Du möchtest eine Rechnung schreiben, einen Auftrag bearbeiten oder auf Dokumente zugreifen. Stattdessen erscheint eine Sicherheitsmeldung. Der Dienst ist vorübergehend nicht verfügbar.
Das ist ärgerlich. Gerade wenn der Arbeitstag davon abhängt. Aber eine wichtige Unterscheidung geht in solchen Momenten schnell verloren: Ein Dienst kann ausfallen, weil er angegriffen wurde. Er kann auch bewusst abgeschaltet werden, um einen möglichen Angriff zu verhindern.
Ich finde: Genau diese Unterscheidung hilft, die Meldungen vom 21. Oktober 2026 einzuordnen. Ohne Panik. Und ohne das Risiko kleinzureden.
Mehrere Dienste pausieren: Was ist passiert?
Am 21. Oktober 2026 nahmen mehrere Anbieter Dienste vorsorglich vom Netz. Es geht also nicht um ein Problem eines einzelnen Unternehmens. Drei Beispiele aus der Schweiz zeigen die Bandbreite:
- bexio meldete eine vorsorgliche Abschaltung seiner Geschäftsanwendung wegen einer kritischen PHP-Sicherheitslücke. bexio-Statusmeldung
- LODUR, eine Software für die Feuerwehrverwaltung, zeigte ebenfalls eine entsprechende Meldung: Die Server wurden vorsorglich vom Netz genommen, um eine mögliche Ausnutzung der PHP-Sicherheitslücke zu verhindern. Die Wiederinbetriebnahme wurde an das Update durch den Hostingpartner geknüpft. LODUR-Meldung
- MTF berichtete, einzelne öffentlich erreichbare PHP-Dienste seiner Kunden vorsorglich abgeschaltet zu haben. Andere Services liefen laut Anbieter normal weiter. Mitteilung von MTF
Geschäftssoftware, Feuerwehrverwaltung und weitere Webdienste: ganz unterschiedliche Einsatzbereiche, aber eine gemeinsame technische Grundlage. Aus diesen Meldungen lässt sich kein erfolgreicher Angriff auf die genannten Anbieter ableiten. Sie sind aber auch kein unabhängiger Nachweis dafür, dass zuvor nichts passiert ist.
Der technische Stand hat sich im Tagesverlauf weiterentwickelt: Das PHP-Projekt hat am 21. Oktober Updates für zwei kritische Sicherheitslücken veröffentlicht. Sie können Angreifern ermöglichen, ohne Anmeldung eigenen Programmcode auf betroffenen Servern auszuführen. Die Kennungen lauten CVE-2026-109618 und CVE-2026-109619. Sicherheitsmitteilung des PHP-Projekts
Die genannten Abschaltungen sind Beispiele für die Reaktion auf die Sicherheitslücken, kein laufender Verfügbarkeitsbericht. Den aktuellen Betriebsstatus findest du in den offiziellen Meldungen der Anbieter. Frühere Ankündigungen, auf ein Update zu warten, sind vom inzwischen weiterentwickelten technischen Stand zu unterscheiden.
Was ist PHP überhaupt?
PHP ist eine Programmiersprache, die bei vielen Webanwendungen auf dem Server arbeitet. Sie kann beispielsweise Formularangaben verarbeiten oder Seiteninhalte erzeugen. Als Nutzerin oder Nutzer siehst du normalerweise das Ergebnis im Browser, nicht die dahinterliegende Technik. PHP-Handbuch
Man kann sich das wie ein gemeinsam verwendetes Bauteil vorstellen: Unterschiedliche Anwendungen können auf derselben technischen Grundlage aufbauen. Deshalb kann ein Fehler in dieser Grundlage mehrere Dienste betreffen. Dafür müssen diese Dienste weder miteinander verbunden sein noch denselben Betreiber haben.
Das bedeutet aber nicht, dass jede Website im Internet betroffen ist. Entscheidend ist die tatsächlich eingesetzte Software und ob die nötige Korrektur bereits wirksam installiert wurde.
Warum nimmt man dafür einen Dienst vom Netz?
CERT-EU empfiehlt, betroffene Systeme unverzüglich zu aktualisieren. Ist das nicht sofort möglich, sollen Organisationen erwägen, öffentlich erreichbare Anwendungen bis zur eingespielten und geprüften Korrektur vom öffentlichen Netz zu isolieren. Empfehlung von CERT-EU
Eine zeitweilige Abschaltung kann also eine bewusste Schutzmassnahme sein. Das macht die Unterbrechung für Betroffene nicht weniger mühsam. Es erklärt aber, weshalb «läuft gerade nicht» nicht automatisch «wurde gehackt» bedeutet.
