Clockflux

Wenn der Patch nicht warten kann: Überstunden machen und sie zurückholen

Mentale GesundheitArbeitszeit und Gehalt6 Min. LesezeitVon

Am Mittwoch, dem 21. Oktober, war für viele Menschen, die Server betreuen, der Abend schon verplant. PHP und Node.js haben an diesem Tag beide Sicherheitsupdates veröffentlicht, und in beiden steckten Lücken, über die ein Angreifer von außen Code auf einem Server ausführen konnte. Wenn es dein Job ist, Websites oder APIs am Laufen zu halten, war das kein Tag, um um fünf Feierabend zu machen.

Die meisten unserer bisherigen Beiträge drehten sich darum, deine Abende zu schützen, und um die Erholung zwischen zwei Arbeitstagen. Dieser hier handelt von den Momenten, in denen Länger-Arbeiten wirklich die richtige Entscheidung ist, und davon, was danach kommt.

Was am 21. Oktober passiert ist

PHP. Das PHP-Projekt hat auf GitHub zwei Sicherheitshinweise veröffentlicht, CVE-2026-109618 und CVE-2026-109619. Beide gelten als kritisch und sind mit 9,2 bewertet. Die erste Lücke entsteht dadurch, wie PHP damit umgeht, wenn mitten in einer Anfrage der Speicher ausgeht. Bei der zweiten bleibt Zustand einer bereits beendeten Anfrage in freigegebenem Speicher zurück, wo ihn die nächste Anfrage desselben Workers aufgreifen kann. In beiden Fällen schreiben die Hinweise, dass ein Angreifer ohne Anmeldung Code mit den Rechten des Webserver-Benutzers ausführen könnte. Die Korrekturen stecken in PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12.

Die Analyse von Google Cloud bringt das Ausmaß in einem Satz auf den Punkt: Betroffen sind alle PHP-Versionen von 5.4 bis 8.5.11, und für Version 8.1 und älter, die das Support-Ende erreicht haben, gibt es keine Korrekturen. Außerdem weist sie darauf hin, dass es nicht reicht, das Paket zu aktualisieren. Bereits laufende PHP-Worker behalten den alten Code im Speicher, bis du sie neu startest.

Node.js. Am selben Tag hat Node.js Sicherheitsreleases veröffentlicht, die zehn Schwachstellen beheben, vier davon mit hohem Schweregrad. Die schwerwiegendste, CVE-2026-111497, steckt im Brotli-Decoder, der in Node.js enthalten ist. Fehlerhaft komprimierte Daten können ihn dazu bringen, über das Ende eines internen Puffers hinauszuschreiben. Wer eine Anwendung dazu bringt, seine Daten mit node:zlib zu entpacken, könnte sie zum Absturz bringen, ihren Speicher auslesen oder Code ausführen. Betroffen sind Node.js 22, 24 und 26, die korrigierten Versionen sind 22.23.4, 24.22.1 und 26.12.1.

An einem einzigen Mittwoch mussten also sehr viele Server im Netz gepatcht, getestet und neu gestartet werden, viele davon so schnell wie möglich. Jemand musste das erledigen, und für viele hieß das: ein langer Tag, eine späte Nacht oder beides.

Manche Überstunden sind es wert

Wir warnen in diesem Blog oft vor langen Arbeitszeiten, deshalb sagen wir es hier ganz offen: Ein Tag wie dieser ist ein guter Grund, länger zu arbeiten. Eine bekannte Lücke, durch die Fremde Code auf deinen Servern ausführen können, wartet nicht höflich bis Montag. Sie schnell zu schließen schützt deine Nutzer, deine Kolleginnen und Kollegen und mit etwas Glück auch dein eigenes Wochenende.

Solche Überstunden sind vertretbar, weil sie selten sind und einen echten Anlass haben. Ein Sicherheitsrelease ist ein Ereignis mit Anfang und Ende. Du weißt, warum du bleibst, du weißt ungefähr, wann du fertig bist, und hinterher kannst du den Grund benennen.

Schwierig wird es, wenn das Ereignis vorbei ist, die Stunden aber nicht. Die gepatchten Server laufen, und am nächsten Morgen wartet ein Bericht, ein Rückstau von einem Tag und ein paar Systeme, die jemand vergessen hat. Dann wird eine dritte Lücke bekannt, oder das nächste Release steht an. Aus einer späten Nacht wird eine späte Woche, und die späte Woche wird zur normalen, ohne dass das jemand beschlossen hätte.

Was die lange Phase kostet

Die Belege haben wir in früheren Beiträgen schon behandelt, hier also die Kurzfassung. Lange Arbeitswochen gehen mit mehr Burnout einher und damit, dass die Arbeit ins Privatleben hineinreicht. Das zeigt die norwegische Studie in wo Arbeit endet. Kurze Pausen zwischen Arbeitstagen gehen mit weniger Schlaf und mehr Krankheitstagen einher, das haben wir uns in den 11 Stunden zwischen zwei Arbeitstagen angeschaut.

