Dr. Wolfgang Stock vor einer Bücherwand

Blog

Beiträge aus der Praxis

Sicherheitslücke in PHP: Warum unser Kontaktformular pausiert hat

22.10.2026 · Praxis

Das Wichtigste in Kürze

  • Am 21. Oktober 2026 hat das Entwicklerteam der Programmiersprache PHP zwei kritische Sicherheitslücken behoben. PHP läuft auf sehr vielen Webservern, auch bei unserem Anbieter. Über die Lücken konnten Angreifer ohne Anmeldung eigene Befehle auf einem Server ausführen.
  • Einzelheiten waren schon vor der Korrektur öffentlich geworden. Das Sicherheitsteam der EU riet, nicht aktualisierte Websites notfalls vom Netz zu nehmen. Behörden, Parlamente, Hochschulen und Unternehmen haben das getan.
  • Wir haben am 21. Oktober um 14:54 Uhr unser Kontaktformular abgeschaltet und über Nacht jede PHP-Ausführung auf unserer Website gestoppt. Die Seiten selbst blieben erreichbar.
  • Unsere Prüfung am Morgen des 22. Oktober hat keinen Hinweis auf einen erfolgreichen Angriff ergeben. Ihre Nachrichten an uns werden verschlüsselt gespeichert und sind auf dem Webserver nicht lesbar.
  • Seit dem 22. Oktober, etwa 8:10 Uhr, ist das Formular wieder in Betrieb. Wer uns in der Zwischenzeit über das Formular nicht erreicht hat: Bitte schreiben Sie uns erneut oder rufen Sie an.

Was geschehen ist

Am 20. Oktober hatte das PHP-Team zwei Sicherheitslücken angekündigt, beide mit dem Schweregrad 9,2 von 10 bewertet (CVE-2026-109618 und CVE-2026-109619), und eine Korrektur für den 21. Oktober um 16 Uhr deutscher Zeit. Sie erschien in den Fassungen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Noch vor dieser Korrektur gelangten nach Berichten Einzelheiten und ein Angriffswerkzeug an die Öffentlichkeit. Ob schon angegriffen wurde, war am 21. Oktober umstritten: Das niederländische Nationale Cybersicherheitszentrum hatte bis dahin keinen aktiven Missbrauch beobachtet, ein Sicherheitsunternehmen meldete erste Angriffe. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) kannte am 21. Oktober keine bestätigten Ausnutzungen, aber unbestätigte Berichte über Angriffswerkzeuge, und empfahl, sofort zu aktualisieren.

Das Sicherheitsteam der Europäischen Union (CERT-EU) empfahl Betreibern, die nicht sofort aktualisieren können, ihre Websites vom Netz zu nehmen. In den Niederlanden gingen unter anderem die Websites des Parlaments und des Nationalen Cybersicherheitszentrums vorübergehend offline, in Deutschland nahm die Universität Freiburg zentrale Systeme vom Netz.

Was es für Sie bedeutete

Unsere Website ist so gebaut, dass ihre Seiten ohne PHP auskommen: Sie liegen als fertige Dateien auf dem Server. Nur das Kontaktformular braucht ein kleines Programm in PHP, das Ihre Nachricht entgegennimmt und sofort verschlüsselt. Den Schlüssel zum Lesen hat nur die Praxis; auf dem Webserver selbst liegt er nicht. Selbst ein Angreifer, der den Server übernommen hätte, hätte gespeicherte Nachrichten deshalb nicht lesen können.

Er hätte aber das Formular verändern und neue Nachrichten abfangen können. Dieses Risiko wollten wir nicht eingehen. Deshalb haben wir das Formular abgeschaltet, bevor die Korrektur erschien, und es auch danach nicht sofort wieder eingeschaltet. Nach solchen Korrekturen vergleichen Angreifer erfahrungsgemäß die alte mit der neuen Fassung, um die genaue Schwachstelle zu finden, und greifen dann Server an, die noch nicht aktualisiert sind. Die erste Nacht nach einer solchen Korrektur ist deshalb oft die gefährlichste. Wir haben sie abgewartet und erst am Morgen geprüft, ob unser Anbieter aktualisiert hat und ob es Spuren von Angriffen gibt.

Für Sie hieß das: Vom 21. Oktober, 14:54 Uhr, bis zum 22. Oktober, etwa 8:10 Uhr, konnten Sie uns über das Formular nicht schreiben. Telefon war davon nicht betroffen.

Für Administratoren: was wir getan haben

Angriffsfläche vorab verkleinert. Am Vormittag des 21. Oktober haben wir die neue Website vorgezogen in Betrieb genommen, die ohne PHP-Seiten auskommt, und die alte Website samt Formular und Blog stillgelegt. In den Serverregeln ist jede PHP-Datei gesperrt; ausgenommen waren nur die beiden Skripte des Formulars. Mitgelieferte PHP-Dateien des Website-Programms (Verwaltungsoberfläche, Editor, ältere Formularbausteine) sind von außen nicht erreichbar.

