PHP-Sicherheits-Update: Statusbericht und Massnahmen
Unsere Systeme waren von der PHP-Lücke betroffen, wurden jedoch bereits am 21.10.2026 um 20:00 Uhr CEST vollständig abgesichert. Es gibt keine Hinweise auf Missbrauch oder Datenabfluss, und es traten keine Ausfälle auf.
Kurzfassung
Unsere Systeme waren von der Lücke betroffen. Sie wurde am selben Tag geschlossen – rund zweieinhalb Stunden nachdem der Hersteller die gepatchte PHP Runtime bereitgestellt hatte. Hinweise auf einen Missbrauch oder einen Zugriff auf Kundendaten gibt es nicht. Ausfälle gab es keine.
Betroffenheit & Status
Ja, wir waren betroffen – inzwischen ist die Lücke geschlossen. Die Lücke steckte in der Software-Grundlage (PHP), auf der unsere Websites, der Conteo Publisher, unsere Schnittstellen und die Hintergrundprozesse laufen. Solange der Hersteller keine gepatchte PHP Runtime bereitgestellt hatte, war diese Grundlage angreifbar. Bereiche, die nicht auf dieser Grundlage laufen – etwa die Auslieferung von Bildern und Dateien oder unsere Auswertungsdienste – waren nicht betroffen. Seit dem 21.10.2026, 20:00 Uhr CEST, laufen alle betroffenen Systeme mit der korrigierten Version. Es besteht kein offener Handlungsbedarf.
Ergriffene Massnahmen
- Wir haben die gepatchte PHP Runtime sofort nach ihrer Veröffentlichung eingebaut und auf allen betroffenen Systemen ausgerollt: am 21.10.2026 um 20:00 Uhr CEST, rund zweieinhalb Stunden nach Bereitstellung durch den Hersteller.
- Zusätzlich haben wir zwei Sicherheitsvorkehrungen verschärft, die einen Angriff über den bekannten Weg zusätzlich erschweren.
- Wir stellen sicher, dass auch künftig notwendige Patches schnell und effizient eingebaut werden.
- Ausstehende Massnahmen zu dieser Lücke: keine.
Integrität der Kundendaten
Es gibt keine Hinweise auf einen unberechtigten Zugriff. Wir haben die Protokolle unserer Systeme für den betroffenen Zeitraum ausgewertet – dort werden Zugriffe, Fehler und Neustarts aufgezeichnet. Ergebnis: keine Spuren einer Ausnutzung, keine Anzeichen für fremde Zugriffe, für Datenabfluss oder für Veränderungen an Daten. Ein Angriff über diese Lücke hätte in diesen Protokollen sichtbare Spuren hinterlassen.
Ausfallzeiten
Nein, es gab keine Ausfallzeiten. Das Update wurde im laufenden Betrieb eingespielt; Nutzerinnen und Nutzer konnten ohne Unterbrechung weiterarbeiten. Die vereinbarten Verfügbarkeiten wurden eingehalten, auch nicht zeitweise unterschritten. Weitere Wartungsfenster sind für diesen Vorgang nicht erforderlich und nicht geplant.
Weitere Informationen:
- Security Advisory auf PHP.net | CERT-EU Security Advisory 2026-018
- Hintergrund / Diskussion: Vorankündigung | Release
