PHP2Shell: Warum die merki-Kassa weiterlief

Am 21. Oktober 2026 wurde unter dem Namen „PHP2Shell“ eine der schwersten Sicherheitslücken der letzten Jahre öffentlich. Betroffen ist PHP, die Programmiersprache, auf der ein großer Teil aller Webseiten und Webshops läuft. Über die Lücke können Angreifer ohne Anmeldung fremden Code auf einem Server ausführen. Fachleute stufen sie mit 9,2 von 10 Punkten als kritisch ein.

Für viele Betriebe hieß das: Webseite, Shop oder Bestellsystem mussten sofort aktualisiert oder vorsorglich vom Netz genommen werden.

Was das für merki-Betriebe bedeutet

Wir haben am Tag der Veröffentlichung alle unsere Systeme geprüft. Das Ergebnis:

Das Hauptsystem von merki war nicht betroffen. Kassa, Bestellseiten, Küchenmonitor und Cockpit laufen auf unseren eigenen Servern, und dort kommt PHP gar nicht zum Einsatz. Es gab also nichts, was angegriffen werden konnte, und nichts, was wir abschalten mussten.

Für Ihren Betrieb heißt das konkret:

• Bestellungen über Ihre Bestellseite kamen weiter an.
• Bonieren an der Kassa und die Weitergabe an Küche und Bar funktionierten wie immer.
• Kassieren war jederzeit möglich, bar oder mit Karte vor Ort, mit gültigem RKSV-Beleg.

Selbst wenn ein externer Online-Zahlungsdienst ausgefallen wäre, hätten Ihre Gäste weiter bar oder mit Karte zahlen können. Der Betrieb wäre nicht stillgestanden.

Warum das kein Zufall ist

Eine Kassa muss laufen, auch wenn rundherum etwas schiefgeht. Deshalb haben wir merki von Anfang an so gebaut:

• Eigene Server statt geteilter Webspace. Ihre Daten und Ihre Kassa liegen auf Servern, die nur wir betreiben.
• Wenige, bewusst gewählte Bausteine. Was nicht installiert ist, kann auch nicht angegriffen werden.
• Kernfunktionen getrennt von Zusatzdiensten. Fällt ein Zusatzdienst aus, laufen Bestellen, Bonieren und Kassieren trotzdem weiter.

Was Sie tun sollten

Als merki-Betrieb müssen Sie wegen PHP2Shell nichts unternehmen.

Betreiben Sie zusätzlich eine eigene Webseite, etwa mit WordPress, oder einen Webshop bei einem anderen Anbieter, fragen Sie dort nach, ob PHP bereits auf eine reparierte Version aktualisiert wurde (8.5.12, 8.4.27, 8.3.36 oder 8.2.35).

Haben Sie Fragen zur Sicherheit Ihres Betriebs? Rufen Sie uns an, wir sehen gemeinsam nach.