EN

PHP-Sicherheitslücke: Alle Websites bei uns sind geschützt.

Schreiner am Laptop in seiner Werkstatt

Am Mittwoch, 21. Oktober 2026, wurde eine schwere Sicherheitslücke in PHP bekannt. Alle Websites, die bei uns laufen, waren noch am selben Tag geschützt und die ganze Zeit online. Du musst nichts tun.

Was ist passiert?

PHP ist die Technik im Hintergrund, mit der WordPress und viele andere Websites auf dem Server laufen. Über die neue Lücke hätten Angreifer ohne Passwort eine ganze Website übernehmen können.

Die Lücke heisst PHP2Shell. Weil Einzelheiten schon vorab durchgesickert waren, rechneten Fachleute mit automatisierten Angriffen im Sekundentakt. SRF und Blick berichteten darüber. Einige Schweizer Websites wurden vorsorglich abgeschaltet, zum Beispiel beim Kanton Basel-Stadt.

Serverraum in einem Rechenzentrum mit offenen Serverschränken

So lief es ab

  1. Mittwoch

    PHP-Team

    Das Sicherheitsupdate für PHP erscheint.

  2. Direkt danach

    Hostpoint Ab hier geschützt

    Hostpoint, wo die Websites unserer Kunden laufen, spielt das Update auf allen Servern ein. Die Websites bleiben online.

  3. SRF

    SRF berichtet über die Lücke.

  4. Hostpoint

    Hostpoint bestätigt per Mail: Alle Websites sind geschützt.

  5. Abends

    Swiss Media Design

    Wir prüfen die Lage für alle Websites unserer Kunden. Alles ist aktualisiert.

  6. Donnerstag

    Swiss Media Design

    Wir beantworten die erste Kundenanfrage: Es ist nichts zu tun.

  7. Ergebnis

    Alle Websites geschützt, keine war offline.

Auf die Bestätigung von Hostpoint allein haben wir uns nicht verlassen. Wir haben jede Website selbst geprüft: Überall lief die geschützte PHP-Version, Spuren eines Angriffs fanden wir keine.

Hand steckt ein Netzwerkkabel in einen Serverschrank

Was heisst das für dich?

Liegt deine Website bei uns, musst du nichts tun. Sie lief die ganze Zeit normal weiter, und der Server ist aktualisiert.

Liegt deine Website bei einem anderen Anbieter, frag dort nach, ob die Server schon aktualisiert sind. Ein WordPress-Update allein reicht hier nicht, die Lücke steckt in PHP auf dem Server.

Frag dabei konkret nach der PHP-Version. Geschützt sind 8.2.35, 8.3.36, 8.4.27, 8.5.12 und neuer. Für PHP 8.1 und älter gibt es vom PHP-Team kein Update mehr.

Fragen? Ruf uns an unter 081 756 00 30 oder schreib uns über das Kontaktformular.

Quellen: SRF, 21.10.2026 und php.net, 21.10.2026