Cyon schaltete über 100 000 Websites ab. Hostpoint patchte in 90 Minuten

Symbolbild: Serverraum am CERN in Genf. Foto: Florian Hirzinger / Wikimedia Commons, CC BY-SA 3.0, zugeschnitten

Um 16 Uhr veröffentlichte das PHP-Projekt am Mittwoch die Korrekturen. Um 17:30 Uhr waren sie bei Hostpoint auf den Servern, berichtet Blick. Angriffe oder Auffälligkeiten stellte der Hoster nach eigenen Angaben keine fest.

Cyon in Basel ging den anderen Weg. Der Hoster schaltete alle Webhostings und Server ab, über 100 000 Websites von Kundinnen und Kunden. «Es gab keine Server, die sicher gewesen wären», sagte Salome Burkardt, Leiterin Marketing und Kommunikation, gegenüber Blick. Laut Blick folgte Cyon damit einer Empfehlung europäischer Cybersicherheitsbehörden. Die Mitarbeitenden arbeiteten in Schichten, manche bis nach vier Uhr früh. Seit den frühen Morgenstunden ist alles wieder online, Hinweise auf ein Eindringen gibt es laut Cyon keine.

Zwei Hoster, zwei Entscheide, beide gut begründet. Für die Kunden fühlte sich der Mittwochabend trotzdem sehr verschieden an.

Was eine Nacht offline kostet

Bei Cyon-Kunden liefen während der Abschaltung keine Shops, keine Kontaktformulare, keine Zahlungsbestätigungen und keine geplanten Newsletter. Cyon rät Shopbetreibern, die Bestellungen aus dieser Zeit zu prüfen. Die Abwägung des Hosters ist trotzdem nachvollziehbar: «Ein gehackter Shop verliert Kundendaten, Reputation und Vertrauen», so Cyon.

Abgeschaltet haben auch andere. Die Universität Genf war am Mittwochabend nicht erreichbar, der Kanton Basel-Stadt fuhr seine Websites vorsorglich herunter, das Tessin deaktivierte einzelne Online-Dienste, meldete Nau. Die Feuerwehr-Plattform Lodur nahm ihre Server vom Netz. Jobs.ch war laut 20 Minuten zeitweise nicht erreichbar.

Warum die Behörden so deutlich werden

Die amerikanische NSA empfahl am 21. Oktober allen Organisationen mit PHP, sich auf das Update vorzubereiten. Wer es nicht sofort einspielen kann, solle das System vom Netz nehmen, bis es abgesichert ist, heisst es in der Mitteilung der NSA. Volker Dusch von der PHP Foundation nannte es laut 20 Minuten das gravierendste Sicherheitsproblem von PHP seit mehr als zehn Jahren.

Gefunden haben die Lücken unabhängig voneinander zwei Sicherheitsfirmen, Calif und Wiz, beide mit Hilfe von KI-Modellen, unter anderem von Google und OpenAI. Der Schweizer Sicherheitsexperte Marc Ruef von der Scip AG erwartet deshalb eine Welle von Angriffen. Angreifer könnten die Korrekturen mit KI auswerten, sagte er gegenüber Blick. Websites, die niemand pflegt, dürften in wenigen Tagen übernommen sein.

Das Bundesamt für Cybersicherheit (BACS) kennt bisher keine Angriffe in der Schweiz, die sich den Lücken zuordnen lassen, schliesst unentdeckte Fälle aber nicht aus. Es rät, betroffene Systeme unverzüglich zu aktualisieren, und erinnert an Geräte, an die kaum jemand denkt: Anwendungen und Geräte, in denen PHP als Baustein steckt, etwa Netzwerkspeicher.

Häufige Fragen

Was ist php2shell?

So heissen die zwei kritischen Lücken in PHP, die das PHP-Projekt am 21. Oktober 2026 geschlossen hat (CVE-2026-109618 und CVE-2026-109619). Über sie können Angreifer ohne Passwort eigenen Code auf einem Webserver ausführen. Betroffen ist fast jede WordPress-Website, die noch nicht aktualisiert ist.

Muss ich als Kundin oder Kunde von Cyon oder Hostpoint etwas tun?

Für die Lücke selbst nicht, sagen beide Hoster laut Blick. Cyon-Kunden mit Shop sollten aber die Bestellungen aus der Zeit der Abschaltung prüfen. Wer einen eigenen Server oder eine Agentur hat, muss das Update selbst einspielen oder einspielen lassen.

Gab es in der Schweiz schon Angriffe?

Dem BACS sind bisher keine bekannt, die sich den Lücken zuordnen lassen. Es schliesst unentdeckte Fälle aber nicht aus und kann noch keine Entwarnung geben.

Ob die eigene Website eine veraltete PHP-Version verrät, zeigt ein kostenloser Schnelltest: meit.ch/php-check. Offenlegung: Die Agentur Meit gehört wie Leitgrad Merag Shahzad.

Hintergrund zu den Lücken und den sicheren Versionen: Zwei Lücken, 9,2 von 10 Punkten: Was KMU mit WordPress-Website heute tun müssen.

Sie lesen Leitgrad öfter? Bei Google als bevorzugte Quelle markieren