1. Was müssen Besucher erledigen können?
Leistungen lesen und Kontakt aufnehmen? Oder sich anmelden, persönliche Daten abrufen, buchen oder bestellen? Schreiben Sie die tatsächlichen Aufgaben auf.
Vergleiche & Entscheidungshilfen
PHP-Sicherheitslücke: Welche Abhängigkeiten braucht Ihre Website wirklich?
Ihre Website ist nicht erreichbar, obwohl Sie selbst nichts verändert haben. Die PHP-Sicherheitslücke vom 21. Oktober 2026 zeigt, wie stark Unternehmenswebsites von ihrer technischen Umgebung abhängen. Wir erklären den Anlass und vergleichen dynamische Seitenerzeugung mit überwiegend statischen Seiten. So können Sie prüfen, welche Technik Ihre Website tatsächlich benötigt und wer ihren Betrieb verantwortet.
- Für wen?
- Geschäftsführung und Marketingverantwortliche, die nach einem Website-Ausfall ihre technischen Abhängigkeiten prüfen möchten.
- Ihr Bedarf
- Sie möchten verstehen, wann PHP benötigt wird und ob eine überwiegend statische Website zu Ihren Anforderungen passt.
- Das nehmen Sie mit
- Eine Vergleichstabelle, unsere Beobachtung vom 21. Oktober 2026 und fünf Fragen für Ihre Architekturentscheidung.
Das Wichtigste zuerst
Prüfen Sie, welche Technik für die Anzeige Ihrer Seiten laufen muss.
Eine überwiegend statische Unternehmenswebsite kann fertige HTML-Seiten ausliefern, ohne sie für jeden Aufruf durch PHP und eine Datenbank erzeugen zu lassen. Das reduziert bestimmte Abhängigkeiten. Hosting, Domain, sichere Veröffentlichung und eventuell benötigte Zusatzdienste bleiben erforderlich.
WordPress bietet dafür eine zentrale Inhaltsverwaltung, Rollen und Erweiterungsmöglichkeiten. Ob diese Funktionen den laufenden Aufwand rechtfertigen, hängt von Ihrem Unternehmen ab. Eine Leistungswebsite mit zentraler Betreuung hat andere Anforderungen als eine große Redaktion oder ein Kundenportal.
Bei einer aktuellen Störung zuerst den Betrieb klären
Prüfen Sie die Statusmeldung Ihres Hosters und lassen Sie den notwendigen PHP-Sicherheitsstand bestätigen. Ein späterer Architekturwechsel ersetzt kein erforderliches Update. Eine vorsorgliche Abschaltung kann dem Schutz Ihrer Daten dienen.
Einordnung vom 21. Oktober 2026
Die PHP-Sicherheitslücke betrifft eine technische Grundlage vieler Websites.
Das PHP-Projekt veröffentlichte am 21. Oktober 2026 Sicherheitsupdates für zwei kritische Schwachstellen: CVE-2026-109618 und CVE-2026-109619. Sie können die Ausführung fremden Codes ohne Anmeldung ermöglichen. Das Projekt fordert zur sofortigen Aktualisierung auf und nennt PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 als korrigierte Versionen. Bei Herstellerpaketen können zurückportierte Korrekturen relevant sein; lassen Sie den Patchstand vom Verantwortlichen prüfen. [1]
cyon meldete eine vorsorgliche Abschaltung um 15:45 Uhr. Betroffen waren laut Anbieter unter anderem alle Webhostings, Managed Server, Agencyserver und der Sitebuilder. Websites auf diesen Servern waren dadurch vorübergehend nicht erreichbar. Das ist ein konkreter dokumentierter Anbieterfall und kein Nachweis, dass sämtliche PHP-Websites ausgefallen sind. [2]
Die Schwachstellen liegen in PHP. WordPress.org erklärt ausdrücklich, dass dafür kein WordPress-Update erforderlich oder geplant ist. Zuständig ist die Aktualisierung der eingesetzten PHP-Umgebung. [3]
Dieser Abschnitt dokumentiert den Anlass am genannten Datum. Er ist keine laufend aktualisierte Störungsübersicht. Den aktuellen Betriebszustand entnehmen Sie der Statusseite Ihres Anbieters.
