21. Oktober 2026 · Sicherheitsmeldung
Weltweiter Sicherheitsalarm – FD-IX-Kunden sind serverseitig bereits abgesichert
Zwei schwerwiegende Sicherheitslücken in der weitverbreiteten Programmiersprache PHP haben weltweit umfangreiche Schutzmaßnahmen ausgelöst. Behörden, Krankenhäuser und Unternehmen nehmen Internetangebote vorsorglich vom Netz, während Sicherheitsupdates installiert und Systeme überprüft werden.
FD-IX hat sofort alle verfügbaren Sicherheitsupdates für seine verwalteten PHP-Installationen eingespielt. Für die aktualisierten Serverversionen müssen Kunden selbst keine Updates installieren. Wo eine betroffene Anwendung noch nicht sicher betrieben werden kann, wurde sie vorsorglich deaktiviert und durch eine Übergangsseite ersetzt.
01 · Unsere Region
Klinikum Fulda, Schulportal Hessen und Landesbehörden betroffen
Die Auswirkungen der Sicherheitswarnung reichen bis nach Osthessen: Die Website des Klinikums Fulda wurde vorsorglich abgeschaltet. Auch beim Schulportal Hessen kam es im Zusammenhang mit der Sicherheitslage zu Einschränkungen. Damit betrifft der Vorfall nicht nur die IT von Unternehmen, sondern auch öffentliche Angebote, auf die Menschen in der Region täglich angewiesen sind.
In Hessen waren zudem die Internetseite der Landesregierung und weitere Behördenangebote zeitweise nicht erreichbar. Die vorsorglichen Maßnahmen sollen verhindern, dass bekannte Schwachstellen vor der Installation von Sicherheitsupdates ausgenutzt werden.
Eine abgeschaltete Website ist dabei kein Beleg für einen erfolgreichen Hackerangriff. Viele Einrichtungen haben ihre Angebote aus Vorsicht deaktiviert.
02 · Kundeninformation
FD-IX hat sofort alle verfügbaren Sicherheitsupdates installiert
Bei kritischen Sicherheitslücken zählt die Reaktionszeit. Sobald korrigierte PHP-Pakete zur Verfügung standen, hat FD-IX die notwendigen Updates unmittelbar auf den verwalteten Systemen installiert. Wo für die Installation erforderlich, wurden auch Paketquellen und Signaturschlüssel angepasst.
Für einzelne Websites, bei denen noch keine geeignete Absicherung möglich war, wurden die betroffenen Anwendungen vorsorglich außer Betrieb genommen. Übergangsseiten sorgen dafür, dass Besucher weiterhin grundlegende Informationen und Kontaktmöglichkeiten vorfinden.
Die Sicherheit der Kundendaten und Websites hat Vorrang. Eine kontrollierte, vorübergehende Abschaltung ist besser als der Weiterbetrieb einer bekannten verwundbaren Anwendung.
03 · Internationale Auswirkungen
Auch Behörden, Kliniken und öffentliche Dienste im Ausland reagieren
Die Sicherheitswarnung ist kein regional begrenzter Vorfall. In Deutschland und weiteren europäischen Ländern wurden Websites und digitale Dienste vorsorglich abgeschaltet. Nach der aktuellen Berichterstattung waren unter anderem öffentliche Einrichtungen in Brandenburg sowie Behörden in Frankreich, Belgien, den Niederlanden und Tschechien betroffen.
Über die Lage berichten unter anderem die Tagesschau und BILD. Der BILD-Liveticker schildert beispielsweise Einschränkungen bei Behördenwebsites und digitalen Diensten. Auch Apps können mittelbar betroffen sein, wenn ihre Backend-Systeme verwundbare PHP-Versionen verwenden.
Die Meldungen zeigen, warum schnelle Sicherheitsupdates im Webhosting entscheidend sind: Nicht nur die Website selbst, sondern auch angebundene Anwendungen können auf dieselbe Servertechnik angewiesen sein.
04 · Technischer Hintergrund
Was macht die PHP-Sicherheitslücken so gefährlich?
PHP wird für zahlreiche Websites und Webanwendungen eingesetzt, darunter WordPress, Onlineshops und individuelle Unternehmenslösungen. Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 können unter bestimmten Voraussetzungen die Ausführung fremden Programmcodes auf einem verwundbaren Server ermöglichen. Das wird als Remote Code Execution (RCE) bezeichnet.
Mögliche Folgen reichen von manipulierten Website-Inhalten über den Zugriff auf vertrauliche Daten bis zur Kompromittierung weiterer Systeme. Wie groß das Risiko im Einzelfall ist, hängt von der eingesetzten PHP-Version und der jeweiligen Serverkonfiguration ab.
Für die betroffenen unterstützten PHP-Zweige wurden am 21. Oktober 2026 korrigierte Versionen veröffentlicht:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
05 · Was jetzt wichtig ist
Was müssen FD-IX-Kunden jetzt tun?
Für die serverseitigen PHP-Sicherheitsupdates auf den von FD-IX bereits aktualisierten Systemen besteht kein eigener Handlungsbedarf. Diese Aktualisierungen wurden zentral vorgenommen.
Unabhängig davon sollten Website-Betreiber ihre Anwendungen, WordPress-Installationen, Plugins und Themes aktuell halten. Ein aktualisierter PHP-Server beseitigt nicht automatisch Sicherheitslücken in veralteten Erweiterungen oder individuell entwickelten Anwendungen.
Vorübergehend deaktivierte Websites werden wieder vollständig bereitgestellt, sobald ein ausreichend sicherer Betrieb möglich ist. FD-IX prüft dafür die jeweils verfügbaren Maßnahmen.
06 · Berichterstattung und Hintergründe
Weitere Informationen
FD-IX · Webhosting
Alle verfügbaren PHP-Sicherheitsupdates sofort installiert.
FD-IX hat unmittelbar reagiert und die verwalteten Systeme aktualisiert. Fragen zu PHP-Versionen, Übergangsseiten oder der Absicherung Ihrer Website beantworten wir persönlich.
Kontakt zu FD-IX