Letzte Aktualisierung: 21.10.2026 21:27
Die Sicherheitsupdates wurden erfolgreich abgeschlossen. Alle Server wurden mit den erforderlichen Sicherheitspatches aktualisiert. Die Arbeiten sind damit beendet.
Aktueller Status
Wir wurden bereits heute Morgen über das Bundesamt für Sicherheit in der Informationstechnik (BSI) und weitere Sicherheitsmeldewege über zwei kritische Sicherheitslücken in PHP informiert.
Seitdem arbeiten wir mit Hochdruck daran, die erforderlichen Sicherheitsupdates für unsere Hosting-Systeme vorzubereiten und schnellstmöglich bereitzustellen.
Die ersten korrigierten PHP-Pakete werden seit dem späten Nachmittag schrittweise bereitgestellt. Aufgrund der zahlreichen unterstützten PHP-Versionen und Systemvarianten benötigen die notwendigen Build- und Testprozesse zusätzliche Zeit.
Wir rechnen derzeit damit, die Sicherheitsupdates im Laufe der kommenden Nacht (21.10.2026) auf unseren Hosting-Systemen installieren zu können. Einen verbindlichen Zeitpunkt können wir aktuell nicht nennen.
- PHP 8.5
- PHP 8.4
- PHP 8.3
- PHP 8.2
- PHP 8.1
- PHP 8.0
- PHP 7.4
- —
⚠ WICHTIG: PHP-Versionen dauerhaft abgeschaltet!
Aufgrund der kritischen Sicherheitslücken haben wir folgende veraltete PHP-Versionen mit sofortiger Wirkung von sämtlichen Hosting-Servern entfernt:
PHP 5.4 · PHP 5.6 · PHP 7.0 · PHP 7.1 · PHP 7.2 · PHP 7.3
Handlungsbedarf für betroffene Kunden:
Sollten Sie noch eine dieser PHP-Versionen verwendet haben,
müssen Sie Ihre Webseite auf eine neuere PHP-Version
umstellen und deren Kompatibilität prüfen.
Bis dahin kann die Funktion Ihrer Webseite
nicht gewährleistet werden.
Eine erneute Bereitstellung dieser PHP-Versionen ist aus Sicherheitsgründen ausgeschlossen.
Hintergrund der Sicherheitslücken
Am 21. Oktober 2026 wurden zwei äußerst kritische Sicherheitslücken in PHP veröffentlicht:
- CVE-2026-109618
- CVE-2026-109619
Beide Schwachstellen werden mit einem CVSS-Wert von 9,2 als kritisch eingestuft. Sie betreffen zahlreiche PHP-Versionen, einschließlich älterer Versionen bis zurück zu PHP 5.
Unter bestimmten Voraussetzungen können Angreifer die Schwachstellen aus der Ferne ausnutzen und Schadcode auf betroffenen Webservern ausführen.
heise security – Kritische Sicherheitslücken erlauben Codeeinschleusung in PHP
Was bedeutet das für unsere Kunden?
Die Sicherheitslücken befinden sich direkt in PHP und nicht in einer bestimmten Website oder einem einzelnen Content-Management-System.
Die Aktualisierung der serverseitig bereitgestellten PHP-Versionen übernehmen wir zentral. Unsere Kunden müssen diese Updates nicht selbst installieren.
Bis zur vollständigen Bereitstellung der Sicherheitsupdates besteht jedoch ein potenzielles Sicherheitsrisiko.
Wir empfehlen unseren Kunden daher, das individuelle Risiko ihrer Website zu bewerten und gegebenenfalls eine vorübergehende Deaktivierung bis zur Installation der Sicherheitsupdates in Betracht zu ziehen.
Dauerhafte Abschaltung veralteter PHP-Versionen
Im Zuge der aktuellen kritischen Sicherheitslücken haben wir uns dazu entschieden, sämtliche PHP-Versionen von 5.6 bis einschließlich 7.3 vollständig von unseren Hosting-Servern zu entfernen.
Diese Versionen werden bereits seit mehreren Jahren nicht mehr offiziell mit Sicherheitsupdates versorgt und von uns mit sog. Backports manuell versorgt. Aufgrund der nun bekannt gewordenen schwerwiegenden Schwachstellen ist ein sicherer Weiterbetrieb aus unserer Sicht nicht mehr vertretbar.
Die PHP-Versionen 5.6 bis 7.3 stehen daher ab sofort auf unseren Hosting-Systemen nicht mehr zur Verfügung. Eine erneute Bereitstellung ist nicht vorgesehen.
Kunden, deren Webseiten oder Anwendungen noch auf diese veralteten PHP-Versionen angewiesen sind, müssen ihre Anwendungen auf eine aktuell unterstützte PHP-Version umstellen.
Diese Maßnahme dient dem Schutz unserer Hosting-Infrastruktur und aller darauf betriebenen Kundenanwendungen.