Formular vom Netz, bevor die Korrektur kam. Die beiden verbliebenen Skripte haben wir um 14:54 Uhr außer Betrieb genommen, nicht nur gesperrt, sondern so, dass der Server sie nicht mehr findet. Kurz danach haben wir die Inhalte nicht mehr genutzter Domains auf demselben Speicherplatz entfernt. Damit lief über Nacht auf unserer Website kein PHP, das von außen aufrufbar war. Das Sicherheitsunternehmen Sansec empfiehlt als Übergangsmaßnahme, Formularsendungen im Upload-Format (multipart) am Webserver abzuweisen; unser Formular nutzt dieses Format und nimmt Anhänge an, darum war das Abschalten der sicherere Weg.

Keine Freigabe in der ersten Nacht. Auf gemeinsam genutzten Servern spielt der Anbieter die neue PHP-Fassung ein; den Zeitpunkt bestimmt nicht der Kunde. Die Statusseite unseres Anbieters IONOS meldete am Morgen des 22. Oktober um 6:53 Uhr, das Sicherheitsupdate auf allen Systemen sei noch in Arbeit; es sollte binnen 24 Stunden ab dem 21. Oktober, 17:44 Uhr, abgeschlossen sein. Wir haben die Freigabe deshalb nicht an die Korrektur geknüpft, sondern an eine Prüfung am nächsten Morgen:

  • PHP-Fassung gemessen. Eine Prüfdatei auf unserem Speicherplatz meldete am 22. Oktober um 7:56 Uhr PHP 8.4.27, also die korrigierte Fassung.
  • Zugriffsprotokolle vom 20. bis 22. Oktober durchgesehen. Nach der Sperre wurde auf unserer Website kein PHP ausgeführt, außer unserer eigenen Prüfdatei; alle Angriffsversuche der Nacht (etwa auf WordPress-Anmeldungen und auf eine bekannte Schwachstelle in einem Testwerkzeug) wurden abgewiesen.
  • Protokolle der Dateiübertragung (SFTP) durchgesehen. Es gab keine Fehlversuche, und nach unseren eigenen Arbeiten am Nachmittag des 21. Oktober gab es keine Schreibvorgänge bis zu unserer eigenen Prüfdatei.

Ergebnis: kein Hinweis auf einen Einbruch.

Was die Bauweise ohnehin begrenzt. Das Formular verschlüsselt jede Nachricht auf dem Server mit einem öffentlichen Schlüssel (Verfahren „sealed box“ der Bibliothek libsodium); entschlüsselt wird erst auf einem Rechner in der Praxis. Anhänge werden auf dem Server nach ihrem Inhalt geprüft, nicht nur nach der Dateiendung. Unser Formularprogramm führt kein Protokoll und speichert die Internetadresse der Absender nicht; unser Anbieter führt die üblichen Zugriffsprotokolle mit gekürzten Adressen.

Was Sie tun können

Wenn Sie uns in dieser Zeit schreiben wollten: Nachrichten, die Sie zwischen dem 21. Oktober, 14:54 Uhr, und der Wiedereinschaltung über das Formular abgeschickt haben, sind nicht bei uns angekommen. Schicken Sie Ihre Nachricht bitte erneut über das Formular oder rufen Sie an.

Wenn Sie selbst eine Website betreiben: Fragen Sie Ihren Anbieter, ob die korrigierte PHP-Fassung eingespielt ist, und spielen Sie Aktualisierungen von Programmen wie WordPress oder Shop-Systemen ein, sobald sie erscheinen. Nehmen Sie Formulare und Anmeldeseiten vom Netz, solange Sie das nicht sicher wissen.

Wann Sie anrufen sollten

Bei allem, was nicht warten kann, rufen Sie bitte direkt an, auch wenn das Formular wieder läuft. Das Formular ist für Anfragen gedacht, die einen Tag Zeit haben. Den ärztlichen Bereitschaftsdienst erreichen Sie unter 116117, in Notfällen den Rettungsdienst unter 112.

Stand: 22.10.2026, 08:15 Uhr

Quellen

Zurück zum Blog

Dr. med. Wolfgang Stock
Privatpraxis für Allgemeinmedizin

Körnerstraße 3, 61191 Rosbach vor der Höhe

Telefon 06007 9303-07 · Telefax 06007 9303-08 · Hausbesuche im westlichen Wetteraukreis, im östlichen Hochtaunuskreis und im Norden Frankfurts

Impressum | Datenschutz | Blog