicherheitslücken in PHP öffentlich bekannt. Die Warnungen waren eindeutig: Über die Schwachstellen könnten Angreifer:innen eigenen Code auf betroffenen Servern ausführen, ohne sich anzumelden. Das Risiko wurde als kritisch eingestuft. Entsprechend schnell mussten die Verantwortlichen handeln.
Dass die Sicherheitslücken ernst zu nehmen waren, steht außer Frage. Trotzdem hat mich die Reaktion darauf auch ein wenig nachdenklich gemacht. Denn zwischen notwendiger Vorsicht und einer beinahe um sich greifenden Panik gibt es einen Unterschied.
Was war passiert?
PHP ist eine weitverbreitete Programmiersprache. Auch WordPress, das die Grundlage für meinen Blog Lorenzos Welt bildet, nutzt PHP. Die beiden Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619 waren deshalb sehr ernst zu nehmen.
Die PHP-Entwickler:innen veröffentlichten am 21. Oktober Sicherheitsupdates für die unterstützten Versionen 8.2, 8.3, 8.4 und 8.5, da die Schwachstellen unter bestimmten Voraussetzungen eine sogenannte Remote Code Execution ermöglicht hätten. Vereinfacht gesagt, könnten Angreifer:innen dadurch aus der Ferne eigenen Code auf einem betroffenen Server ausführen – mit möglicherweise weitreichenden Folgen.
Die Warnungen der Sicherheitsbehörden waren entsprechend eindringlich. Wo sich Systeme nicht rechtzeitig absichern ließen, wurde sogar empfohlen, öffentlich erreichbare Anwendungen vorübergehend vom Netz zu nehmen.
Weitere Informationen gibt es in der offiziellen Sicherheitsmeldung des PHP-Projekts und in der Information von WordPress Deutschland.
Schnelles Handeln war richtig
Bei Sicherheitslücken dieser Größenordnung zählt jede Stunde. Deshalb finde ich es gut, dass so schnell reagiert wurde. Die PHP-Entwickler:innen stellten Updates bereit und viele Hoster und Serverbetreiber spielten die notwendigen Aktualisierungen zeitnah ein.
Einige Betreiber nahmen ihre Websites vorsorglich vorübergehend offline. Das ist für Besucher:innen zwar ärgerlich, war bei Angeboten mit personenbezogenen oder anderen sensiblen Daten aber eine nachvollziehbare Schutzmaßnahme. Datenschutz ist schließlich kein Luxus, den man bei technischen Problemen einfach beiseiteschieben kann.
Niemand sollte aus Angst vor Ausfallzeiten auf notwendige Sicherheitsmaßnahmen verzichten. Wenn eine Website vorübergehend nicht erreichbar ist, ist das zwar unangenehm. Wenn dagegen persönliche Daten in die falschen Hände geraten, können die Folgen wesentlich schwerwiegender sein.
Insofern möchte ich die Dringlichkeit der Warnungen keineswegs infrage stellen. Die Verantwortlichen mussten die Risiken ernst nehmen und schnell handeln.
Aber muss deshalb gleich Panik ausbrechen?
Was mich allerdings irritiert hat, war die teilweise sehr aufgeregte Stimmung. Plötzlich schien es, als stünde jede Website unmittelbar vor einem Hackerangriff. Als wäre es nur noch eine Frage von Minuten, bis sämtliche Blogs, Onlineshops und andere Internetangebote kompromittiert würden. Das halte ich für eine überzogene Schlussfolgerung.
Eine kritische Sicherheitslücke bedeutet zunächst einmal, dass ein erhebliches Risiko besteht. Sie bedeutet jedoch nicht automatisch, dass jede betroffene Website tatsächlich angegriffen oder erfolgreich gehackt wird. Dafür spielen verschiedene Faktoren eine Rolle: die konkrete Serverkonfiguration, die eingesetzte PHP-Version und vor allem die Frage, ob und wie schnell Sicherheitsupdates eingespielt werden.
Natürlich darf man sich nicht in falscher Sicherheit wiegen. Sobald Sicherheitslücken öffentlich bekannt werden und technische Informationen oder funktionierende Angriffsmethoden verfügbar sind, kann der Druck auf noch nicht aktualisierte Systeme erheblich steigen. Gerade deshalb war schnelles Handeln so wichtig.