Die Grundlagen verständlich erklärt
HTML zeigt Inhalte. PHP kann sie auf dem Server zusammenstellen.
HTML beschreibt die Struktur einer Seite. CSS gestaltet sie, JavaScript ermöglicht Interaktionen im Browser. Auch auf einer WordPress-Website sieht der Besucher am Ende HTML, CSS und gegebenenfalls JavaScript. Der Unterschied liegt darin, wie diese Dateien und Inhalte bereitgestellt werden.
Bei einer dynamischen Website kann der Server die Antwort bei einer Anfrage aus Vorlagen und Daten erzeugen. PHP ist eine mögliche Sprache dafür. Eine statische Website liefert dagegen bereits vorbereitete Dateien aus. Ein vorgeschalteter Cache kann dynamisch erzeugte Seiten zwischenspeichern; ob er bei einem Ausfall weiter ausliefert, hängt von der Einrichtung ab. [4]
Animationen benötigen kein PHP
Bewegungen, Übergänge, Sprungmarken und viele interaktive Tests lassen sich im Browser mit CSS und JavaScript umsetzen. Eine optisch lebendige Website muss deshalb keine dynamische Seitenerzeugung besitzen.
Ein Formular braucht einen geklärten Verarbeitungspfad
Soll eine Nachricht zuverlässig entgegengenommen, geprüft und versendet werden, braucht es dafür einen verarbeitenden Dienst. Dieser kann PHP verwenden, eine andere Servertechnik oder einen externen Anbieter. Ein mit JavaScript vorbereiteter E-Mail-Entwurf ist dagegen noch keine versendete Nachricht. Die gewählte Kontaktlösung muss zu den Geräten und Erwartungen Ihrer Besucher passen.
Eine statische Website kann solche Zusatzfunktionen einbinden. Entscheidend ist, ob ihr Ausfall die komplette Inhaltsanzeige blockiert oder nur die jeweilige Funktion betrifft.
Abhängigkeiten im Betrieb
Was kann ausfallen und was bleibt dann erreichbar?
Die Tabelle vergleicht typische Aufbauten. Die tatsächliche Konfiguration kann davon abweichen. Ein sauber getrennter Zusatzdienst verhält sich anders als eine Funktion, die für den gesamten Seitenaufbau gebraucht wird.
| Prüffrage | WordPress mit dynamischer Seitenerzeugung | Überwiegend statische Inhaltsseiten |
|---|---|---|
| Wie entstehen die Inhalte für Besucher? | PHP verarbeitet die Anwendung und greift üblicherweise auf eine Datenbank zu. Caches können fertige Antworten bereitstellen. | Der Webserver liefert vorbereitete HTML-Dateien aus. PHP wird dafür nicht benötigt. |
| Was passiert ohne PHP-Verarbeitung? | Ungecachte dynamische Aufrufe und die Verwaltung können ausfallen. Das Verhalten des Caches muss geprüft werden. | Die Inhaltsseiten können weiter ausgeliefert werden, wenn ihre Auslieferung unabhängig eingerichtet ist. |
| Was passiert bei einer Abschaltung des gesamten Hostings? | Die Website ist auf diesem Hosting nicht erreichbar. | Auch fertige HTML-Seiten sind auf diesem Hosting nicht erreichbar. |
| Was bedeutet ein Ausfall des Formulardienstes? | Der Kontaktweg kann ausfallen; Umfang und Rückwirkung hängen von der Einbindung ab. | Das Formular kann ausfallen. Unabhängig ausgelieferte Inhalte und alternative Kontaktwege können erreichbar bleiben. |
| Wie pflegt ein Team Inhalte? | Über eine zentrale Oberfläche mit geeigneten Rollen und Vorlagen. | Über einen organisierten Datei- und Veröffentlichungsprozess; ein ergänzendes CMS ist möglich. |
| Wer kümmert sich um Sicherheit? | Hoster und zuständige Betreuung müssen PHP, CMS, Erweiterungen und Wiederherstellung abdecken. | Hoster und Betreuung bleiben für Infrastruktur, Veröffentlichung, Werkzeuge und Zusatzfunktionen verantwortlich. |
Die Tabelle ist eine redaktionelle Entscheidungshilfe. Sie misst weder Ausfallwahrscheinlichkeiten noch belegt sie, dass eine bestimmte Architektur immer sicherer ist.
