Am 20. Oktober wurde eine Sicherheitslücke in PHP bekannt – und zwar keine kleine. Weil PHP die Grundlage für WordPress und damit für fast alle Webseiten unserer Kunden ist, war schnell klar: Hier müssen wir sofort handeln. In diesem Beitrag erklären wir dir in Ruhe, was passiert ist, wie wir gemeinsam mit unserem Hosting-Partner HostPress reagiert haben – und warum unsere Kunden von Anfang an gut aufgestellt waren.
Was ist passiert – einfach erklärt
PHP ist sozusagen der Motor hinter deiner Webseite. Jedes Mal, wenn jemand eine Seite aufruft, baut PHP auf dem Server die Seite zusammen. In genau diesem Motor wurde eine Lücke entdeckt, und zwar im PHP-Kern selbst – nicht in einem einzelnen Plugin oder Theme.
Fachleute sprechen von einer RCE-Lücke (Remote Code Execution). Übersetzt heißt das: Ein Angreifer könnte im schlimmsten Fall aus der Ferne eigenen Programmcode auf dem Server ausführen. Das ist die gefährlichste Art von Sicherheitslücke – deshalb auch die Aufregung.
Die gute Nachricht vorweg: Wie gefährlich die Lücke für eine bestimmte Webseite ist, hängt stark davon ab, wie PHP auf dem Server betrieben wird. Und genau da kommt es auf Entscheidungen an, die lange vor dem Vorfall getroffen wurden.
Wie wir davon erfahren haben
Wir beobachten das Netz permanent auf Sicherheitsmeldungen. Die ersten Meldungen gingen ein – unter anderem ein Artikel von heise online. Auch Björn, Geschäftsführer von Jacasa, hat uns parallel informiert. Damit stand fest: Das ist ernst, und wir reagieren jetzt.
Wie wir reagiert haben
- Sofort abgestimmt: Wir haben uns direkt mit HostPress abgestimmt und waren bereit, im Ernstfall alle Webseiten sofort vom Netz zu nehmen.
- Kunden informiert: Ab 16 Uhr haben wir alle Kunden über den Maklermittelpunkt-WhatsApp-Broadcast informiert – mit einer klaren Einschätzung und dem Angebot, die eigene Webseite auf Wunsch vorsorglich abzuschalten.
- Stündliche Updates: Danach gab es regelmäßig neue Informationen und Risikoeinschätzungen, sobald sich etwas getan hat.
- Persönlich erreichbar: Nahezu 50 E-Mails, WhatsApp-Nachrichten und Telefonate haben wir persönlich entgegengenommen und beantwortet. Niemand wurde mit einer automatischen Antwort abgespeist.
- Schnell abgesichert: HostPress hat Übergangsschutz eingerichtet, bevor der offizielle Patch da war – und die abgesicherten PHP-Versionen anschließend sofort ausgerollt.
Was HostPress technisch gemacht hat
Für alle, die es genauer wissen wollen:
- Angriffsweg blockiert: Auf allen Servern wurde die PHP-Funktion „Session Upload Progress“ deaktiviert und alle PHP-Prozesse neu gestartet. Damit wurde – wie vom PHP-Projekt empfohlen – der bestätigte Angriffsweg geschlossen. WordPress selbst nutzt diese Funktion nicht.
- Firewall aktualisiert: Die Web Application Firewall (Imunify360) filtert seit einem Regel-Update das öffentlich bekannte Angriffsmuster heraus, bevor eine Anfrage überhaupt bei der Webseite ankommt.
- Updates eingespielt: Seit ca. 16 Uhr standen die abgesicherten Versionen PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 bereit. Der Rollout auf alle Server hat sofort begonnen – parallel zum Plattform-Update von Plesk.
- Den Fortschritt konnte jeder jederzeit auf der HostPress-Statusseite verfolgen.
Was wir schon vorher richtig gemacht haben
Das Wichtigste an diesem Vorfall ist eigentlich, was vor dem Vorfall passiert ist. Denn gute Sicherheit zeigt sich nicht in der Krise, sondern in den Entscheidungen davor:
- Aktuelle PHP-Versionen: Alle Webseiten, die wir betreuen, liefen bereits mit PHP 8.2 oder neuer – also mit Versionen, für die es sofort Sicherheitsupdates gab. Wer noch PHP 7.x, 8.0 oder 8.1 nutzt, bekommt solche Updates gar nicht mehr.
