Was am 21. Oktober passiert ist
Am 21. Oktober 2026 haben Unternehmen weltweit ihre Websites und Web-Apps vorsorglich vom Netz genommen. Der Grund: zwei kritische Sicherheitslücken in PHP, zusammengefasst unter dem Namen „PHP2Shell“ (CVE-2026-109618 und CVE-2026-109619), beide mit 9,2 von 10 Punkten bewertet.
PHP ist die Programmiersprache hinter einem großen Teil des Internets, von WordPress und Joomla bis zu Shops und Kundenportalen. Nach Angaben von Sicherheitsforschern können Angreifer über die Lücken unter Umständen Schadcode auf dem Server ausführen, ohne sich anzumelden.
Die EU-Cybersicherheitsstelle CERT-EU riet Organisationen, die nicht sofort patchen können, betroffene Seiten offline zu nehmen. Das PHP-Team zog sein Notfall-Update auf den 21. Oktober, 16 Uhr deutscher Zeit, vor. Viele Unternehmen hatten also die Wahl zwischen Risiko und Stillstand.
Das eigentliche Problem: Deine Website ist ein Wartungsprojekt
PHP2Shell ist kein Einzelfall, sondern ein Symptom. Wer seine Website selbst betreibt, trägt die Verantwortung für jede Schicht darunter. Und zwar rund um die Uhr.
Bei einer klassischen Typo3- oder WordPress-Website sind das typischerweise:
- Server und Betriebssystem: Updates, Firewall, Zugriffsrechte
- PHP-Version: rechtzeitig aktualisieren, bevor der Support endet
- CMS-Kern: jedes Typo3, Wix, WordPress- oder Joomla-Update einspielen und testen
- Plugins und Themes: oft 20 bis 40 Stück, jedes mit eigenem Update-Rhythmus und eigenen Lücken
- SSL, Backups, Monitoring: einrichten, prüfen, erneuern
Im Alltag kümmert sich darum oft ein interner System Administrator, ein Dienstleister oder viel schlimmer: niemand gezielt, bis etwas passiert. Dann muss an einem normalen Mittwochvormittag entschieden werden, ob die Website offline geht. Mit Marketing hat das nichts mehr zu tun.
Was bei HubSpot CMS anders läuft
Bei HubSpot CMS (Content Hub) betreut HubSpot die gesamte Infrastruktur unter deiner Website. Es gibt keinen eigenen Server, keine PHP-Version und keine Plugins, die du selbst patchen musst.
| Aufgabe |
Selbst gehostetes CMS |
HubSpot CMS |
| Server und Sicherheitsupdates |
Du oder dein Hoster |
HubSpot |
| Plugins und Erweiterungen |
Du pflegst jedes einzeln |
Keine Drittanbieter-Plugins nötig |
| Web Application Firewall (WAF) |
Separat einrichten |
Inklusive |
| SSL-Zertifikate |
Einrichten und erneuern |
Automatisch verwaltet |
| CDN und Bedrohungserkennung |
Separat einkaufen |
Inklusive, 24/7 |
| Verfügbarkeit |
Abhängig vom Hoster |
99,95 % Uptime-Garantie |
| Hosting-Kosten |
Monatlich extra |
Im Content Hub enthalten |
Quelle: HubSpot Web Hosting
Der zweite Vorteil ist weniger sichtbar, aber mindestens genauso wichtig: Website und CRM liegen auf einer Plattform. Formulare, Landingpages, Chat und Kontaktdaten laufen ohne Schnittstelle zusammen. Eine Integration weniger heißt auch eine Angriffsfläche weniger.
Ehrlich eingeordnet: Kein System ist unverwundbar
Auch HubSpot kann von Sicherheitslücken betroffen sein. Der Unterschied liegt darin, wer reagieren muss: Ein spezialisiertes Sicherheitsteam patcht die Plattform zentral, statt dass jedes Unternehmen einzeln um 16 Uhr Updates einspielt.
HubSpot CMS ist außerdem nicht für jedes Projekt die richtige Wahl. Weniger gut passt es zum Beispiel, wenn
- deine Website vor allem ein komplexer Onlineshop mit tausenden Produkten ist,
- du tiefe Eingriffe in Server oder Datenbank brauchst,
- Marketing und Vertrieb kein CRM nutzen und das auch nicht planen.
Für B2B-Websites, deren Aufgabe es ist, Leads zu gewinnen und an den Vertrieb zu übergeben, ist HubSpot CMS dagegen eine der stabilsten Optionen am Markt.
Was du jetzt tun solltest
Unabhängig vom CMS: Prüfe heute, ob deine Website von PHP2Shell betroffen ist.
- Herausfinden, auf welcher PHP-Version die Website läuft
- Beim Hoster nachfragen, wann das PHP-Update eingespielt wird
- Prüfen, wer bei dir für Website-Sicherheit zuständig ist (Name, nicht Abteilung)
- Liste aller Plugins und Erweiterungen erstellen und veraltete entfernen
- Ehrlich beantworten: Wie viele Stunden im Jahr kostet uns die Pflege der Website?
Wenn du bei der letzten Frage ins Stocken gerätst, lohnt sich ein Blick auf HubSpot CMS. Als HubSpot Platinum Partner unterstützt made2GROW dich bei Konzeption, Umzug und Umsetzung, inklusive Übernahme deiner Inhalte und SEO-Rankings.
Häufige Fragen
Ist HubSpot CMS von PHP2Shell betroffen?
Websites auf HubSpot CMS laufen auf der von HubSpot verwalteten Infrastruktur. Kunden müssen keine PHP-Version und keine Plugins selbst aktualisieren. Aktuelle Sicherheitsinformationen veröffentlicht HubSpot auf seiner Status- und Trust-Seite.
Was kostet das Hosting bei HubSpot?
Hosting ist im Content Hub enthalten, ohne zusätzliche Gebühren für Speicher oder Traffic.
Verlieren wir beim Umzug unsere Google-Rankings?
Nicht, wenn der Umzug sauber geplant ist: mit Weiterleitungen, übernommenen Meta-Daten und geprüfter URL-Struktur.
Können wir die Website danach selbst pflegen?
Ja. Inhalte werden per Drag-and-drop bearbeitet, ohne Entwickler.
Quellen
