Am Mittwoch, dem 21. Oktober 2026, nahmen Organisationen weltweit ihre Websites offline, wegen zwei kritischer Sicherheitslücken in PHP, der Programmiersprache, auf der unter anderem WordPress läuft. In den Niederlanden waren unter anderem DigiD, MijnOverheid, das Parlament, die Datenschutzbehörde, RTL Nieuws und Tweakers zeitweise nicht erreichbar. Die Websites, die wir hosten und warten, blieben den ganzen Tag online. Das ist kein Zufall: Genau dafür haben wir Verploy, unsere eigene Wartungsplattform, gebaut.

Was los war

Das PHP-Sicherheitsteam kündigte am 20. Oktober ein kritisches Sicherheitsrelease an. Es ging um zwei Lücken (CVE-2026-109618 und CVE-2026-109619) mit einem Schweregrad von 9,2 von 10. Ein Angreifer konnte sie mit einer einfachen Anfrage an den Server ausnutzen, um aus der Ferne Code auszuführen, und Beispielcode war bereits im Umlauf. Das niederländische Nationale Cyber-Sicherheitszentrum (NCSC) warnte und empfahl, sofort zu aktualisieren oder Systeme vorübergehend abzuschirmen. Viele Organisationen entschieden sich vorsorglich dafür, offline zu gehen, bis die reparierten PHP-Versionen (8.2.35, 8.3.36, 8.4.27 und 8.5.12) am 21. Oktober verfügbar wurden.

Was Verploy und wir getan haben

Verploy überwacht jede Website, die wir hosten, Tag und Nacht: welche Versionen laufen, ob jede Website erreichbar ist und ob etwas abweicht. Am 21. Oktober tat die Plattform, was sie jeden Tag tut, nur zählte es diesmal wirklich.

  • Überwacht ab der ersten Warnung. Wir verfolgten die Ankündigung von PHP und die Berichterstattung des NCSC. Verploy behielt währenddessen alle Kundenwebsites durchgehend im Blick: Erreichbarkeit, Sicherheit und auffälliges Verhalten.
  • Am 21. Oktober gepatcht, ohne Ausfall. Sobald die reparierten PHP-Versionen verfügbar waren, wurden unsere Server in der EU am selben Tag aktualisiert. Verploy prüfte anschließend pro Website, ob alles noch funktionierte, sodass wir nicht raten mussten.
  • Auf Missbrauch geprüft. Mit den Daten aus Verploy und unseren Serverprotokollen haben wir jede Kundenwebsite geprüft: Es wurde kein Einbruch, kein Angriff und kein Missbrauch der Lücke festgestellt.
  • Alles blieb online. Keine einzige von uns gehostete Website war offline, auch nicht während des Patchens. Für unsere Kunden und ihre Besucher war nichts los.

Warum das den Unterschied machte

Viele Organisationen mussten zwischen zwei Übeln wählen: eine verwundbare Website online lassen oder die Website offline nehmen, bis das Update installiert war. Wer keinen Einblick hat, was auf dem Server läuft und ob ein Update sauber durchgelaufen ist, hat keine andere Wahl, als den Stecker zu ziehen. Verploy beseitigt genau diesen blinden Fleck: Wir sahen, was lief, wir sahen das Update gelingen und wir sahen jede Website weiterlaufen. Deshalb konnten wir am 21. tun, was andere nicht konnten: aktualisieren, ohne offline zu gehen.

Was das für Sie bedeutet

Wenn Ihre Website bei uns gehostet und gewartet wird, müssen Sie nichts tun. Ihre Website läuft auf einem aktualisierten Server, wird von Verploy überwacht und erhält jede Nacht ein verschlüsseltes Backup. Beim nächsten kritischen Update läuft es wieder so: kontrolliert aktualisieren, ohne dass Ihre Website offline geht.

War Ihre Website gestern offline? Oder sind Sie sich nicht sicher?

Dann ist jetzt der Moment, es anders zu regeln. Wir übernehmen WordPress-Websites, die anderswo gebaut oder gehostet wurden: Wir ziehen Ihre Website auf unsere Server in der EU um, bringen sie technisch in Ordnung und stellen sie unter die Überwachung von Verploy. Hosting ab 7,50 € und Wartung ab 19 € pro Monat (zzgl. MwSt.), ohne langen Vertrag.

So gehen wir vor:

  1. Kostenloser Website-Check. Hinterlassen Sie unten die Adresse Ihrer Website. Sie erhalten per E-Mail einen kurzen, persönlichen Bericht: Läuft Ihre Website auf einer sicheren PHP-Version, wie steht es um Geschwindigkeit und Auffindbarkeit, und was sind die drei Verbesserungen mit der größten Wirkung.
  2. Kostenloses Beratungsgespräch. 30 Minuten, persönlich oder per Video, in denen wir besprechen, was ein Wechsel für Sie bedeutet.
  3. Wechsel ohne Aufwand. Wir ziehen Ihre Website um, testen alles und schalten die Überwachung ein. Sie merken nichts davon, außer dass es danach geregelt ist.

Kostenloses Beratungsgespräch vereinbaren   

Lieber anrufen? +31 (0)166 700204, Mo–Fr 9:00–17:30 Uhr.

Quellen: Tweakers – PHP schließt zwei kritische Lücken, nachdem weltweit Websites offline genommen wurden · Niederländische Regierung (Rijksoverheid)