In den vergangenen Tagen gab es in der Internetwelt erhebliche Aufregung. Zwei schwerwiegende Sicherheitslücken in der Programmiersprache PHP bedrohten weltweit zahlreiche Internetseiten. Auch Websites, die mit WordPress betrieben werden, konnten betroffen sein.
PHP arbeitet im Hintergrund vieler Internetseiten. Besucher bekommen davon normalerweise nichts mit. Doch die jetzt bekannt gewordenen Fehler waren besonders gefährlich: Unter bestimmten Voraussetzungen hätten Angreifer fremde Programme auf betroffenen Webservern ausführen können, ohne sich vorher anmelden zu müssen.
Die Sicherheitslücken, die unter dem Namen „PHP2Shell“ bekannt wurden, erhielten einen Schweregrad von 9,2 von 10. Für Betreiber großer Internetangebote war das ein ernstes Problem. Manche Unternehmen mussten kurzfristig Schutzmaßnahmen ergreifen oder Systeme vorsorglich abschalten.
Warum haben Bestatterweblog-Leser nichts davon bemerkt?
Weil sich unser Mann im Maschinenraum frühzeitig darum gekümmert hat.
Unser technischer Betreuer von tiggerswelt.net verfolgt regelmäßig internationale Sicherheitsmeldungen. Als sich die Bedrohung abzeichnete, wartete er nicht erst auf die Veröffentlichung fertiger Sicherheitsupdates. Er analysierte die verfügbaren Informationen und den PHP-Programmcode und traf bereits vorsorgliche Schutzmaßnahmen.
Seine anschließende Prüfung ergab, dass diese Maßnahmen nach seiner Einschätzung einen Angriff bereits sehr unwahrscheinlich gemacht hatten. Sobald die notwendigen Sicherheitsupdates verfügbar waren, wurden sie ebenfalls eingespielt.
Seine abschließende Nachricht an uns war erfreulich kurz:
„Du hast bereits alle notwendigen Updates erhalten und bist sicher.“
So soll es sein. Während andernorts die Alarmglocken schrillten, konnten unsere Leser das Bestatterweblog wie gewohnt besuchen.
Gute Technik erkennt man eben häufig daran, dass man von den Problemen gar nichts mitbekommt.
Im Übrigen zeigt dieser Vorfall und die schnelle Reaktion unseres Hosters deutlich, weshalb man eben nicht eine Webseite für 1 Euro/Monat mit Webseitenbaukasten betreiben sollte.
Als ich vor geraumer Zeit hier mal die Kosten des Betriebs eines (semi-)professionellen Weblogs offenlegte, habe ich von einigen ordentlich auf die Mütze bekommen.
Einer schrieb mir sogar: „Wer mehr als 50 Euro im Jahr für seine Webseite ausgibt, schmeißt sein Geld zum Fenster raus.“
Viele waren der Meinung, das könne alles nicht so teuer sein und so viel kosten. Einige meinten, ich würde übertreiben und mit den hohen Kosten nur „um Spenden betteln“.
Na klar freue ich mich, wenn Leserinnen und Leser ihre Wertschätzung durch ein Geldgeschenk zum Ausdruck bringen. Ist doch wohl ganz logisch, oder?
Aber der aktuelle Vorfall zeigt jetzt ganz eindeutig, dass es gut und richtig ist:
- einen vernünftigen Anbieter für das Hosting zu wählen
- einen menschlichen Ansprechpartner zu haben und nicht nur eine Hotline in Indien
- gute Software zum Schutz seiner Webseiten einzusetzen
- die höheren Gebühren in Kauf zu nehmen, weil JEDE MÜHE VERDIENT IHREN LOHN.
- neben dem Schreiben und Quatschmachen jede Woche ein paar Stunden teure Zeit in die Wartung zu stecken
Quellen und weiterführende Informationen
- PHP – Offizielle Sicherheitsmeldungen 2026
- CERT-EU – Kritische PHP-Sicherheitslücken
- ENISA – Europäische Sicherheitswarnung
- Britisches NCSC – Sicherheitswarnung
- Wiz Research – Technischer Hintergrund zu PHP2Shell
- Google Cloud – Analyse der PHP-Sicherheitslücken
