Sicherheitsupdates müssen nicht nur verfügbar sein, sie müssen auch schnell eingespielt werden können. Die aktuellen PHP-Schwachstellen haben erneut gezeigt, wie wichtig im Ernstfall klare Zuständigkeiten und die richtigen Zugriffsrechte sind.
Die aktuelle PHP-Warnung des BSI
Das BSI hat vor den Schwachstellen CVE-2026-109618 und CVE-2026-109619 gewarnt. Sie wurden mit einem CVSS-Score von 9,2 von 10 nach CVSS Version 4.0 als kritisch eingestuft. Nach aktuellem Kenntnisstand können Angreifer auf ungepatchten Systemen aus der Ferne Schadcode ausführen, ohne sich anzumelden und ohne dass ein Nutzer etwas tun muss.
Das PHP-Projekt hat Patches für mehrere Versionen veröffentlicht. Nicht mehr unterstützte PHP-Versionen erhalten keine regulären Sicherheitspatches; ein Versionswechsel ist daher Teil der Risikobewertung. Auch PHP2Shell zeigt, dass bekannte Schwachstellen und veraltete Laufzeitumgebungen nicht aufgeschoben werden sollten.
Unsere Reaktion
Wir haben alle von FaNetwork betreuten Systeme geprüft und mit dem Einspielen der Sicherheitsupdates begonnen. Dazu gehören zahlreiche Server in Rechenzentren, die wir im Auftrag unserer Kunden betreiben.
Neue und bestehende Kundenprojekte betreiben wir zunehmend auf separaten VPS pro Projekt. So lassen sich Zuständigkeiten, Zugriffe, Patchstände und Überwachung für jedes Projekt klar trennen und kontrollieren.
Wenn der Zugriff fehlt
Auch Kunden mit einem anderen Hosting-Anbieter haben uns um Hilfe gebeten. Ohne einen administrativen Zugang können wir ihre Server jedoch nicht prüfen oder Updates selbst einspielen.
Das hat nichts mit fehlender Bereitschaft zu tun. Änderungen an laufenden Systemen dürfen nur mit klarer Freigabe und den richtigen Zugängen durchgeführt werden. So bleiben die Arbeiten sicher und nachvollziehbar.
Nicht ein Anbieter, sondern klare Verantwortung
Es muss nicht alles bei einem einzigen Provider liegen. Entscheidend ist, dass ein verantwortlicher technischer Partner im Notfall vollen Zugriff auf alle relevanten Systeme hat und Updates sofort umsetzen kann.
Zentral betreutes Hosting mit getrennten VPS pro Kundenprojekt schafft klare Verantwortlichkeiten. Es verkürzt Abstimmungswege und ermöglicht eine schnelle Reaktion auf kritische Sicherheitswarnungen.
Sie sind unsicher, wer Ihre Server im Ernstfall aktualisiert? Sprechen Sie uns an. Wir prüfen gemeinsam mit Ihnen Zugänge, Zuständigkeiten und Patchstände.
Konkrete nächste Schritte
Inventarisieren Sie PHP-Versionen und exponierte Systeme, prüfen Sie verfügbare Patches und planen Sie nicht mehr unterstützte Versionen abzulösen. Schränken Sie Zugriffe ein, sichern Sie Backups und testen Sie die Wiederherstellung. Legen Sie außerdem fest, wer Sicherheitsmeldungen bewertet, Änderungen freigibt und die Umsetzung nachweist.
Quelle: BSI-Warnung zu PHP-Schwachstellen
Sie stehen vor einem ähnlichen Problem?
Wir analysieren Ihre Ausgangslage und zeigen Ihnen einen pragmatischen nächsten Schritt.
Erstgespräch vereinbaren