Das Update macht der Hoster, die Erklärung bleibt beim Betreiber der Website

Wer am Mittwochnachmittag die Website der NÖN aufrufen wollte, erreichte sie nicht; auf der Seite des Landes Niederösterreich stand ein Hinweis, sie sei aus Sicherheitsgründen vorübergehend offline. Seither hat jeder Betreiber einer Website zwei Fragen zu klären – ob die eigene Seite betroffen ist und was auf ihr steht, wenn sie vom Netz muss.

Die Lücke liegt unter WordPress, in PHP selbst

Grundlage. PHP ist die Programmiersprache, mit der Systeme wie WordPress, Joomla oder Drupal und Onlineshops wie Shopware oder Magento ihre Seiten erzeugen. Das österreichische Computer-Notfallteam CERT.at warnte am 21. Oktober 2026 vor zwei Lücken darin, mit den Kennnummern CVE-2026-109618 und CVE-2026-109619. Das PHP-Projekt bewertet beide mit 9,2 von 10 Punkten auf der üblichen Skala für Schweregrade. Laut CERT.at können Angreifer darüber ohne Anmeldung eigenen Code auf dem Server ausführen; betroffen seien nach Angaben des PHP-Projekts alle PHP-Installationen, die Web-Anfragen verarbeiten.

Updates. Geschlossen sind die Lücken ab den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35, erschienen am 21. Oktober um 16 Uhr. Für PHP 8.1 und älter hat das PHP-Projekt nur noch Notfall-Korrekturen im Quellcode veröffentlicht, reguläre Versionen gibt es dafür nicht mehr. PHP 8.2 erreicht am 31. Dezember 2026 sein Lebensende. Ein Update von WordPress oder den Plugins hilft gegen vieles – gegen diese Lücken nicht, weil sie unter dem Redaktionssystem liegen.

Ob schon angegriffen wird, ist offen

Angriffe. Zu einer aktiven Ausnutzung macht das PHP-Projekt laut CERT.at keine Angaben. Vorgeführt wurde ein Angriff auf zwei verbreitete Serverkonfigurationen, darunter die Variante PHP-FPM, mit der viele Hoster ihre Server betreiben. Angriffscode tauchte laut CERT.at schon am 20. Oktober im Netz auf, ob er funktioniert, konnte CERT.at nicht bestätigen. Laut The Hacker News meldete der Infrastrukturanbieter Cloudflare am 21. Oktober erste Angriffsversuche, noch vor dem Update; einen bestätigten Einbruch nennt keine der Quellen.

Eine abgeschaltete Website ist deshalb zuerst ein Zeichen von Vorsicht – erklärt werden muss sie trotzdem.

Mehrere Websites in Niederösterreich gingen vorsorglich vom Netz

Das Land Niederösterreich nahm seine Website laut noe.ORF.at am 21. Oktober vorsorglich vom Netz und teilte schriftlich mit, an einem sicheren Betrieb werde gearbeitet. Ebenfalls offline oder eingeschränkt waren laut noe.ORF.at die Seiten der NÖN, des Presseaussendungsdienstes OTS und der FH Wiener Neustadt sowie Teile der Pädagogischen Hochschule Niederösterreich. MeinBezirk nennt zusätzlich die Website der Caritas. Außerhalb des Landes waren laut MeinBezirk und heute.at unter anderem Seiten der TU Wien, der Universität Wien, der WU Wien und der JKU Linz nicht oder nur eingeschränkt erreichbar.

Das Land verwies auf seiner Hinweisseite auf Telefon und E-Mail des Bürgerbüros, abgerufen am Abend des 21. Oktober. Ob auch die anderen Seiten einen solchen Hinweis zeigten, ist nicht dokumentiert.

Drei Fragen klären, ob der Hoster gehandelt hat

Viele Betriebe, Gemeinden, Pfarren und Vereine mieten ihre Website bei einem Hoster oder lassen sie von einer Agentur betreuen. Das Update spielt dann der Hoster ein, seine Antwort gehört schriftlich ins eigene Postfach.

• Welche PHP-Version läuft auf unserer Website?
• Ist das Update auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 eingespielt, und wann?
• Läuft noch PHP 8.1 oder älter, und wann kommt der Umstieg auf eine unterstützte Version?

Zugang. Wer keine Antwort bekommt, weil niemand den Zugang kennt, hat ein zweites Problem. Die Zuständigkeit für die eigene Website gehört in dieselbe Liste wie Schlüssel und Kontovollmacht.

Ein angekündigter Ausfall ist eine Nachricht

Vorbild. Die Osttiroler Online-Zeitung Dolomitenstadt kündigte am 21. Oktober um 14.13 Uhr in einem eigenen Artikel an, dass sie beim Einspielen des Updates gegen 16 Uhr den Server rund 20 Minuten vom Netz nimmt. Die Artikel sollten über Cloud-Server lesbar bleiben, nur Anmeldung, Kommentare, Kleinanzeigen und Profile würden kurz ausfallen.

Wer vorab sagt, was ausfällt und wie lange, nimmt der Vermutung den Anlass, es sei etwas passiert.

Vorlage. Für einen Betrieb oder ein Gemeindeamt reichen zwei Sätze, am besten vorbereitet und auch auf einem zweiten Kanal veröffentlicht, etwa im Newsletter oder als Aushang. Ein Beispiel wäre „Unsere Website ist heute wegen eines Sicherheitsupdates bis etwa 18 Uhr nicht erreichbar. Termine und Anfragen nehmen wir in dieser Zeit unter der bekannten Telefonnummer entgegen.“

Die nächste Welle kommt per Mail

MeinBezirk rät zur Vorsicht bei Nachrichten, die sich auf die Lücke berufen und ein Passwort oder einen Download verlangen. Wer über den Ausfall informiert, schreibt deshalb dazu, dass dafür niemand nach Zugangsdaten fragt, so wie bei jeder Sicherheitsmaßnahme, die erklärt werden muss.

Wer weiß, wer das Update einspielt, wann es läuft und was in der Zwischenzeit auf der Startseite steht, übersteht die nächste Lücke ohne Krisenstab.

Peak Consulting (Norbert Oberndorfer, Bergland, Niederösterreich) prüft im Check, wer bei der Website und den Warn- und Informationskanälen eines Betriebs oder einer Gemeinde wofür zuständig ist, und schreibt den Baustein „Website offline“ für deren Krisenhandbuch – mit Textvorlage und Ausweichkanal.