Kritische Lücken in PHP und Node.js – und warum Updates allein nicht reichen

Am **21. Oktober 2026** haben PHP und Node.js am selben Tag Sicherheitsupdates veröffentlicht. Bei PHP geht es um zwei kritische Lücken, über die Angreifer **ohne Anmeldung Code auf dem Server ausführen** können. Das PHP-Team ist eindeutig: Zuverlässig schützt nur das Update.

Warum fast jeder Mittelständler betroffen ist

PHP läuft hinter WordPress, vielen Online-Shops und Branchenlösungen. Node.js steckt hinter modernen Web-Anwendungen und internen Tools. Kaum ein Unternehmen betreibt keines von beiden, oft ohne es zu wissen.

Das eigentliche Risiko: Wer ist zuständig?

In Gesprächen hören wir oft: „Darum kümmert sich die Agentur.“ Oder der Hoster. Oder der Softwareanbieter. Die Nachfrage, **wer die Updates einspielt und wann**, bleibt dann häufig unbeantwortet. Genau dort liegt das Risiko. Nicht in der einzelnen Lücke, sondern darin, ob jemand sie rechtzeitig bemerkt und schließt.

IT-Sicherheit hat zwei Seiten

**1. Technik:** Überblick über Systeme und Versionen, Patch-Management, getestete Backups, Firewall und Mehr-Faktor-Anmeldung. Wie wir das im laufenden Betrieb übernehmen, zeigt unsere Seite zu IT-Support und Wartung.

**2. Organisation:** klare Zuständigkeiten, Update-Pflichten in Dienstleisterverträgen, ein Notfallplan und regelmäßige Schulungen. Mehr dazu unter IT-Sicherheit.

Förderung für KMU in NRW

Mit **MID-Digitale Sicherheit** übernimmt die NRW.BANK 50 % der Kosten, bis zu 15.000 € (Stand November 2026). Gefördert werden Analyse, Mitarbeiterschulungen und der erstmalige Aufbau von Basisschutz. Die Plätze werden monatlich verlost, und vor dem Bescheid darf nichts beauftragt werden. Ob Ihr Vorhaben passt, klären wir in der Fördermittelberatung.

Sie möchten wissen, wer bei Ihnen die Updates einspielt? Sprechen Sie uns an.