Organisationen
Jede Organisation mit ungepatchtem PHP ist exponiert. Das sind diejenigen, die sichtbar gehandelt haben — meist vorsorgliche Ausfälle, keine bestätigten Einbrüche.
Zuletzt geprüft 2026-10-22
Offline heißt nicht gehackt
Keine der unten genannten Organisationen hat eine Kompromittierung gemeldet. Einen Dienst zum Patchen vom Netz zu nehmen ist eine vorsichtige Reaktion auf einen kritischen Bug — und ein gutes Zeichen. Aufgeführt sind nur geprüfte Einträge mit Quelle; zuletzt geprüft am 2026-10-22.
Nahm app.bamboohr.com und www.bamboohr.com am 21. Okt. um 11:51 UTC vorsorglich vom Netz (Rechenzentren in den USA, Kanada und Irland) und warnte, dass die Lohnabrechnung unterbrochen würde. Fix um 15:03 UTC eingespielt; um 16:01 UTC lief die Validierung noch. Kein Einbruch gemeldet.
Quelle: BambooHR status page
Am 21. Okt. vorsorglich vom Netz genommen. Laut Logius funktionierte die Anmeldung per DigiD bei anderen Organisationen weiter. Das NCSC sah keinen Missbrauch. Das erklärt, warum die Niederlande das Suchinteresse anführen.
Quelle: NOS
WAF-Regeln für alle Pläne seit 03:02 UTC am 21. Okt. live; meldet frühe Angriffe und veränderte Payloads.
Quelle: Cloudflare blog
Veröffentlichte gepatchte PHP-Images um 07:41 UTC am 21. Okt., vor dem koordinierten Release.
Quelle: PHP Foundation
Kein PHP2Shell-Opfer. Ein separater Vorfall im selben Nachrichtenzyklus: Acht schwache private Schlüssel von Zwischen-CAs von eMudhra wurden rekonstruiert und am 20. Okt. offengelegt. Mozilla verteilte OneCRL-Sperrungen; aktualisieren Sie Browser, Trust Stores (z. B. certifi 2026.10.19) und Go (1.27.3 / 1.26.10).
Quelle: Trilogy AI