Umgekehrt ist eine erreichbare Website kein Sicherheitsnachweis. Von aussen lässt sich meist nicht beurteilen, ob der Betreiber bereits aktualisiert hat oder noch handeln muss.
Was du jetzt konkret tun kannst
Wenn du einen Cloud-Dienst nutzt
Die Aktualisierung der Plattform liegt beim Anbieter. Ein Browserupdate oder ein Passwortwechsel behebt keine Sicherheitslücke in dessen PHP-Installation.
Meine Empfehlung für den Arbeitsalltag:
- Öffne die offizielle Statusseite über eine bekannte Adresse. Beachte Datum und Uhrzeit der Meldung.
- Informiere dein Team knapp darüber, welche Arbeit gerade nicht möglich ist und wo neue Informationen zu finden sind.
- Nutze nur vereinbarte Ersatzabläufe. Vertrauliche Daten sollten nicht aus Zeitdruck in irgendein neues Werkzeug kopiert werden.
- Prüfe nach der Wiederaufnahme, welche Aufträge oder Übertragungen tatsächlich verarbeitet wurden, bevor du sie nochmals auslöst.
Wenn ihr eine eigene Website oder Anwendung betreibt
Dann muss die zuständige Person oder der Hostinganbieter prüfen, ob eure konkrete Installation betroffen ist. Eine hilfreiche Frage lautet:
Ist unsere Anwendung betroffen, wurde die passende PHP-Korrektur eingespielt und ist sie im laufenden Dienst wirksam?
Ein Update des Website-Systems ist nicht automatisch auch ein Update der darunterliegenden PHP-Software. Lass dir deshalb die konkrete Korrektur bestätigen, nicht nur die Aussage «alles aktuell».
Auch Versionsnummern brauchen Kontext: Linux-Anbieter können Sicherheitskorrekturen in ihre eigenen Pakete übernehmen. Ubuntu dokumentiert dafür eigene korrigierte Paketstände und weist darauf hin, dass betroffene Dienste nach der Aktualisierung gegebenenfalls neu gestartet werden müssen. Hinweise von Ubuntu
Drei Dinge, die wir nicht verwechseln sollten
Sicherheitslücke, Angriff und Datenabfluss sind unterschiedliche Dinge. Eine Lücke beschreibt eine Schwachstelle. Ob sie bei einem bestimmten Dienst ausgenutzt wurde und welche Folgen das hatte, muss separat untersucht werden.
Eine Schutzmassnahme ist keine automatische Entwarnung. Ein Update schliesst die betreffenden Fehler. Daraus folgt nicht rückwirkend, dass vorher nichts passiert sein kann.
Eine Datensicherung ersetzt kein Sicherheitsupdate. Sie dient der Wiederherstellung. Sie verhindert nicht, dass jemand eine noch offene Schwachstelle ausnutzt. Auch umgekehrt ersetzt ein Update keine brauchbare Sicherung.
Die PHP-Verantwortlichen betonen bei diesen Lücken, dass provisorische Schutzmassnahmen keine vollständige Lösung sind. Das Update bleibt notwendig. PHP-Sicherheitsmitteilung
Mein Fazit: Zuständigkeit ist Teil der Sicherheit
Für mich ist der Anlass auch eine Organisationsfrage: Wissen wir, von welchen Diensten wir abhängen? Wer verfolgt Sicherheitsmeldungen? Wer kümmert sich um Aktualisierungen? Und wie arbeiten wir weiter, wenn eine wichtige Anwendung einige Stunden ausfällt?
Diese Fragen gehören bereits zur Einführung eines digitalen Werkzeugs. Nicht erst zum Tag, an dem eine Warnmeldung erscheint.
Mein Vorschlag: Nehmt eure drei wichtigsten Anwendungen. Notiert für jede eine verantwortliche Person, den offiziellen Informationskanal und einen einfachen Ersatzablauf. Die technische Behebung gehört in fachkundige Hände. Klare Zuständigkeiten und verständliche Kommunikation könnt ihr als Organisation selbst vorbereiten.
Welche Anwendung würde euren Alltag am stärksten unterbrechen, wenn sie morgen nicht verfügbar wäre?