Unsere Beobachtung am 21. Oktober 2026
Kundenwebsites waren offline. Unsere Inhaltsseiten blieben erreichbar.
Robin berichtete während der Ausfälle, dass betroffene Kundenwebsites auf WordPress-Basis vollständig nicht erreichbar waren. Gleichzeitig war die SQUAREMOON-Website nach seiner Beobachtung erreichbar. Sie wird bei IONOS gehostet. Als konkreten Anbieterhinweis zu den vorsorglichen Abschaltungen nannte er cyon.
Unsere öffentlichen Inhaltsseiten bestehen überwiegend aus vorbereiteten HTML-Dateien mit CSS und JavaScript. Für ihre Darstellung benötigen wir keine PHP-basierte Seitenerzeugung. Einzelne Zusatzfunktionen, beispielsweise die Erfassung aggregierter Seitenaufrufe und interne Werkzeuge, verwenden weiterhin PHP. Auch diese Bestandteile brauchen eine gepflegte und abgesicherte Laufzeitumgebung.
Hier unterscheiden sich sowohl Architektur als auch Hosting-Anbieter. Deshalb lässt sich aus der Beobachtung nicht ableiten, dass allein der Verzicht auf dynamische Seitenerzeugung die Erreichbarkeit verursacht hat. Es handelt sich um Robins Praxisschilderung, nicht um eine unabhängige Verfügbarkeitsmessung oder einen Nachweis, dass alle Zusatzfunktionen währenddessen geprüft wurden.
Warum der Aufbau für uns passt
Unsere Website erklärt Leistungen, stellt Wissen bereit und führt zur Kontaktaufnahme. Robin bündelt ihre Betreuung und arbeitet mit einem dokumentierten Veröffentlichungsprozess. Für diesen Alltag haben wir uns für überwiegend statische Inhaltsseiten entschieden. Eine andere Redaktion kann andere Werkzeuge benötigen.
Fünf Fragen vor einem Systemwechsel
Welche Funktionen rechtfertigen Ihre technischen Abhängigkeiten?
2. Wer bearbeitet die Inhalte?
Eine verantwortliche Person mit technischer Unterstützung oder mehrere Redakteure? Prüfen Sie Freigaben, Vertretung und typische Änderungen.
3. Was muss ohne Zusatzdienst sichtbar bleiben?
Definieren Sie wichtige Leistungsinformationen und einen alternativen Kontaktweg. Lassen Sie prüfen, welche Funktionen unabhängig ausfallen können.
4. Wer übernimmt Updates und Wiederherstellung?
Benennen Sie Verantwortliche für Hosting, Anwendung, Sicherungen und Funktionskontrollen. Das gilt auch bei ausgelagerter Betreuung.
5. Ist der Wechsel den Aufwand wert?
Berücksichtigen Sie Inhalte, bisherige URLs, Weiterleitungen, notwendige Funktionen und spätere Pflege. Ein funktionierendes CMS allein wegen eines einzelnen Vorfalls zu ersetzen, ist noch keine begründete Investition.
Wenn vor allem vorbereitete Informationen benötigt werden und die Betreuung organisiert ist, kann ein statischer Aufbau gut passen. Wenn eine gemeinsame Redaktion oder umfangreiche dynamische Funktionen gebraucht werden, kann ein betreutes CMS sinnvoll sein. Unser Vergleich von WordPress und statischer Website vertieft die Auswahl nach Arbeitsalltag und Pflegekapazität.
Aus dem Anlass lernen
Lassen Sie sich die Ausfallwege Ihrer Website erklären.