- Die sichere Betriebsart: Die gefährlichste bekannte Angriffsvariante setzt eine bestimmte Betriebsart voraus (das Apache-Modul mod_php). Unsere Webseiten laufen ausschließlich über PHP-FPM. Dort ist das Risiko deutlich geringer.
- Schutzschichten rund um die Uhr: Eine Web Application Firewall prüft eingehenden Traffic, Brute-Force- und DDoS-Angriffe werden automatisch abgewehrt, Malware-Scanning läuft serverseitig.
- Empfehlungen längst umgesetzt: Die Empfehlungen, die jetzt überall ausgesprochen wurden, hatten wir bereits weit vor dem Vorfall umgesetzt und etabliert.
- Ein starker Partner: Mit HostPress haben wir einen Hosting-Partner, der Updates zentral und automatisch einspielt – unsere Kunden mussten nichts selbst tun.
Deshalb haben wir unser Risiko von Anfang an als gering eingeschätzt – und daran hat sich nichts geändert.
Checkliste: Worauf es bei deinem Hosting ankommt
Der Vorfall zeigt: Ob eine Sicherheitslücke zum Problem wird, entscheidet sich oft lange vorher – beim Hosting. Mit dieser Checkliste kannst du prüfen, wie gut deine Maklerwebseite aufgestellt ist.
Grundlagen, die dein Hosting erfüllen sollte
- Aktuelle PHP-Version: Deine Webseite läuft mindestens mit PHP 8.2 – besser mit 8.3 oder neuer. PHP 7.x, 8.0 und 8.1 bekommen keine Sicherheitsupdates mehr.
- Sichere Betriebsart: PHP läuft über PHP-FPM und nicht über das ältere Apache-Modul mod_php.
- Automatische Sicherheitsupdates: Updates für PHP und Server werden zentral und zeitnah eingespielt – ohne dass du dich darum kümmern musst.
- Web Application Firewall (WAF): Schädliche Anfragen werden gefiltert, bevor sie deine Webseite erreichen.
- Schutz vor Angriffen: Brute-Force- und DDoS-Angriffe werden automatisch erkannt und abgewehrt.
- Malware-Scanning: Der Server wird regelmäßig auf Schadcode geprüft.
- Tägliche Backups: Es gibt aktuelle Sicherungen, aus denen deine Seite schnell wiederhergestellt werden kann.
- Status-Seite: Dein Hoster informiert öffentlich über Störungen und Wartungen.
- Erreichbarer Support: Im Ernstfall erreichst du einen Menschen – nicht nur ein Ticketsystem.
Was dein Hoster jetzt tun muss
Konkret zur aktuellen PHP-Lücke solltest du bei deinem Hoster nachfragen, ob diese Punkte erledigt sind:
- PHP-Updates eingespielt: Die abgesicherten Versionen PHP 8.2.35, 8.3.36, 8.4.27 bzw. 8.5.12 (oder neuer) sind auf dem Server installiert.
- Angriffsweg geschlossen: Bis das Update installiert ist, ist die PHP-Funktion „Session Upload Progress“ deaktiviert und die PHP-Prozesse wurden neu gestartet.
- Firewall-Regeln aktualisiert: Die WAF filtert das öffentlich bekannte Angriffsmuster.
- Betriebsart geprüft: Dein Hoster kann dir bestätigen, dass deine Seite über PHP-FPM läuft.
- Alte PHP-Versionen angegangen: Webseiten mit PHP älter als 8.2 werden aktualisiert – oder du wirst aktiv informiert, was zu tun ist.
- Plattform aktualisiert: Auch das Server-Panel (z. B. Plesk) hat das bereitgestellte Sicherheitsupdate erhalten.
- Offene Kommunikation: Du wurdest informiert, was passiert ist, was getan wurde und ob du selbst etwas tun musst.
Kannst du nicht alle Punkte abhaken oder bekommst du von deinem Hoster keine klare Antwort? Dann sprich uns an – wir prüfen deine Webseite gern und zeigen dir, wie sicheres Hosting für Makler aussieht.
Was das für dich bedeutet
Wenn deine Webseite bei uns liegt: Du musst nichts tun. Deine Seite läuft mit einer unterstützten PHP-Version, die Sicherheitsupdates wurden für dich eingespielt.
