Was passiert ist
Am 21. Oktober 2026 veröffentlichte PHP Updates für CVE-2026-109618 und CVE-2026-109619, zusammen als PHP2Shell bekannt. Diese Lücken können Angreifern ermöglichen, ohne Anmeldung Code auf einem betroffenen Webserver auszuführen. Der offizielle PHP-Sicherheitshinweis erläutert die betroffenen Installationen und Updates. Die NSA riet Betreibern, umgehend Updates zu installieren und betroffene Systeme gegebenenfalls vom Netz zu nehmen, falls sie diese nicht absichern können. Eine vorsorgliche Abschaltung ist für sich genommen kein Beleg für einen Einbruch. Betreiber sollten aktuelle Anbieterhinweise einschließlich späterer Meldungen prüfen und diesen Artikel nicht als Checkliste für Updates verwenden.
Was das für Ihre Daten bedeutet
Das unmittelbare Risiko betrifft Dienste mit verwundbaren PHP-Installationen und die Informationen, auf die diese Dienste zugreifen können. Es ist kein Beleg dafür, dass jede Online-Speicherung unsicher ist oder Ihre Dateien geleakt wurden. Als Besucher können Sie keine Updates auf den Servern eines Anbieters installieren. Sie können Ihre Uploads begrenzen, Ihre eigene Software aktuell halten und die offiziellen Sicherheitshinweise des Anbieters prüfen. Ist Ihr Konto betroffen, folgen Sie seinen verifizierten Anweisungen. Meiden Sie Links zum Zurücksetzen des Passworts in unerwarteten Nachrichten: Öffnen Sie den Dienst direkt. Bewahren Sie eine separate Sicherung von Dateien auf, die Sie nicht verlieren dürfen.
Wo Verschlüsselung hilft und wo ihre Grenzen liegen
Wenn Sie Dateien vor dem Hochladen auf Ihrem Gerät verschlüsseln und die Schlüssel außerhalb des Servers aufbewahren, hilft das, ihre Inhalte beim Diebstahl gespeicherter Kopien zu schützen. Es macht nicht jeden Servereinbruch harmlos: Angreifer können weiterhin Metadaten sehen, Dateien löschen oder den Code ändern, den eine Web-App an Ihren Browser sendet. Dieser Code könnte bei der Nutzung der App Schlüssel stehlen. Dieses Risiko beschreibt das Sicherheitsmodell von Proton. Starke Verschlüsselung braucht auch sichere Geräte und vertrauenswürdige Software. Dateien, die nur auf Ihrem Gerät bleiben, werden nicht durch einen Einbruch bei einem Dienst offengelegt, zu dem Sie sie nie hochgeladen haben.
Entscheiden Sie, was auf Ihrem Gerät bleibt
Sie können nicht jede Softwarelücke verhindern, aber entscheiden, wo Ihre privaten Dateien gespeichert werden. Sealby verschlüsselt Tresorinhalte auf Ihrem Gerät. Lassen Sie einen Tresor ausschließlich lokal, wenn Sie seine Inhalte nicht hochladen möchten; die verschlüsselte iCloud-Synchronisierung ist optional und wird in den Einstellungen für jeden Tresor separat aktiviert. Wenn Sie die Synchronisierung aktivieren oder ein verschlüsseltes Backup erstellen, können Kopien außerhalb Ihres Geräts existieren. Ihr Schutz hängt weiterhin davon ab, dass Sie Ihre Entsperrdaten und Ihre Wiederherstellungsphrase sicher aufbewahren. Verschlüsselung schützt einen bereits entsperrten Tresor nicht vor jemandem, der Ihr Gerät kontrolliert, und entfernt keine Originale, die in anderen Apps oder Cloud-Diensten zurückgeblieben sind.