Wie VeloCore den Wirtschaftsverlag trotz kritischer Sicherheitsupdates online hielt.
Zwei kritische PHP-Sicherheitslücken, dringende Updates und acht Neustarts. Während zahlreiche Systeme unter Druck standen, blieben sämtliche Nachrichten- und Fachportale des österreichischen Wirtschaftsverlags durchgehend erreichbar. Möglich machte das die VeloCore Fast-Path-Architektur.
Kritische Sicherheitslücken erfordern sofortiges Handeln
Am 21. Oktober 2026 veröffentlichte das PHP-Entwicklerteam außerplanmäßige Sicherheitsupdates für mehrere PHP-Versionen.
Hintergrund waren zwei kritische Schwachstellen (CVE-2026-109618 und CVE-2026-109619) mit einem CVSS-Wert von 9,2. Unter bestimmten Bedingungen ermöglichten sie Angreifern die Ausführung von Schadcode auf betroffenen Servern – teilweise noch bevor der eigentliche Anwendungscode ausgeführt wurde.
Ein sofortiges Update war dringend erforderlich.
Unsere Systeme wurden auf die gepatchten Versionen PHP 8.4.27 und 8.5.12 aktualisiert. Insgesamt waren dafür acht PHP-Neustarts notwendig.
Acht Neustarts. Keine Unterbrechung.
Für klassische dynamische WordPress-Websites können PHP-Neustarts vorübergehende Unterbrechungen verursachen.
Beim österreichischen Wirtschaftsverlag zeigte sich dagegen, was eine konsequent entkoppelte Publishing-Architektur leisten kann.
Das Ergebnis der Aktualisierung:
- 8 PHP-Neustarts
- 0 Sekunden festgestellte Website-Downtime
- Sämtliche Verlagsportale durchgehend erreichbar
- Keine festgestellten Unterbrechungen des Redaktionsbetriebs
- Kein Wartungsfenster erforderlich
- Keine erfolgreichen Angriffe festgestellt
Während externe Systeme teilweise nicht erreichbar waren, liefen die mit VeloCore betriebenen Verlagsportale störungsfrei weiter.
Das Geheimnis: PHP wird zur Auslieferung nicht benötigt.
VeloCore verfolgt einen grundlegend anderen Ansatz als klassisches WordPress.
Artikel, Ressortseiten und weitere Inhalte werden bereits vor dem Seitenaufruf aufbereitet und als optimierte HTML-Artefakte bereitgestellt.
Der Apache-Webserver liefert diese Dateien über den VeloCore Fast-Path direkt aus.
Das bedeutet für die öffentliche Seitenauslieferung:
Kein PHP. Kein WordPress. Keine Datenbankabfragen.
Selbst wenn PHP während eines Updates vorübergehend nicht verfügbar ist, können bereits erzeugte Seiten weiterhin ausgeliefert werden.
WordPress bleibt selbstverständlich für die Redaktion und dynamische Funktionen erhalten. Sicherheitsupdates bleiben deshalb zwingend notwendig. Die öffentliche Auslieferung ist davon jedoch weitgehend unabhängig.
Hochverfügbarkeit muss kein Vermögen kosten.
Professionelle Verlage benötigen zuverlässige Publishing-Systeme. Schließlich bedeuten Ausfälle nicht nur technische Probleme, sondern potenziell verlorene Leser, Reichweite und Werbeumsätze.
VeloCore zeigt, dass sich eine hohe Verfügbarkeit bereits durch eine konsequent optimierte Architektur erreichen lässt – ohne zwangsläufig komplexe Enterprise-Infrastruktur betreiben zu müssen.
Wir sprechen nicht nur über Hochverfügbarkeit. Wir demonstrieren sie im produktiven Verlagsbetrieb.
Die Ereignisse vom 21. Oktober 2026 liefern dafür einen weiteren praktischen Beleg.
VeloCore – WordPress bleibt. Die technischen Grenzen nicht.
Quellen: Offizielle PHP-Sicherheitsmitteilung · PHP Foundation – Technische Hintergründe