Zwischen einer ernsthaften Warnung und der Vorstellung, das gesamte Internet stehe unmittelbar vor dem Zusammenbruch, liegt jedoch ein beträchtlicher Unterschied.
Sicherheit braucht Aufmerksamkeit und entschlossenes Handeln, aber keine zusätzliche Panik.
Warum ich Lorenzos Welt online gelassen habe
Ich habe mich dazu entschieden, meinen Blog in dieser Situation online zu lassen. Das war keine Entscheidung aus Gleichgültigkeit oder weil ich die Sicherheitslücken unterschätzt hätte. Vielmehr habe ich darauf vertraut, dass mein Hoster All-Inkl.com schnell reagieren und die notwendigen Maßnahmen ergreifen würde.
Dieses Vertrauen ist über die Jahre gewachsen. Ich bin mit dem Hosting und dem Support sehr zufrieden und habe die Erfahrung gemacht, dass technische Probleme professionell bearbeitet werden.
All-Inkl.com hat die Maßnahmen nicht so groß nach außen angekündigt wie manche anderen Anbieter. Das bedeutet allerdings nicht automatisch, dass hinter den Kulissen nichts passiert. Nicht jeder Hoster kommuniziert Sicherheitsmaßnahmen öffentlich oder begleitet sie mit ausführlichen Statusmeldungen.
Ich habe bei All-Inkl.com die Erfahrung gemacht, dass der Anbieter in vielen Dingen eher zurückhaltend kommuniziert. Das kann man durchaus kritisieren. Auch ich hätte mich über eine klare Information gefreut, wie mit den aktuellen PHP-Sicherheitslücken umgegangen wird.
Gerade in einer so kritischen Situation wäre eine kurze Mitteilung hilfreich gewesen. Sie hätte den Kund:innen Orientierung gegeben und vielleicht manche Unsicherheit genommen.
Trotzdem unterscheide ich zwischen der Kommunikation eines Unternehmens und seiner technischen Arbeit. Dass ein Anbieter nicht ausführlich über jeden Schritt berichtet, ist für mich allein noch kein Beweis dafür, dass er nicht handelt.
Meine Entscheidung, Lorenzos Welt online zu lassen, beruhte auf meinem Vertrauen in All-Inkl.com. Dies ist allerdings keine allgemeine Empfehlung, bei vergleichbaren Sicherheitswarnungen grundsätzlich nichts zu unternehmen. Wer selbst einen Server betreibt, muss dessen tatsächlichen Sicherheitsstatus prüfen und bei Bedarf sofort handeln. Auch bei einem Hoster sollte man sich bei konkreten Zweifeln nicht allein auf das eigene Bauchgefühl verlassen.
All-Inkl.com informiert – und hat bereits reagiert
Inzwischen hat sich auch All-Inkl.com zu den kritischen PHP-Sicherheitslücken geäußert. In der Stellungnahme heißt es, dass der Hoster unmittelbar reagiert hat. Laut eigenen Angaben wurden bereits vor der Veröffentlichung der Sicherheitsupdates zusätzliche Schutzmaßnahmen auf den Servern aktiviert.
Mittlerweile seien sämtliche angebotenen PHP-Versionen mit den notwendigen Sicherheitskorrekturen versehen worden. Dies schließt laut All-Inkl.com auch ältere PHP-Versionen ein, die vom PHP-Projekt offiziell nicht mehr unterstützt werden. Zusätzlich hat der Anbieter vorsorglich einige eigene Dienste vorübergehend abgeschaltet. Die Webseiten der Kund:innen waren von diesen Abschaltungen nicht betroffen.
Besonders wichtig ist auch der Hinweis, dass dem Unternehmen nach bisherigem Kenntnisstand keine konkreten Hinweise auf eine erfolgreiche Ausnutzung der Sicherheitslücken auf seinen Systemen vorliegen. Gleichzeitig verschweigt All-Inkl.com nicht, dass sich eine Ausnutzung vor der Installation der Updates grundsätzlich nicht ausschließen lässt. Kund:innen werden deshalb aufgefordert, ihre Webseiten und Anwendungen auf ungewöhnliche Veränderungen zu überprüfen.
