Sicherheitsupdate vom 21. Oktober 2026
Hier erklären wir, warum, was wir gemacht haben und was das für dich bedeutet. Kurz vorweg: Blond läuft wieder normal und ist sicher, du musst nichts unternehmen.
Was ist passiert?
Blond ist zu einem grossen Teil in PHP geschrieben. PHP ist eine der meistgenutzten Programmiersprachen im Internet; auch Millionen anderer Websites und Online-Shops basieren darauf. Am 21. Oktober wurden zwei kritische Sicherheitslücken in PHP bekannt, die fast alle PHP-Versionen der letzten Jahre betreffen. Im schlimmsten Fall hätten Angreifer darüber eigenen Programmcode auf einem betroffenen Server ausführen können.
Die Lücken wurden von Sicherheitsforschern entdeckt und vertraulich an das PHP-Team gemeldet. Das europäische IT-Sicherheitszentrum CERT-EU hat am selben Tag vor den Lücken gewarnt und angekündigt, dass das Update noch am gleichen Nachmittag erscheint.
Was haben wir gemacht?
Wir wollten kein Risiko eingehen, solange das Update noch nicht installiert war. Deshalb haben wir Blond vorsorglich vom Internet getrennt:
15.00 Uhr: Wir schalten Blond in den Wartungsmodus. Wer die App öffnet, sieht eine Wartungsseite. Deine Daten bleiben dabei unverändert gespeichert.
Am Nachmittag: Das PHP-Team veröffentlicht das Sicherheitsupdate. Unser Schweizer Hosting-Partner Onlime installiert es direkt auf unseren Servern.
16.45 Uhr: Wir prüfen, ob alles korrekt läuft, und schalten Blond wieder frei.
Während der Wartung haben wir keine Anfragen von aussen mehr an Blond durchgelassen.
Waren meine Daten betroffen?
Nein, nach dem Update haben wir unsere Server-Protokolle des ganzen Tages ausgewertet. Wir haben gezielt nach den Spuren gesucht, die Sicherheitsforscher für diese Lücken beschreiben, zum Beispiel nach ungewöhnlichen Fehlern, Abstürzen oder veränderten Dateien auf dem Server.
Dabei haben wir keine Hinweise darauf gefunden, dass die Lücken bei uns ausgenutzt wurden oder dass Daten betroffen sind.
Ebenfalls haben wir über einen kurzen Zeitraum den Zugriff auf unsere Webserver auf die Schweiz (CH), Liechtenstein (LI) und Österreich (AT) beschränkt. Der Datenverkehr aus allen anderen Ländern war vorübergehend blockiert.
Was heisst das für dich?
Du musst nichts tun. Deine Daten, Rechnungen und Buchungen sind vollständig vorhanden, und du kannst Blond wie gewohnt nutzen. Falls während der Wartung ein Import oder eine geplante Aufgabe nicht gelaufen ist, holt Blond diese automatisch nach.
Wie geht es weiter?
Wir beobachten die Lage weiterhin aufmerksam. Wir auf unseren Servern weitere Schutzmassnahmen aktiviert, die genau diese Art von Angriff erschweren.
Sollten wir neue Erkenntnisse haben, informieren wir hier und per Mail. Danke für dein Verständnis und deine Geduld.
Bei Fragen erreichst du uns jederzeit unter hilfe@blond.swiss.
Jonas Schwendener
CTO bei Blond
Für Technikinteressierte: Es handelt sich um CVE-2026-109618 und CVE-2026-109619 (auch bekannt als „PHP2Shell“). Behoben sind sie unter anderem in PHP 8.4.27, das wir seit dem 21. Oktober einsetzen.