Bitten Sie Ihre Betreuung um eine einfache Übersicht: Welche Komponenten müssen für eine Leistungsseite funktionieren? Welche zusätzlichen Dienste braucht das Formular? Wer informiert bei einer Störung und wer prüft nach der Wiederherstellung die wichtigsten Besucherwege?
Eine sinnvolle Trennung kann ermöglichen, dass Leistungsinformationen weiter sichtbar bleiben, wenn eine ergänzende Funktion ausfällt. Ob das für Ihre Website tatsächlich gilt, sollte in einer geeigneten Testumgebung geprüft werden. Testen Sie keine Abschaltungen an produktiven Kundensystemen.
Bei einer laufenden Sicherheitsstörung haben die Schutzmassnahmen und Hinweise Ihres Hosters Vorrang. Klären Sie den bestätigten Patchstand und prüfen Sie anschließend die relevanten Seiten und Kontaktwege. Falls der Anbieter einen Vorfall meldet, stimmen Sie weitere Schritte mit der zuständigen technischen Betreuung ab.
Wenn Sie den Aufbau Ihrer Unternehmenswebsite überprüfen möchten, beginnen wir beim Webdesign und der technischen Umsetzung mit Ihren Inhalten, Besucheraufgaben und dem späteren Betrieb.
Die Entscheidung zum Mitnehmen
Jede notwendige Abhängigkeit braucht einen Nutzen und eine Verantwortung.
Die PHP-Sicherheitslücke vom 21. Oktober 2026 zeigt, dass eine Website auch dann ausfallen kann, wenn ihre Inhalte unverändert sind. Wer den Aufbau kennt, kann Zuständigkeiten und Ausfallfolgen besser planen.
Für viele informationsorientierte Unternehmenswebsites ist eine überwiegend statische Umsetzung eine prüfenswerte Möglichkeit. Sie kann die Inhaltsanzeige von PHP und Datenbankabfragen entkoppeln. Hosting und erforderliche Zusatzfunktionen bleiben Teil der Entscheidung. Wählen Sie den Aufbau, dessen Nutzen Ihr Unternehmen braucht und dessen Betrieb Sie zuverlässig organisieren können.
Welche Technik braucht Ihre Unternehmenswebsite?
Bringen Sie Ihre aktuelle Website, wichtige Besucheraufgaben und die Anforderungen Ihrer Redaktion mit. Gemeinsam prüfen wir, welcher Aufbau zu Ihren Leistungen und Ihrer Betreuung passt.
Website-Aufbau besprechenZum Nachlesen
Quellen und redaktionelle Einordnung
Die verlinkten Primärquellen ergänzen die Empfehlungen dieses Artikels. Die Entscheidungshilfen und Prüfwege sind unsere redaktionelle Einordnung, kein von den Quellen belegtes Erfolgsversprechen. Fiktive Beispiele sind im Text gekennzeichnet. Quellen zuletzt geprüft am 21.10.2026.
- PHP: Security advisory vom 21. Oktober 2026
Primärquelle zu den beiden kritischen Schwachstellen, korrigierten PHP-Versionen und der notwendigen Aktualisierung. Kein Nachweis eines Ausfalls sämtlicher PHP-Websites.
- cyon: Statusmeldung zu den PHP-Sicherheitslücken
Dokumentiert die vorsorgliche Abschaltung betroffener Hosting-Angebote am 21. Oktober 2026 um 15:45 Uhr. Der Artikel ist eine datierte Einordnung, keine aktuelle Statusanzeige.
- WordPress.org Deutsch: Kritisches PHP-Sicherheitsupdate
Unterscheidet das PHP-Sicherheitsupdate von einem WordPress-Update und verweist auf die Prüfung der eingesetzten PHP-Umgebung.
- MDN: Introduction to the server side
Grundlage für die Unterscheidung von statischer Dateiauslieferung, dynamischer Seitenerzeugung und serverseitigen Funktionen. Die Vergleichstabelle ist eine redaktionelle Ableitung.
Autorenfoto: SQUAREMOON.
Weitere Vergleiche & Entscheidungshilfen