Die kritischen Sicherheitslücken in PHP sind auf unseren Servern behoben. Ihre Webseite ist sicher. Für Sie als Kundin oder Kunde besteht kein Handlungsbedarf.
PHP-Sicherheitslücken geschlossen
Die kritischen Sicherheitslücken in PHP sind auf unseren Servern behoben. Für Sie als Kundin oder Kunde besteht kein Gefahr und kein Handlungsbedarf.
Diese Woche wurden in PHP zwei kritische Sicherheitslücken bekannt. PHP ist die Programmiersprache, mit der admiralCX und damit auch Ihre Website läuft. Das Bundesamt für Cybersicherheit (BACS) hat dazu eine offizielle Warnung veröffentlicht.
Was steckt dahinter?
Die beiden Lücken wurden am 21. Oktober 2026 öffentlich gemacht. Über sie konnten Angreifer ohne Anmeldung eigenen Programmcode auf einem Server ausführen und im schlimmsten Fall die volle Kontrolle darüber übernehmen.
Betroffen sind alle PHP-Versionen ab PHP 5. Da ein grosser Teil des Internets mit PHP läuft, betrifft das weltweit sehr viele Websites, von WordPress-Seiten bis zu individuellen Webanwendungen. Hinzu kommt, dass bereits Beispielcode für einen Angriff öffentlich verfügbar ist. Deshalb war schnelles Handeln wichtig.
Die PHP-Entwickler haben am selben Tag korrigierte Versionen veröffentlicht. Diese gibt es allerdings nur für die aktuell unterstützten Versionen ab PHP 8.2. Wer eine ältere Version einsetzt, erhält kein Update und muss zuerst auf eine neuere Version wechseln.
War meine Website betroffen?
Ja. Wie praktisch alle Websites, die mit PHP laufen, waren auch die von uns betreuten Websites von den Lücken betroffen. Diese laufen bei nine.ch, einem Schweizer Hostinganbieter. Das Team von nine.ch hat die offiziellen Sicherheitsupdates am Mittwoch, 21. Oktober 2026, direkt nach der Veröffentlichung eingespielt. Seit 17:30 Uhr sind unsere Server aktualisiert und die Lücken geschlossen.
Muss ich etwas unternehmen?
Nein. Das Update ist auf den Servern erledigt, Sie müssen auf Ihrer Seite nichts installieren oder anpassen.
Für Technikinteressierte: Die Lücken tragen die Bezeichnungen CVE-2026-109618 und CVE-2026-109619. Behoben sind sie in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.