Neustart-Linux.de

Was nicht da ist, kann nicht brechen

Oktober 2026 · Lesezeit ca. 7 Minuten · Thema: Einordnung

Am 21. Oktober gingen in halb Europa Webseiten vom Netz – Behörden, eine Universitätsklinik, Stadtportale. Alle wegen zweier Lücken in PHP, der Programmiersprache, mit der ein großer Teil aller Webseiten auf dem Server gebaut ist. Diese Seite hier war nicht betroffen. Nicht weil sie besser geschützt wäre, sondern weil das, was dort angegriffen wurde, hier gar nicht erst eingebaut ist.

Kurzfassung:
Wer WordPress oder etwas Ähnliches betreibt, sollte die PHP-Version beim Hoster prüfen lassen – ein Update des Redaktionssystems allein reicht nicht. Wer eine Seite aus reinem HTML hat, musste gar nichts tun. Und das ist der eigentliche Punkt: Die meisten Webseiten kleiner Betriebe tragen Technik mit sich herum, die sie nie gebraucht haben.

Der Mittwoch, an dem Webseiten verschwanden

Es begann am frühen Nachmittag. Die Charité nahm ihre Webseite samt der Seiten des Berlin Institute of Health vom Netz. Die Stadt Mainz schaltete mainz.de und weitere Dienste ab. Die Ruhr-Universität Bochum sperrte den Zugriff von außen. Reuters meldete dasselbe aus Dänemark, Finnland, Frankreich und den Niederlanden; betroffen waren Stellen in Europa, den USA und Japan, zeitweise war auch Wikimedia nicht erreichbar.3

Keine dieser Stellen war angegriffen worden. Sie schalteten vorsorglich ab, weil das Bundesamt für Sicherheit in der Informationstechnik dazu geraten hatte – und weil sie alle dasselbe Problem hatten.

Was dahintersteckt

Betroffen sind zwei Schwachstellen in PHP mit den Kennungen CVE-2026-109618 und CVE-2026-109619; beide sind mit 9,2 von 10 Punkten bewertet – auf der üblichen Skala für Schweregrade geht darüber fast nichts mehr.1 Über sie lässt sich aus der Ferne fremder Programmcode auf dem Server ausführen, ohne Anmeldung und ohne dass jemand auf irgendetwas klicken müsste. Es genügt, erreichbar zu sein. Niemand sucht sich dabei ein Opfer aus; es wird einfach das halbe Netz der Reihe nach durchprobiert.

Dazu kam der unglückliche Ablauf: Einzelheiten waren schon vor dem Update öffentlich. Das BSI stufte die Lage auf 3 / Orange ein, die zweithöchste von fünf Stufen, und riet, einen Webserver, der nicht sofort aktualisiert werden kann, bis dahin vom Netz zu nehmen.2 Die EU-Stelle für Computernotfälle, CERT-EU, empfahl dasselbe.3 Genau das haben die Stellen oben getan.

Eine Zahl, die gerade herumgeht, stimmt so nicht: „Fast alle Webseiten im Netz waren aus.“ Richtig ist: Rund 70 % aller Webseiten, deren Serversprache bekannt ist, benutzen PHP.4 Das ist der Anteil, der die Lücke haben konnte – nicht der Anteil, der abgeschaltet wurde. Vom Netz genommen haben einzelne, namentlich genannte Stellen.

Warum hier nichts abzuschalten war

Neustart-Linux.de besteht aus HTML und CSS. Mehr nicht. Kein Redaktionssystem, keine Datenbank, keine Erweiterungen, kein JavaScript – auch keins im Browser. Wenn du eine Seite hier aufrufst, schickt der Server eine fertige Datei. Er rechnet nichts aus, er fragt nichts ab, er führt nichts aus.

Eine übliche Firmenseite: Der Server nimmt die Anfrage an, startet PHP, fragt eine Datenbank, setzt die Seite aus Vorlagen und Erweiterungen zusammen und schickt das Ergebnis. Fünf Dinge, die arbeiten – und jedes davon kann eine Lücke haben.
Diese Seite: Der Server sucht eine Datei und schickt sie. Ein Ding, das arbeitet, und es führt keinen Code aus.

An diesem Mittwoch musste ich nichts tun. Nicht weil ich schnell war – sondern weil es nichts zu tun gab.

Jedes Teil, das arbeitet, kann kaputtgehen. Weniger Teile heißt weniger Bruchstellen – bei einem Rechner genauso wie bei einer Webseite.

Warum ich bei allem skeptisch bin, was rechnet

Das ist eine Haltung, keine Messung. Aber sie kommt aus Erfahrung.

Ich hatte selbst eine WordPress-Seite. Gestalten ließ sie sich nicht annähernd so, wie ich wollte – man kämpft gegen Vorlagen, gegen Erweiterungen, gegen Aktualisierungen, die das Aussehen wieder verschieben. Dazu ein Kontaktformular, das irgendwann nur noch von Maschinen benutzt wurde: Tag für Tag erfundene Anfragen von Absendern, die es nicht gibt. Heute habe ich kein Kontaktformular mehr, sondern eine E-Mail-Adresse. Seitdem ist Ruhe.

Der Preis, den viele Selbstständige dafür zahlen, steht selten in der Rechnung: die eigene Zeit. Pflegst du deine Seite selbst, sitzt du regelmäßig an Aktualisierungen, Sicherungen und Erweiterungen, die sich gegenseitig stören. Willst du das nicht, bezahlst du jemanden dafür – meist monatlich, meist dauerhaft.

