Kritische PHP-Sicherheitslücke: Was passiert ist und was ihr jetzt tun solltet
Was ist passiert?
In PHP wurden kritische Sicherheitslücken entdeckt. Laut BSI sind nach aktuellem Stand alle bekannten PHP-Versionen betroffen, zurück bis mindestens PHP 5. Angreifer könnten darüber aus der Ferne Schadcode auf Webservern ausführen.
Die Lücke liegt in PHP selbst, nicht bei mittwald. Sie betrifft die gesamte Hosting-Branche. Das BSI hält eine großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich und spricht von „unverzüglichem Handlungsbedarf“.
Was wir getan haben
- Websites vorsorglich offline genommen: Noch bevor die Sicherheitsupdates veröffentlicht wurden, haben wir alle Websites auf unserer Plattform deaktiviert.
- Sicherheitsupdates eingespielt: Sobald die Patches verfügbar waren, haben wir sie schnellstmöglich installiert.
- Projekte geprüft und wieder freigeschaltet: Wir haben alle Projekte aktiviert.
- PHP-Versionen kleiner als 5.6 deaktiviert gelassen: Für diese Versionen gibt es keine Sicherheitspatches. Projekte damit bleiben vorerst offline.
Warum wir das getan haben
Wir haben uns dazu entschieden deine Website und die Daten deiner Kund*innen zu schützen, bevor Angreifer die Lücke ausnutzen können. Zwischen der Veröffentlichung eines Patches und den ersten Angriffen liegen oft nur wenige Stunden. Die Websites ohne Patches ungeschützt online zu lassen, war uns zu riskant: Eingeschleuster Schadcode hätte deine Website komplett lahmlegen können, und Angreifer hätten sensible Daten wie Kundendaten klauen können.
Das hat eine längere Ausfallzeit bedeutet, und wir wissen, wie ärgerlich das für dich war. Wir haben uns trotzdem bewusst für diesen Weg entschieden, weil Sicherheit hier vorgeht.
Dein Projekt läuft mit PHP kleiner als 5.6?
Dann bleibt es vorerst deaktiviert. Für diese alten Versionen gibt es keine Sicherheitspatches, die die aktuelle Lücke schließen.
Du kannst dein Projekt zwar selbst wieder aktivieren, das geschieht aber auf eigene Gefahr und eigenes Risiko. Es besteht ein hohes Risiko, dass Angreifer deine Website kompromittieren. Davon raten wir dringend ab.
Unsere Empfehlung: Aktualisiere deine PHP-Version
Der sichere Weg ist ein Update auf eine neuere, unterstützte PHP-Version. So gehst du vor:
- Du musst dein Projekt zuerst aktivieren und dann schnellstmöglich das Update installieren. Bei deaktivierten Projekten kann man keine Änderungen, wie Software-Updates, vornehmen.
- Kompatibilität prüfen: Schau nach, ob dein CMS, Shop, Theme und deine Plugins mit einer neueren PHP-Version funktionieren. Aktualisiere sie bei Bedarf zuerst.
- PHP-Version umstellen:
- Im Kundencenter (KC): Projekt -> Software -> PHP Version -> Version bearbeiten.
- Projekt aktivieren und testen: Aktiviere dein Projekt wieder und prüfe, ob alle Seiten und Funktionen fehlerfrei laufen.
Du kommst nicht weiter?
Weitere Infos
- Aktueller Stand: mittwald-status.de
- Pressemitteilung des BSI vom 21.10.2026
Kommentar hinzufügen