Wer hatte das Update zuerst drauf?
Wir haben 2 Tage lang die Statusseiten der Hoster verfolgt und bei den Websites, die wir betreuen, selbst nachgemessen. Jeder Balken beginnt um 16:00 Uhr, als PHP das Update veröffentlicht hat, und endet dort, wo es laut Hoster auf allen Servern lag.
Hostpoint war mit grossem Abstand vorne, 90 Minuten nach der Veröffentlichung. Wir haben das am Abend auf mehreren Servern nachgeprüft, jede PHP-Version einzeln, denn jede bekommt ihre eigene Korrektur. hosttech und Infomaniak folgten in der Nacht.
cyon ging den umgekehrten Weg und schaltete PHP schon vor dem Update ab. Alle Websites dort waren damit über Nacht offline, dafür war in dieser Zeit nichts angreifbar.
Wo es länger dauerte
Bei 3 bekannten Hostern dauerte es bis weit in den Donnerstag hinein. Was die Grafik nicht zeigt, ist der Weg dorthin.
- METANET Um 10:30 Uhr am Mittwoch kam eine Ankündigung, danach bis Donnerstagmorgen kein Zwischenstand.
- green.ch Zuerst wurde über Nacht die Plattform umgestellt, die Patches kamen erst danach.
- Webland Am Donnerstagnachmittag waren PHP 8.2 bis 8.4 korrigiert. Für ältere Versionen empfiehlt Webland den Wechsel.
Abschalten oder weiterlaufen lassen?
Der Kanton Basel-Stadt hat sich am Mittwochabend für das Abschalten entschieden. Ein Krisenstab nahm die Teile der kantonalen Websites vom Netz, die mit PHP laufen, ab der Nacht kamen sie schrittweise zurück. Auch die Universitäten Basel und Genf, die ETH Lausanne und jobs.ch waren vorsorglich zeitweise offline.
Abschalten
Sofort sicher, aber offline. PHP aus heisst, alle Websites auf dem Server sind weg, mit Kontaktformularen und Shops.
Weiterlaufen lassen
Erreichbar, bis das Update drin ist, aber in dieser Zeit angreifbar. Dann zählt jede Stunde bis zum Update.
Beides ist vertretbar. Wichtig ist, dass jemand bewusst entscheidet und nicht einfach wartet.
Wie die Lücke bekannt wurde
Die Lücke (CVE-2026-109618 und CVE-2026-109619, Bewertung 9.2 von 10) war schon vor dem Update im Umlauf. Das deutsche BSI rechnete damit, dass sie innerhalb weniger Stunden breit ausgenutzt wird, und CERT-EU empfahl, öffentlich erreichbare Anwendungen bis zum Update vom Netz zu nehmen.
Was wir gemacht haben
- 08:30 Start nach der Warnung von CERT-EU
- 170+ Websites durchgegangen
- 21:10 eigene Server gepatcht
- 17.10. so weit zurück die Logfiles geprüft
Um 16:30 Uhr haben wir entschieden, jede Website ohne Update vom Netz zu nehmen oder hinter ein Passwort zu stellen. Die betroffenen Kunden haben wir direkt per Mail informiert.
Über Nacht haben bei uns KI-Agenten Wache gehalten. Sie haben die Statusseiten laufend gelesen, jede betreute Website nachgemessen und die Server auf Spuren eines Angriffs geprüft. Am Morgen lag für jede Website ein Stand bereit, und jede gesperrte Website haben wir einzeln geprüft, bevor sie wieder online ging.
Entschieden haben Menschen. Wach geblieben ist die KI.
Was Sie jetzt tun können
- Hoster fragen Ab wann genau lief das Update auf Ihrem Server? Die Zeiten oben gelten für den Abschluss auf allen Servern.
- PHP-Version prüfen Sie steht im Hosting-Panel oder in WordPress unter «Werkzeuge › Website-Zustand › Bericht › Server». Geschlossen ist die Lücke ab 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Bei Hostern mit CloudLinux, etwa cyon und METANET, bleibt die Nummer gleich, dort gilt die Meldung des Hosters.
- Alte Version ablösen PHP 8.1 und älter bekommt vom PHP-Projekt keine neue Version mehr, nur Notkorrekturen zum Selbsteinbauen. Wie die Hoster mit alten Versionen umgehen, steht in unserem Vergleich der PHP-Versionen.
- Auf Spuren achten Unbekannte Administratoren, veränderte Seiten oder seltsame Weiterleitungen sind Warnzeichen. Fällt Ihnen etwas auf, melden Sie sich bei uns.
Quellen
- Amazon Threat Intelligence, AWS Security Blog vom 21.10.2026
- PHP, Ankündigung des Sicherheitsupdates vom 21.10.2026
- Tenable, Fragen und Antworten zu php2shell
- CERT-EU, Security Advisory 2026-018
- BSI, Pressemitteilung vom 21.10.2026
- 20 Minuten vom 21.10.2026
- SRF News vom 21.10.2026
- Basler Zeitung zum Kanton Basel-Stadt
- W3Techs, Verbreitung von PHP (Anteil an den Websites, deren Programmiersprache bekannt ist)
- Statusseiten von Hostpoint, cyon, Infomaniak, hosttech, green.ch, METANET und Webland, Stand 22.10.2026 18:13 Uhr