Was das mit Datenschutz zu tun hat

Eine Seite ohne Technik dahinter hat noch einen Nebeneffekt, und für mich ist er fast der wichtigere: Es gibt nichts zu sammeln. Keine Cookies, also auch keine Cookie-Abfrage. Keine Besucherstatistik, keine eingebundenen Schriften von fremden Servern, keine Skripte, die noch irgendwo mitlesen. Jede Seite hier kontaktiert ausschließlich den eigenen Hoster – die Firma, auf deren Server sie liegt.

Je weniger Daten eine Seite verarbeitet, desto kürzer wird die Datenschutzerklärung und desto weniger kann man falsch machen. Dass auf meiner Startseite kein Banner erscheint, ist kein Verzicht – es ist die Folge dieser Bauweise.

Ehrlich bleiben: wann du die Technik wirklich brauchst

Manchmal führt kein Weg daran vorbei. Ein Lager mit wechselnden Beständen, Kundenkonten, Rechnungen – dafür braucht es Technik, die auf dem Server arbeitet, und PHP ist eine solide Wahl. Das PHP-Projekt hat schnell und sauber reagiert. Ohne diese Sprache gäbe es einen großen Teil des Netzes nicht; dies hier ist ausdrücklich kein Artikel gegen PHP.

Und noch etwas gehört zur Ehrlichkeit: Ob die Lücke an diesem Tag wirklich in großem Stil ausgenutzt wurde, ist umstritten. Die Sicherheitsfirma watchTowr berichtet von Zugriffen auf ihre Lockvogel-Systeme, die niederländische Sicherheitsbehörde NCSC meldete zunächst keine bestätigte Ausnutzung, und die US-Behörde CISA hatte die Lücken bis zum Redaktionsschluss nicht als aktiv ausgenutzt gelistet.3 Hier wurde vorsorglich abgeschaltet, nicht nach einem Einbruch.

Die Frage ist deshalb nicht, ob Technik erlaubt ist. Die Frage ist, wie viel davon auf deinem Server liegen muss. Ein Betrieb mit fünfzehn festen Leistungen und festen Preisen betreibt keinen Shop – er hat eine Liste. Wer Termine vergibt, kann das einen Anbieter erledigen lassen, dessen Technik nicht auf dem eigenen Server läuft. Und wer bestellen lassen will, kann das mit einer Mail, einem Anruf oder einem Formular bei einem Anbieter tun, der für die Sicherheit dieses Formulars geradesteht.

Was ich an deiner Stelle täte

  1. Prüfen, welche PHP-Version läuft. Im Kundenbereich deines Hosters steht sie meist unter „PHP-Einstellungen“. Wer Zugang zum Server hat, sieht es mit einem Befehl: 
    $ php -v
PHP 8.3.36 (cli) (built: Oct 21 2026)
    Steht dort eine kleinere Zahl als 8.2.35, 8.3.36, 8.4.27 oder 8.5.12, lass sie aktualisieren. Ein Update von WordPress, Joomla oder TYPO3 reicht nicht – die Lücke sitzt eine Ebene tiefer. Wessen Seite noch auf PHP 7 oder älter läuft, bekommt vom PHP-Projekt gar keine Sicherheitsupdates mehr und sollte das ohnehin ändern.
  2. Nachsehen, ob etwas passiert ist: fremde Dateien im Ordner für hochgeladene Dateien, Benutzer mit Administratorrechten, die du nicht kennst, Dateien mit jüngerem Datum als deine letzte Änderung. Im Zweifel hilft der Hoster beim Nachsehen.
  3. Fragen, wofür du das alles brauchst. Wenn deine Seite zeigt, wer du bist, was du machst, was es kostet und wie man dich erreicht – dann steht hinter diesen vier Dingen ein ganzes Maschinenhaus.

Zum Schluss

Eine Seite aus HTML lädt schneller, weil nichts berechnet wird. Sie funktioniert auf alten Geräten und bei schlechter Verbindung. Sie verursacht keine monatlichen Kosten. Und sie steht in zehn Jahren noch genauso da, weil nichts da ist, was veralten könnte.

Mein Rat ist deshalb kein Verzicht, sondern eine Reihenfolge: erst fragen, was wirklich gebraucht wird – und dann nur das bauen. Für viele kleine Betriebe ist das überraschend wenig. Und am 21. Oktober, als anderswo die Lichter ausgingen, hat genau das den Unterschied gemacht.

Seiten in dieser Bauweise baue ich auch, zum Festpreis – die Zahlen stehen bei den Leistungen. Kein Abo, keine monatliche Pflege; dafür kannst du Texte nicht selbst ändern, das mache dann ich. Im Kennenlernen ist in einer Viertelstunde geklärt, was zu dir passt, kostenlos.

Quellen

Stand dieses Artikels ist der 22. Oktober 2026, einen Tag nach dem Update. Die Lage war an diesem Tag noch in Bewegung – wer das später liest, prüft besser nach:

  1. Die beiden Kennungen, die Bewertung 9,2 und die Versionen, in denen es behoben ist: Deutschland sicher im Netz, 21.10.2026.
  2. Einstufung 3 / Orange und die Empfehlung, nicht aktualisierbare Webserver vorübergehend vom Netz zu nehmen: Cybersicherheitswarnung des BSI (PDF).
  3. Welche Stellen weltweit offline gingen, die Empfehlung von CERT-EU und der Streit um die Frage, ob die Lücke schon ausgenutzt wird: heise (englisch), Malwarebytes (englisch) und Borns IT-Blog, Nachlese vom 22.10.
  4. Verbreitung von PHP im Netz (Anteil der Webseiten mit bekannter Serversprache): W3Techs (englisch), laufend aktualisiert.

Fragen oder Widerspruch? Schreib mir.