Haben Sie Fragen?
Stephan Keller
Chief Financial Officer
In der weltweit verbreiteten Skriptsprache PHP wurden zwei kritische Sicherheitslücken bekannt. PHP ist die technische Grundlage für einen grossen Teil aller Websites und Webanwendungen weltweit, entsprechend betrifft die Lücke zahlreiche Anbieter und Unternehmen. Sie liegt nicht in unserer eigenen Software, sondern in PHP selbst.
Bis das offizielle Sicherheitsupdate verfügbar war, sind wir der Empfehlung des EU-Cybersicherheitsdienstes CERT-EU gefolgt: Als Service Provider haben wir bei unseren Kunden vorsorglich einzelne Services vom Netz genommen, die PHP einsetzen und öffentlich erreichbar sind. Es handelte sich um eine reine Vorsichtsmassnahme, um mögliche Risiken für Sie und Ihre Daten von vornherein auszuschliessen.
Inzwischen ist das Sicherheitsupdate veröffentlicht und auf unseren Shared Services, den dedizierten Nextcloud-Appliances und weiteren öffentlich erreichbaren Systemen eingespielt. Diese Services sind wieder vollständig verfügbar. Einzelne Kundensysteme mit älteren PHP-Versionen, für die kein offizielles Update mehr bereitsteht, sind bis auf Weiteres durch zusätzliche Schutzmassnahmen abgesichert. Mit den betroffenen Kunden stehen wir in direktem Kontakt.
Auf dieser Seite informieren wir Sie weiterhin über den aktuellen Stand.
Aktueller Status
Zuletzt aktualisiert: 21.10.2026, [22.50 Uhr]
Statusticker
Die neueste Meldung steht immer oben.
21.10.2026, [22:50 Uhr]: Das kritische PHP-Sicherheitsupdate ist eingespielt, die Services sind aktualisiert und wieder vollständig verfügbar. Wir konnten unsere Shared Services, dedizierten Nextcloud-Appliances und weitere öffentlich erreichbare Systeme mit der aktuellen PHP-Version absichern. Ausgenommen sind einzelne Kundensysteme mit älteren PHP-Versionen, für die PHP kein offizielles Sicherheitsupdate mehr bereitstellt. Diese sind bis auf Weiteres durch zusätzliche Schutzmassnahmen abgesichert, wodurch einzelne Funktionen vorübergehend eingeschränkt sein können. Wir stehen mit den betroffenen Kunden in direktem Kontakt und erarbeiten gemeinsam eine dauerhafte Lösung.
21.10.2026, [15:40 Uhr]: Das Sicherheitsupdate von PHP ist veröffentlicht. Wir haben mit dem Einspielen auf den betroffenen Systemen begonnen und schalten die Services nach erfolgreicher Prüfung schrittweise wieder frei. Bei einzelnen Systemen sind wir noch auf Updates oder Freigaben der jeweiligen Softwarehersteller angewiesen. Diese Services bleiben vorsorglich offline, bis die Hersteller ihre Updates bereitstellen.
21.10.2026, [13.00 Uhr]: Wir haben bei unseren Kunden einzelne PHP-Services vorsorglich vom Netz genommen. Das Sicherheitsupdate wird voraussichtlich heute um 16:00 Uhr veröffentlicht.
Die beiden Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619) könnten es Angreifern ermöglichen, ohne Anmeldung Schadcode auf Servern auszuführen. Betroffen sind potenziell alle PHP-Versionen ab PHP 5. Am 21. Oktober 2026 hat das PHP-Team Sicherheitsupdates für die aktuell unterstützten PHP-Versionen veröffentlicht. Für ältere Versionen gibt es kein offizielles Update.
CERT-EU ist das Cybersicherheitsteam der Institutionen der Europäischen Union. Es hat zu den beiden Lücken eine offizielle Sicherheitswarnung veröffentlicht und empfiehlt, betroffene Systeme schnellstmöglich zu patchen und öffentlich erreichbare Anwendungen bis dahin vom Netz zu nehmen. Auch das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) hat einen entsprechenden Sicherheitshinweis herausgegeben.
Weitere Informationen:
Viele Websites und Anwendungen, die wir für unsere Kunden betreiben, basieren auf PHP. Bis das Sicherheitsupdate verfügbar und eingespielt war, haben wir öffentlich erreichbare PHP-Services vorsorglich vom Netz genommen. Sicherheit geht vor. Inzwischen sind diese Services aktualisiert und wieder verfügbar.
Wir haben alle Kundensysteme geprüft und, wo möglich, aktualisiert. Läuft Ihre Anwendung auf einer älteren PHP-Version, für die kein Sicherheitsupdate mehr verfügbar ist, melden wir uns direkt bei Ihnen. Wenn Sie unsicher sind oder Ihnen Einschränkungen auffallen, rufen Sie uns gerne an.
Das Sicherheitsupdate ist veröffentlicht und auf unseren Shared Services, den dedizierten Nextcloud-Appliances und weiteren öffentlich erreichbaren Systemen eingespielt. Diese Services sind wieder vollständig verfügbar. Bei einzelnen Kundensystemen mit älteren PHP-Versionen ist ein Update nicht direkt möglich, da PHP für diese Versionen keine Sicherheitsupdates mehr bereitstellt. Diese Systeme sind bis auf Weiteres durch zusätzliche Schutzmassnahmen abgesichert. Gemeinsam mit den betroffenen Kunden und, wo nötig, mit den jeweiligen Softwareherstellern erarbeiten wir eine dauerhafte Lösung.