Wenn du deine Webseite woanders betreibst: Prüf bitte, ob dein Hoster die PHP-Updates bereits eingespielt hat. Läuft deine Seite noch mit PHP 7.x, 8.0 oder 8.1, solltest du die Version anheben – am besten auf PHP 8.3, denn PHP 8.2 bekommt ab dem 31. Dezember 2026 keine Sicherheitsupdates mehr. Mach vorher ein Backup und prüf deine Seite danach gründlich: Ältere Themes und Plugins sind nicht immer mit neuen PHP-Versionen kompatibel.
Unsicher, wie es um deine Webseite steht? Melde dich bei unserem Support – wir schauen gern drauf.
Danke – und: Wir sind da!
Ein solcher Tag zeigt, warum Hosting und Webseitenpflege in eine Hand gehören. Danke an HostPress für die schnelle, transparente Zusammenarbeit, an alle, die uns früh informiert haben – auch an Björn von Jacasa – – und an alle Kunden für ihre Geduld und ihr Vertrauen.
Mehr dazu, wie wir deine Seite absichern: Hosting und Webseitenpflege.
Unsere Nachrichten an die Kunden im Wortlaut
So haben wir unsere Kunden über den WhatsApp-Broadcast auf dem Laufenden gehalten:
Nachricht 1: Wichtige Sicherheitsinfo zu PHP (ab 16 Uhr)
Am 20.10. wurde eine mögliche Sicherheitslücke in PHP öffentlich erwähnt. PHP hat darauf ein außerplanmäßiges Sicherheitsupdate vorbereitet.
Was bedeutet das für dich:
Alle Webseiten von uns nutzen bereits PHP 8.2 oder neuer. Sicherheitsupdates für PHP 8.2–8.5 werden auf unseren Servern zentral bereitgestellt und automatisch eingespielt. Du musst dafür nichts tun. Welche Versionen genau betroffen sind, wird erst mit dem offiziellen Release bestätigt.
Was wir zusätzlich bereits tun:
- Eingehender Traffic wird über eine Web Application Firewall (WAF) geprüft und schädliche Anfragen blockiert.
- Brute-Force- und DDoS-Angriffe werden automatisch erkannt und abgewehrt.
- Malware-Scanning und Schutzmechanismen laufen serverseitig.
Kurz gesagt: Du nutzt bereits eine unterstützte PHP-Version und profitierst von aktuellen Sicherheitsupdates sowie zusätzlichen Schutzmechanismen auf Serverseite. Sollte das minimale Risiko dennoch als zu hoch gesehen werden, können wir die Webseite vorsorglich abschalten.
Nachricht 2: Kritische Lücke im PHP-Kern – Patch erwartet
Liebe Maklermittelpunkt-Kunden,
wir beobachten aktuell eine kritische Sicherheitslücke im PHP-Kern (RCE), die alle ungepatchten PHP-Versionen betrifft.
PHP-Fix: Ein offizieller Patch seitens des PHP-Teams wird heute um 16:00 Uhr erwartet (für PHP 8.2+). Das bedeutet aber nicht, dass die Lücke ab 16 Uhr geschlossen ist.
Plesk-Status: Plesk ist über die Situation vollumfänglich informiert und arbeitet bereits an einem entsprechenden Update für die Plattform.
Schutzmaßnahmen: Wir haben unsererseits bereits vorsorgliche Schutzmaßnahmen ergriffen und warten nun auf das Erscheinen der offiziellen Fixes von PHP und Plesk, um diese umgehend einzuspielen.
Wichtiger Hinweis zum Support: Unser Team konzentriert sich aktuell voll und ganz auf die Absicherung der Systeme und das Einspielen der bevorstehenden Updates. Wir bitten eindringlich, Support- und Notfallanfragen wirklich nur bei kritischen Notfällen einzureichen.
Vielen Dank für dein Verständnis!
Dein HostPress- & Maklermittelpunkt-Team
Nachricht 3: Updates veröffentlicht – Rollout gestartet
Updates & Maßnahmen: Die angekündigten Sicherheitsupdates von PHP und Plesk sind veröffentlicht worden. Wir haben umgehend mit dem systemweiten Rollout begonnen, um alle betroffenen PHP-Versionen auf den neuesten und sicheren Stand zu bringen.
Nächste Schritte: Die Updates werden schrittweise auf den Servern eingespielt. Während des Aktualisierungsvorgangs kann es kurzzeitig zu minimalen Unterbrechungen kommen.