Das ist für mich eine sachliche und verantwortungsvolle Kommunikation. Es wird weder um jeden Preis Entwarnung gegeben, noch wird unnötig Panik verbreitet. Stattdessen werden die ergriffenen Maßnahmen erläutert, der aktuelle Kenntnisstand benannt und konkrete Hinweise für Kund:innen gegeben.
Ich hatte darauf vertraut, dass All-Inkl.com schnell reagieren würde. Die nun veröffentlichte Mitteilung bestätigt, dass der Anbieter nach eigenen Angaben tatsächlich frühzeitig Schutzmaßnahmen ergriffen und die Sicherheitsupdates eingespielt hat. Natürlich kann ich die technische Umsetzung nicht selbst überprüfen. Die beschriebenen Maßnahmen sind aber ein gutes Zeichen.
Mein Wunsch nach einer früheren Information bleibt jedoch bestehen. Gerade bei einer derart kritischen Sicherheitslücke hätte ich mich über eine zeitnahe Mitteilung gefreut. Gleichzeitig zeigt dieser Fall, warum ich zwischen Kommunikation und technischer Arbeit unterscheide: Auch wenn ein Hoster nicht sofort öffentlich Stellung nimmt, bedeutet das nicht, dass er untätig ist.
All-Inkl.com hat inzwischen informiert und ich finde den Inhalt der Mitteilung überzeugend. Mein Vertrauen in den Hoster ist dadurch nicht kleiner geworden.
Was ich jetzt trotzdem noch tun werde
Auch wenn All-Inkl.com nach eigenen Angaben alle angebotenen PHP-Versionen aktualisiert und zusätzliche Schutzmaßnahmen ergriffen hat, nehme ich die Empfehlung, den eigenen Blog auf ungewöhnliche Veränderungen zu überprüfen, ernst.
Ich werde deshalb auch Lorenzos Welt im Blick behalten und auf unbekannte Dateien, unerwartete Änderungen oder neu angelegte Benutzerkonten achten. Das ist kein Grund zur Panik, sondern für mich Teil eines verantwortungsvollen Umgangs mit der eigenen Website.
Denn selbst wenn der Hoster seine Server absichert, ist es sinnvoll, auch die eigene Installation im Auge zu behalten. Sicherheit ist schließlich eine gemeinsame Aufgabe.
Mein Fazit: Wachsam bleiben, aber ruhig bleiben
Die PHP-Sicherheitslücken waren ernst. Es war richtig, schnell Sicherheitsupdates bereitzustellen, Server zu aktualisieren und besonders gefährdete Systeme notfalls vorübergehend offline zu nehmen. Bei personenbezogenen Daten ist besondere Vorsicht geboten.
Was ich mir dennoch wünsche, ist ein etwas nüchternerer Umgang mit solchen Meldungen. Nicht jede kritische Sicherheitslücke führt zwangsläufig zu einem erfolgreichen Angriff. Und nicht jede Website, die während einer solchen Situation online bleibt, wird deshalb automatisch unverantwortlich betrieben.
Natürlich müssen wir uns bewusst sein, dass technische Systeme Schwachstellen haben. Das gilt für kleine, private Blogs ebenso wie für große Unternehmen und öffentliche Einrichtungen. Entscheidend ist, wie verantwortungsvoll damit umgegangen wird.
Ich bleibe deshalb bei meiner Einschätzung: Ich bin mit All-Inkl.com zufrieden und vertraue darauf, dass die notwendigen technischen Maßnahmen ergriffen werden. Über mehr Informationen hätte ich mich gefreut. Für mich zählen jedoch nicht allein die Ankündigungen, sondern vor allem die tatsächliche Sicherheit und Zuverlässigkeit des Dienstes.
Sicherheit ist wichtig. Vertrauen auch. Und ein kühler Kopf hilft dabei, beides nicht aus den Augen zu verlieren.
Lorenzo
PS: Du darfst diesen Blogbeitrag hier mit den nachfolgenden Buttons gerne teilen: