Vorsorgliche Sicherheitswartung wegen kritischer PHP-Schwachstellen
Am 21. Oktober 2026 wurden mit CVE-2026-109618 und CVE-2026-109619 zwei kritische Sicherheitslücken im PHP-Kern veröffentlicht. Sie können unter bestimmten Bedingungen eine nicht authentifizierte Ausführung fremden Codes ermöglichen.
Was wir getan haben
Wir haben unmittelbar alle für uns erreichbaren Systeme inventarisiert und geprüft. Die von uns betriebenen Kunden-Websites im Nobody Workz Webhosting wurden bereits auf die abgesicherten PHP-Versionen 8.4.27 beziehungsweise 8.3.36 aktualisiert und laufen sicher weiter.
Dienste, für die der jeweilige Hersteller noch keinen abgesicherten Build bereitstellt, haben wir vorsorglich vom Netz getrennt. Betroffen sind derzeit:
- die webbasierte Datenbankverwaltung,
- die Nobody Workz Gameserver-Verwaltung,
- die Webhosting-Verwaltungsoberfläche.
Die eigentlichen Gameserver werden damit nicht pauschal als ausgefallen gemeldet. Da die benötigte Nobody Workz Gameserver-Verwaltung vorsorglich offline ist, sind die Gameserver-Verwaltungsfunktionen im Kundenportal derzeit jedoch nicht erreichbar. Kunden-Websites, Datenbanken und unsere übrigen nicht betroffenen Dienste bleiben verfügbar.
Aktueller Sicherheitsstand
Uns liegen derzeit keine belastbaren Hinweise auf einen erfolgreichen Angriff, einen Datenabfluss oder bleibende Schäden vor. Die Abschaltungen erfolgen ausschließlich vorsorglich zum Schutz unserer Infrastruktur und der Daten unserer Kundinnen und Kunden.
Wir beobachten die Hersteller-Repositories fortlaufend. Sobald abgesicherte Builds verfügbar sind, testen wir sie, spielen sie ein und nehmen die betroffenen Dienste erst nach verifiziertem Patchstand wieder online. Über die Wiederinbetriebnahme informieren wir erneut auf der Homepage, im Discord und per E-Mail.
Wir entschuldigen uns für die Unannehmlichkeiten. Die Ursache liegt außerhalb unseres Einflussbereichs; die vorsorglichen Maßnahmen sind unsere bewusste Entscheidung, Sicherheit vor kurzfristige Verfügbarkeit zu stellen.
Wichtige Quellen
- Offizielle PHP-Sicherheitsmeldung und Releases
- Huntress: PHP2Shell – CVE-2026-109618 und CVE-2026-109619
- FOCUS Online: Gravierende Sicherheitslücke bedroht weltweit Webseiten
Stand: 21. Oktober 2026, 19:05 Uhr (MESZ)
Update vom 22. Oktober 2026
Für die webbasierte Datenbankverwaltung und die Nobody Workz Gameserver-Verwaltung stehen inzwischen abgesicherte Hersteller-Images zur Verfügung. Wir haben die Images eingespielt und die enthaltenen PHP-Versionen technisch verifiziert: die webbasierte Datenbankverwaltung läuft auf PHP 8.3.36, die Nobody Workz Gameserver-Verwaltung auf PHP 8.5.12. Beide Dienste sind wieder erreichbar. Damit stehen auch die Gameserver-Verwaltungsfunktionen im Kundenportal wieder zur Verfügung.
Die Webhosting-Verwaltungsoberfläche blieb zunächst vorsorglich gesperrt, bis auch deren interne PHP-Laufzeit nachweislich auf einem korrigierten Stand war. Die bereits aktualisierten Kunden-Websites im Nobody Workz Webhosting bleiben online.
Abschluss vom 23. Oktober 2026
Auch die interne Laufzeit unserer Webhosting-Verwaltung wurde inzwischen mit dem offiziellen Sicherheitsupdate versehen und auf PHP 8.4.27 aktualisiert. Der vollständige Patchstand wurde direkt auf dem System verifiziert. Die Verwaltungsoberfläche wurde anschließend kontrolliert gestartet und intern wie öffentlich erfolgreich getestet.
Damit sind alle vorsorglich eingeschränkten Nobody-Workz-Dienste wieder erreichbar. Website, Kundenportal, webbasierte Datenbankverwaltung, Gameserver-Verwaltung, Webhosting-Verwaltung und die zugehörigen Kunden-Websites arbeiten wieder regulär.
Unsere abschließende Prüfung ergab weiterhin keine belastbaren Hinweise auf einen erfolgreichen Angriff, einen Datenabfluss oder bleibende Schäden. Die vorsorgliche Sicherheitswartung ist damit abgeschlossen. Vielen Dank für euer Verständnis.
Abschluss: 23. Oktober 2026, 16:12 Uhr (MESZ)