Kri­ti­sche PHP-Sicher­heits­lü­cken: Aus­fall bei mitt­wald und aktu­el­ler Stand

Chro­no­lo­gie des Vor­falls vom 21. Okto­ber 2026

Die Web­site ist nicht erreich­bar. Was ist passiert?

Wenn die eige­ne Web­site plötz­lich aus­fällt, steht zuerst eine Fra­ge im Raum: Was bedeu­tet das für mein Unter­neh­men? Anlass der aktu­el­len Ein­schrän­kun­gen sind zwei kri­ti­sche Sicher­heits­lü­cken in PHP, einer tech­ni­schen Grund­la­ge vie­ler Web­sites und Con­tent-Manage­ment-Sys­te­me wie WordPress.

Die Schwach­stel­len kön­nen unter bestimm­ten Bedin­gun­gen die Aus­füh­rung frem­den Codes auf einem Ser­ver ermög­li­chen, ohne dass sich Angrei­fen­de vor­her anmel­den müs­sen. Das PHP-Pro­jekt hat dafür am 21. Okto­ber Sicher­heits­up­dates ver­öf­fent­licht. Die tech­ni­schen Ken­nun­gen lau­ten CVE-2026–109618 und CVE-2026–109619. Ein­zel­hei­ten erläu­tert die Sicher­heits­mel­dung des PHP-Pro­jekts.

War­um mitt­wald die Sys­te­me vor­sorg­lich her­un­ter­ge­fah­ren hat

mitt­wald teil­te auf sei­ner Sta­tus­sei­te mit, dass eine Gefähr­dung der Sys­te­me ange­sichts neu­er Erkennt­nis­se nicht aus­ge­schlos­sen wer­den kön­ne. Des­halb wur­den Sys­te­me vor­sorg­lich her­un­ter­ge­fah­ren und ein­ge­hen­de Zugrif­fe auf gehos­te­te Web­sites unter­bun­den. Die­se Schutz­maß­nah­me betrifft auch die von uns bei mitt­wald gehos­te­ten Kundenprojekte.

Die Abschal­tung dient dazu, mög­li­che Angrif­fe wäh­rend der Absi­che­rung zu ver­hin­dern. Sie allein ist kein Nach­weis dafür, dass eine bestimm­te Kun­den­web­site ange­grif­fen oder Daten ent­wen­det wur­den. Über den Sicher­heits­zu­stand ein­zel­ner Pro­jek­te lässt sich aus der all­ge­mei­nen Sta­tus­mel­dung kei­ne Aus­sa­ge ableiten.

Was wir für unse­re Kun­din­nen und Kun­den tun

Bei den meis­ten unse­rer Kun­den­pro­jek­te set­zen wir bereits PHP 8.5 mit den zuvor aktu­el­len Aktua­li­sie­run­gen ein. Auch eine aktu­el­le Ver­si­ons­rei­he benö­tigt jedoch ein neu­es Sicher­heits­up­date, wenn eine bis­her unbe­kann­te Schwach­stel­le bekannt wird.

Die ser­ver­sei­ti­gen Sicher­heits­patches sind laut mitt­wald für nahe­zu alle betrof­fe­nen PHP-Ver­sio­nen ein­ge­spielt; offen blei­ben Ver­sio­nen unter­halb von 5.6. Wir beglei­ten die Aktua­li­sie­rung unse­rer Kun­den­pro­jek­te mit Hoch­druck und ver­fol­gen die Wie­der­her­stel­lung der Hos­ting-Sys­te­me. Das PHP-Pro­jekt hat für PHP 8.5 den Sicher­heits­stand 8.5.12 ver­öf­fent­licht; die Bereit­stel­lung und Instal­la­ti­on des pas­sen­den mitt­wald-Pakets sind eige­ne Schrit­te, deren gemel­de­ter Fort­schritt oben doku­men­tiert ist. Wei­te­re kor­ri­gier­te Ver­sio­nen sind PHP 8.4.27, 8.3.36 und 8.2.35. Wel­che Aktua­li­sie­rung in einem kon­kre­ten Pro­jekt zum Ein­satz kommt, hängt von des­sen Umge­bung und den bei mitt­wald ver­füg­ba­ren Pake­ten ab.

Unser Ziel ist, die Web­sites nach der Absi­che­rung wie­der zuver­läs­sig bereit­zu­stel­len und ihren Betrieb zu prü­fen. Die Ver­öf­fent­li­chung eines PHP-Updates bedeu­tet dabei noch nicht, dass es bereits in jeder Hos­ting-Umge­bung instal­liert ist oder alle Kun­den­web­sites wie­der erreich­bar sind. Bestä­tig­te Fort­schrit­te ergän­zen wir hier, sobald sie vorliegen.

Was bedeu­tet das für E‑Mails und Verwaltungszugänge?

mitt­wald bestä­tigt auch in sei­ner neu­es­ten Kun­den­in­for­ma­ti­on aus­drück­lich, dass E‑Mail-Ver­sand und E‑Mail-Emp­fang von den lau­fen­den Arbei­ten nicht betrof­fen sind und wei­ter­hin funk­tio­nie­ren. Auch der Web­mailer wird beim Abruf um 22:19 Uhr MESZ wie­der als ver­füg­bar ange­zeigt. Zuvor war der Brow­ser­zu­gang zum Post­fach als gestört gemel­det. Das ist ein Unter­schied: Ein ein­ge­schränk­ter Web­zu­gang zum Post­fach bedeu­tet nicht auto­ma­tisch, dass die Zustel­lung von E‑Mails aus­ge­fal­len ist. Kun­den­cen­ter und mStu­dio sind laut der neue­ren Kun­den­in­for­ma­ti­on inzwi­schen wie­der erreich­bar; frü­he­re Stö­rungs­mel­dun­gen blei­ben in der His­to­rie dokumentiert.

Wo Sie sich wei­ter infor­mie­ren können

Die unmit­tel­ba­ren Betriebs­mel­dun­gen ver­öf­fent­licht mitt­wald auf sei­ner Sta­tus­sei­te. Rechts oben kön­nen Sie über »Abon­nie­ren Sie Updates« einen Update-Ser­vice per SMS oder E‑Mail aktivieren.

Wei­te­re Infor­ma­tio­nen zur Sicher­heits­la­ge fin­den Sie im Bericht der Tages­schau und in der Cyber­si­cher­heits­war­nung des BSI als PDF. Die ver­öf­fent­lich­ten Sicher­heits­up­dates doku­men­tiert das PHP-Pro­jekt.

Abruf­rhyth­mus: alle 4 Stun­den. Ende der Über­wa­chung spä­tes­tens am 25.10.2026.

Update-Ticker: die von uns genutz­ten mittwald-Dienste

Die Ein­trä­ge zei­gen den beim jewei­li­gen Abruf gemel­de­ten Platt­form­sta­tus von mitt­wald. Sie sind kei­ne Ein­zel­prü­fung Ihrer Web­site. Grün bedeu­tet »Ver­füg­bar«, Rot bedeu­tet »Stö­rung«, Gelb bedeu­tet »Teil­wei­se ein­ge­schränkt«. Ande­re oder nicht ermit­tel­ba­re Zustän­de wer­den aus­drück­lich benannt. Die neu­es­te Mel­dung steht oben; älte­re Mel­dun­gen blei­ben dar­un­ter erhalten.