Es gibt auch eine ganz praktische Seite. Patchen unter Druck ist sorgfältige Arbeit: Hinweise lesen, Versionen prüfen, daran denken, die Worker neu zu starten. Genau die Art von Aufgabe, die müde Menschen falsch machen, und ein vergessener Neustart lässt einen Server gepatcht aussehen, während er noch den alten Code ausführt.

Woran du merkst, dass es Zeit ist, die Stunden zurückzuholen

  1. Gib dem Ereignis einen Namen. Schreib auf, warum du länger arbeitest und woran du erkennst, dass du fertig bist: „PHP auf allen Servern gepatcht und Worker neu gestartet“. Sobald das stimmt, enden die Überstunden.
  2. Halte die Stunden fest, auch die, um die niemand gebeten hat. Stempel ein, wenn du anfängst, und aus, wenn du aufhörst, auch die halbe Stunde auf dem Sofa, in der du die Logs prüfst. Zeit, die du nie notiert hast, kannst du nicht zurückholen.
  3. Hol dir innerhalb von ein bis zwei Wochen etwas zurück. Ein späterer Start am Tag danach, ein früher Feierabend am Freitag oder ein ganzer Tag, wenn die Nacht lang war. Je länger du wartest, desto leichter vergisst du, dass dir die Zeit zusteht.
  4. Schütze die Ruhe der nächsten Nacht. Wenn du um Mitternacht fertig warst, sitz nicht um acht schon wieder am Schreibtisch. Nach dem Arbeitszeitgesetz (§ 5) müssen zwischen dem Ende eines Arbeitstags und dem Beginn des nächsten mindestens elf Stunden Ruhezeit liegen, und das hat seinen Grund.
  5. Schau auf den Saldo, nicht auf den Tag. Eine späte Nacht ist in Ordnung. Wenn deine Überstunden auch einen Monat nach dem Ende des Vorfalls weiter steigen, ist nicht mehr der Vorfall der Grund, warum du länger bleibst.
  6. Mach es beim nächsten Mal leichter. Schreib auf, was dich aufgehalten hat: ein Server, von dem niemand wusste, eine alte Version, die sich nicht aktualisieren ließ. Mit dieser Liste wird das nächste Sicherheitsrelease zu einem Abend statt zu einem Wochenende.

Wenn dein Arbeitgeber Überstunden mit Freizeit ausgleicht, erklärt der Leitfaden zu Freizeitausgleich und Gleitzeit, wie diese Stunden üblicherweise entstehen und genommen werden und warum es sich lohnt, die Regeln schriftlich zu haben.

Wo Clockflux ins Spiel kommt

Die Ansicht „Gesundheit“ in Clockflux führt einen laufenden Überstundensaldo: die Stunden jeder abgeschlossenen Woche abzüglich ihres Solls, aufaddiert. Ein Diagramm zeigt, wie sich dieser Saldo über die Zeit entwickelt hat, mit einer Aufschlüsselung deiner Stunden gegenüber dem Soll für jede der letzten Wochen.

Wenn du diese Mittwochnacht mit Patchen verbracht hast, taucht diese Woche im Diagramm als Sprung auf, sobald sie vorbei ist. Entscheidend ist, was die Linie danach tut. Sinkt sie in den folgenden Wochen, weil du später angefangen und früher aufgehört hast, hast du dir die Zeit zurückgeholt. Steigt sie weiter, ist das das Signal, innezuhalten und einen Tag freizunehmen.

Um dir einen Tag zurückzuholen, lass ihn als ganz normalen Arbeitstag stehen und stempel nicht ein. Das Soll dieses Tages wird von deinem Saldo abgezogen, und das Diagramm sinkt mit. Markiere ihn nicht als freien Tag im Kalender, denn dadurch fällt der Tag aus deinem Soll heraus und der Saldo bleibt, wo er war. Auch der Status oben in der Ansicht „Gesundheit“ hilft: Eine ruhigere Phase, in der du aufgebaute Überstunden abbaust, zählt weiterhin als im Plan.

Im kostenlosen Tarif umfassen die Statistiken der Ansicht „Gesundheit“ das laufende Jahr, mit Clockflux Pro siehst du deinen gesamten Verlauf. Für eine einzelne Woche rechnet der Überstundenrechner deine Stunden gegen dein Soll auf.

Falls du dich fragst: Die Clockflux-API ist in Go geschrieben und unsere Websites werden als statische Dateien ausgeliefert, wir haben das Ganze diesmal also von der Seitenlinie aus beobachtet.

Wenn der Druck, Bereitschaft zu haben oder immer diejenige oder derjenige zu sein, die oder der alles repariert, deinen Schlaf oder deine Gesundheit beeinträchtigt, sprich bitte mit jemandem: deiner Ärztin oder deinem Arzt, einer Fachperson für psychische Gesundheit oder einer Mitarbeiterberatung, falls dein Arbeitgeber eine anbietet. Deine Stunden zu erfassen kann dir ein Muster zeigen. Es ersetzt keine Unterstützung.