Wer am Mittwoch lokale Nachrichten lesen oder online etwas bei einer Organisation regeln wollte, konnte auf eine nicht erreichbare Website stoßen. Der Anlass sind zwei schwere Sicherheitslücken in PHP, der Programmiersprache, auf der viele Websites laufen. Administratoren nahmen Websites vorübergehend vom Netz, um das Risiko eines Missbrauchs zu begrenzen.
Rolderpost vorübergehend offline
Bei einer Kontrolle um 18.19 Uhr zeigte Rolderpost noch einen Hinweis, dass die Website vorsorglich offline genommen worden war. Die Dorfzeitung schreibt darin, dass es sich um ein Problem in PHP handelt, nicht um eine Schwachstelle, die nur für Rolderpost gilt. Laut derselben Meldung gibt es keine Anzeichen dafür, dass die Website übernommen wurde oder dass Daten offengelegt wurden. Die Seite wird wieder verfügbar, sobald das erforderliche Sicherheitsupdate erfolgreich installiert ist.
Auch die Gemeinde Aa en Hunze meldete am Mittwoch, dass eine Reihe von Online-Diensten vorsorglich nicht verfügbar war, wegen eines möglichen Softwarelochs. Die kommunale Homepage selbst war bei unserer Kontrolle erreichbar. Die Gemeinde betont, dass es keine Hinweise darauf gibt, dass ihre Website gehackt wurde.
Das Drents Archief warnte ebenfalls vor vorübergehenden Problemen. Anbieter nahmen Systeme vorsorglich offline, mit Folgen für die Suche in Sammlungen und das digitale Anzeigen von Archivalien. Laut dem Archiv betrifft das auch das Geheugen van Drenthe und AlleKolonisten.nl.
Vorsorglich offline ist nicht dasselbe wie gehackt
PHP verarbeitet auf dem Server unter anderem Daten für Websites und Webanwendungen. Durch die Lücken könnten Angreifer auf verwundbaren Systemen eigene Befehle ausführen. Das Nationaal Cyber Security Centrum empfahl Administratoren daher, pro System abzuwägen, ob zusätzliche Maßnahmen nötig sind, wie etwa eine vorübergehende Abschaltung.
Eine Website, die eine Wartungsmeldung anzeigt, ist damit also nicht automatisch gehackt. Das Offline-Nehmen kann gerade eine Vorsichtsmaßnahme sein, in Erwartung eines Sicherheitsupdates und von Kontrollen durch den Administrator.
Updates inzwischen verfügbar
Das PHP-Team hat am Mittwoch Sicherheitsupdates veröffentlicht. Das NCSC meldete um 15.50 Uhr, dass diese verfügbar seien, und empfiehlt, die Updates einzuspielen. Für Besucher bedeutet das nicht, dass sofort wieder alle Websites funktionieren: Hosting-Unternehmen und Administratoren müssen die Updates zuerst installieren und ihre Systeme prüfen.
Rolde.nl blieb erreichbar
Rolde.nl wurde am Mittwoch nicht vorsorglich offline genommen und blieb erreichbar. Welche Maßnahmen nötig sind, hängt von der Situation der jeweiligen Website und der Abwägung des Administrators ab. Dass eine Website online bleibt, bedeutet für sich allein nicht, dass sie kein PHP verwendet.
Stand der Dinge: Mittwoch, 21. Oktober 2026, Kontrolle der genannten Homepages um 18.19 Uhr. Die Erreichbarkeit kann sich danach geändert haben. Diese Kontrolle ist keine Untersuchung der Sicherheit der Websites.