Support-Hinweis: Da unser Team aktuell voll mit der Durchführung und Überwachung des Rollouts beschäftigt ist, bitten wir weiterhin darum, Notfallanfragen wirklich nur im absoluten Ernstfall einzureichen. Vielen Dank für deine Geduld!
Nachricht 4: Stand von HostPress – Betroffenheit und Maßnahmen
Seit ca. 16:00 Uhr stehen die PHP-Updates für die Versionen 8.2–8.5 bereit! Wir haben mit dem Rollout begonnen.
Wie betroffen sind eure Websites bei HostPress? Die schwerwiegendste bekannte Angriffsvariante setzt eine PHP-Betriebsart voraus (Apache-Modul mod_php), die wir bei HostPress in der Regel nicht einsetzen. Alle Websites bei uns laufen ausschließlich über PHP-FPM. Für diese Betriebsart ist das Risiko geringer, aber nicht ausgeschlossen. Wir behandeln den Vorfall deshalb mit höchster Priorität. Kunden, die auf Plesk-Servern (ehem. „WP-Projects“) laufen, prüfen bitte anhand der Anleitung ihre PHP-Version und ob diese mit FPM ausgeführt wird.
Was wir bereits gemacht haben: Auf allen Servern haben wir die PHP-Funktion „Session Upload Progress“ deaktiviert und alle PHP-Prozesse neu gestartet. Damit folgen wir der Empfehlung des PHP-Projekts und blockieren den für PHP-FPM bestätigten Angriffsweg. Zusätzlich filtert unsere Web Application Firewall (Imunify360) seit dem jüngsten Regel-Update das derzeit öffentlich bekannte Angriffsmuster, bevor die Anfrage eure Website erreicht. Beides sind Übergangsmaßnahmen, die das Risiko deutlich senken, aber das eigentliche Update nicht ersetzen.
Die abgesicherten PHP-Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 spielen wir derzeit auf unseren Servern ein. Da die Update-Server der Hersteller im Moment stark ausgelastet sind, kann das noch etwas dauern. Wir arbeiten mit Hochdruck daran. Den aktuellen Fortschritt findet ihr jederzeit auf unserer Statusseite.
Die deaktivierte Funktion wird von WordPress selbst nicht genutzt. Falls ihr in einer eigenen Anwendung Fortschrittsbalken für Datei-Uploads über diese PHP-Funktion umgesetzt habt, meldet euch bitte bei unserem Support, falls es Probleme bei der Ausführung des PHP-Skripts gibt. Für Websites mit PHP-Versionen älter als 8.2 prüfen wir derzeit weitere Maßnahmen und melden uns dazu gesondert bei den betroffenen Kunden.
Was ihr tun solltet: Laufen eure Websites noch mit PHP 7.x, 8.0 oder 8.1, bitten wir euch, die PHP-Version sicherheitshalber selbst in Plesk anzuheben. Wir empfehlen als Ziel PHP 8.3. PHP 8.2 bekommt ab dem 31. Dezember 2026 keine Sicherheitsupdates mehr, mit 8.3 erspart ihr euch also eine zweite Umstellung in wenigen Wochen. Wie das geht, zeigen wir euch in dieser Anleitung.
Bitte beachtet dabei: Ältere Themes und Plugins sind nicht immer mit neueren PHP-Versionen kompatibel. Erstellt vor der Umstellung ein Backup und prüft eure Website danach gründlich. Funktioniert etwas nicht wie gewohnt, könnt ihr die PHP-Version in Plesk jederzeit zurückstellen.
Nutzt ihr bereits PHP 8.2, empfehlen wir euch ebenfalls, in den nächsten Wochen auf 8.3 zu wechseln. Akuter Handlungsbedarf besteht für 8.2 aber nicht, die Sicherheitsupdates spielen wir aktuell für euch ein. Nutzt ihr bereits PHP 8.3 oder neuer, müsst ihr nichts tun. Betreibt ihr Websites bei anderen Anbietern oder auf eigenen Servern, prüft bitte auch dort, ob die PHP-Updates eingespielt sind.
Nachricht 5: Unsere Einschätzung
Ergänzung von uns: Wir haben die vorausgesetzten Empfehlungen bereits weit vor dem heutigen Tag umgesetzt und etabliert. Wir schätzen unsere Risiken weiterhin als gering ein.