Es gibt Tage, an denen Internetseiten einfach funktionieren. Man ruft sie auf, liest einen Artikel, hinterlässt vielleicht einen Kommentar und geht wieder seiner Wege.
Und dann gibt es Tage, an denen im Hintergrund die Administratoren hektisch werden, die Sicherheitsexperten Alarm schlagen und in manchen Rechenzentren der Kaffee vermutlich direkt aus der Kanne getrunken wird.
Der 21. Oktober 2026 war so ein Tag.
Was war passiert?
In PHP, einer der wichtigsten Programmiersprachen für Internetseiten, waren zwei ausgesprochen gefährliche Sicherheitslücken bekannt geworden.
Die Fehler mit den Bezeichnungen CVE-2026-109618 und CVE-2026-109619 wurden mit einem Schweregrad von jeweils 9,2 von 10 bewertet. Unter bestimmten Voraussetzungen konnten Angreifer darüber eigenen Programmcode auf fremden Webservern ausführen. Und das, ohne sich vorher anmelden zu müssen.
Das Problem betraf nicht bloß irgendein exotisches Zusatzprogramm. Es steckte in PHP selbst, also in einer technischen Grundlage unzähliger Internetangebote.
Auch WordPress, das System hinter Millionen Blogs und Internetseiten, verwendet PHP.
Warum war die Aufregung so groß?
Ein erfolgreicher Angriff hätte es ermöglichen können, einen Webserver zu manipulieren, Daten auszuspähen oder weitere Schadsoftware einzuschleusen.
Besonders unangenehm: Selbst eine ordentlich gepflegte Website mit aktuellen Plugins und sicheren Passwörtern war nicht automatisch geschützt. Die Fehler lagen tiefer im technischen Fundament.
Am 20. Oktober kündigten die PHP-Entwickler deshalb außerplanmäßige Sicherheitsupdates an. Am folgenden Tag wurden die Fehlerkorrekturen veröffentlicht.
Für Administratoren begann ein Wettlauf gegen die Zeit. Schließlich wissen auch Angreifer, dass mit der Veröffentlichung von Sicherheitsupdates häufig sehr schnell deutlich wird, wo die Schwachstellen lagen.
Manche Betreiber reagierten deshalb mit drastischen Vorsichtsmaßnahmen. Lieber eine Internetseite vorübergehend abschalten, als riskieren, dass Fremde den Server übernehmen.
Unser Mann im Maschinenraum
Wer das Dreibeinblog liest, hat von all dem vermutlich überhaupt nichts bemerkt.
Das hat einen erfreulichen Grund.
Unsere technische Betreuung liegt bei tiggerswelt.net. Und dort wartet man nicht darauf, dass einem die Sicherheitsprobleme irgendwann in einer deutschen Warnmeldung serviert werden.
Unser Mann im Maschinenraum beobachtet internationale Sicherheitsticker und technische Entwicklungen. Als die ersten ernsthaften Hinweise auftauchten, begann er bereits mit der Arbeit.
Er sichtete die verfügbaren Informationen, analysierte den PHP-Code und traf vorsorgliche Maßnahmen, noch bevor die offiziellen Sicherheitsupdates bereitstanden.
Später schrieb er mir:
„Ich hatte die Zeit seit vorgestern Abend genutzt um auf Basis der verfügbaren Informationen und einer Code-Analyse in PHP ein paar Vorkehrungen zu treffen.“
Eine nachträgliche Bewertung ergab nach seiner Einschätzung, dass diese Vorkehrungen bereits einen sehr hohen Schutz geboten und einen erfolgreichen Angriff äußerst unwahrscheinlich gemacht hatten.
Wohlgemerkt: Solche vorläufigen Maßnahmen ersetzen keine richtigen Sicherheitsupdates. Aber sie können die entscheidenden Stunden überbrücken, bis die Fehler tatsächlich behoben sind.
Inzwischen sind die notwendigen Updates eingespielt. Seine abschließende Nachricht lautete:
„Du hast bereits alle notwendigen Updates erhalten und bist sicher.“
Sicherheit ist mehr als ein installiertes Schutzprogramm
Viele Menschen stellen sich Internetsicherheit so vor, dass irgendwo ein Virenscanner läuft und gelegentlich jemand auf „Aktualisieren“ klickt.
Tatsächlich besteht professionelle Sicherheitsarbeit zu einem erheblichen Teil daraus, Entwicklungen frühzeitig zu erkennen, Risiken richtig einzuschätzen und geeignete Maßnahmen zu treffen, bevor etwas passiert.
Und genau darin liegt der Unterschied zwischen einem Server, um den sich jemand kümmert, und einem Server, auf dem lediglich jemand irgendwann einmal eine Website installiert hat.
Mein Fazit: Die beste Arbeit eines Administrators ist oft diejenige, von der die Besucher überhaupt nichts mitbekommen.
Während draußen die Alarmmeldungen eintrudelten, hatte unser Mann im Maschinenraum schon die Ärmel hochgekrempelt.
Und ich konnte mich weiter um das kümmern, wofür dieses Blog eigentlich da ist: Texte schreiben, statt Server retten.
Quellen und weiterführende Informationen
- PHP – Offizielle Sicherheitsmeldungen 2026
- CERT-EU – Kritische PHP-Sicherheitslücken
- ENISA – Europäische Sicherheitswarnung
- Britisches NCSC – Sicherheitswarnung
- Wiz Research – Technischer Hintergrund zu PHP2Shell
- Google Cloud – Analyse der PHP-Sicherheitslücken
