Veröffentlicht von tl;dr – Am 20. Oktober 2026 wurde eine gravierende Sicherheitslücke bekannt, die weltweit für Aufsehen gesorgt hat. Unsere Administratoren haben schnellstmöglich reagiert, Updates installiert und so Gefahren für euch abgewendet. Es wurden unserer Kenntnis nach keine Angriffe gegen ChurchTools ausgeführt.
Gegen 16:00 Uhr: vorsorgliche Abschaltung und Installation der Sicherheitsupdates
17:32 Uhr: ChurchTools wieder erreichbar
17:36 Uhr: ChurchTools Websites wieder erreichbar
Der 21. Oktober 2026 sollte der entspannte Auftakt für unsere jährlichen Team-Tage werden. Drei Tage treffen wir uns in diesem Rahmen – dieses Jahr im schönen Schwarzwald – um gemeinsam an der Firma und ChurchTools zu arbeiten. Doch der Tag startete turbulenter als erwartet.
Das PHP-Team, das die Programmiersprache PHP entwickelt, die wir auch für ChurchTools verwenden, hat am 20. Oktober 2026 eine Sicherheitslücke angekündigt und einen Patch (Behebung dieser Sicherheitslücke) für den Nachmittag des 21. Oktober in Aussicht gestellt. Diese Lücke hat weltweit Wellen geschlagen; die Tagesschau und auch das BSI haben darüber berichtet.
Warum ist die Sicherheitslücke so gefährlich?
Die Sicherheitslücke hat den Namen PHP2Shell bekommen, wird unter den Nummern CVE-2026-109618 und CVE-2026-109619 geführt und kann die Ausführung von Schadcode ohne vorherige Anmeldung ermöglichen. Das PHP-Projekt bestätigt die Nummern in seiner offiziellen Sicherheitsmeldung vom 21. Oktober.
Angreifer, die diese Lücke ausnutzen, könnten darüber im schlimmsten Fall kompletten Zugriff auf die Server und Daten erhalten.
Wie und warum haben wir reagiert?
Uns war von Anfang an klar, das dies keine Lappalie ist, die wir nach unseren Team-Tagen anschauen können, sondern dass wir sofort reagieren müssen. Die Lücke muss auf unseren Systemen geschlossen werden, sobald das PHP-Team das Update dafür bereitgestellt hat. Daher haben sich unsere Administratoren hingesetzt und mit Nachdruck daran gearbeitet, unsere System sicher zu machen, während der Rest des Teams dem Programm der Team-Tage folgte.
Um 16:00 wurde der Patch veröffentlicht. Ab diesem Zeitpunkt wussten nicht nur die „Guten“, um welche Sicherheitslücke es sich handelt. Auch Hacker auf der ganzen Welt haben direkt angefangen, Angriffe durchzuführen. Weltweit wurden Websites offline genommen, um nicht Gefahr zu laufen, Opfer eines Hacking-Angriffs zu werden.
Auch für uns stand fest: Unsere höchste Priorität hat die Sicherheit eurer Daten. Gegen 16:00 haben wir uns dazu entschieden, alle ChurchTools-Systeme und ChurchTools Websites offline zu nehmen. Daher waren unsere Dienste zeitweise nicht verfügbar. So konnten wir die bereitgestellten Updates einspielen, ohne unsere Systeme währenddessen einem möglichen Angriff auszusetzen.
Da auch die App auf ChurchTools zugreift, war diese ebenfalls im genannten Zeitraum nicht funktionsfähig: die Server reagierten nicht.
Eure Daten sind sicher!
Wie bereits erwähnt, ist es unser höchstes Anliegen, dass eure Daten sicher sind. Deshalb haben wir diesen radikalen Schritt der Abschaltung aller Systeme vollzogen. Er war eine präventive und vorsorgliche Maßnahme, um euch und eure Daten zu schützen. Nach aktuellem Kenntnisstand haben wir keine Hinweise auf eine erfolgreiche Ausnutzung der Sicherheitslücke oder einen unbefugten Zugriff auf eure Daten festgestellt.
Was lernen wir daraus?
Sicherheit geht vor. Unsere Arbeiten an den Servern und die Modernisierungsmaßnahmen der letzten Monate haben sich ausgezahlt, sodass wir schneller reagieren konnten. Dennoch sind auch in diesem Stress-Test Dinge aufgefallen, die wir im Nachgang aufarbeiten werden, um unsere Prozesse weiter zu schärfen.
Aber noch ein anderer Punkt ist uns aufgefallen. Trotz unserer Team-Tage haben sich drei Mitarbeiter mit vollem Fokus dieser Thematik annehmen können: Erfahrene Informatiker und System-Administratoren, die die Schwere dieser Lücke einschätzen, sofortige Maßnahmen treffen und in weniger als 2 Stunden alle unsere Systeme wieder sicher online nehmen konnten. ChurchTools konnten wir gegen 17:32 wieder hochfahren und die ChurchTools Websites waren um 17:36 wieder ereichbar.
Wir bitten euch um Entschuldigung für die entstandenen Unannehmlichkeiten und danken euch sehr für euer Vertrauen und eure Geduld während der Downtime.
Rückblickend hat alles gut funktioniert und wir sind dankbar, dass wir unsere Systeme schnellstmöglich aktualisieren konnten und kein Schaden entstanden ist.