Wir haben unsere Systeme vorsorglich abgesichert und die verfügbaren Sicherheitskorrekturen eingespielt

Am 21. Oktober 2026 hat das PHP-Projekt Informationen zu zwei kritischen Sicherheitslücken veröffentlicht. Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 können unter bestimmten Voraussetzungen dazu führen, dass Angreifer ohne vorherige Authentifizierung Code auf betroffenen Webservern ausführen können. Das PHP-Projekt empfiehlt daher dringend eine Aktualisierung betroffener Systeme. [php.net]

Wir haben frühzeitig reagiert

Die Sicherheit der von uns betriebenen Systeme und der darauf gespeicherten Daten hat für uns höchste Priorität.

Bereits vor der Veröffentlichung der Sicherheitsupdates haben wir deshalb zusätzliche Schutzmaßnahmen auf unserer Serverinfrastruktur aktiviert, um das potenzielle Risiko bestmöglich zu reduzieren.

Nach Bereitstellung der entsprechenden Sicherheitskorrekturen haben wir diese zeitnah auf unseren Systemen eingespielt.

Die offiziellen Updates stehen für PHP 8.2, 8.3, 8.4 und 8.5 zur Verfügung. Für die älteren Versionen PHP 7.4, 8.0 und 8.1 hat das PHP-Sicherheitsteam aufgrund der Schwere der Sicherheitslücken zusätzlich Quellcode-Backports zur Verfügung gestellt. PHP weist zugleich darauf hin, dass PHP 8.1 und ältere Versionen regulär keine Sicherheitsupdates des PHP-Projekts mehr erhalten und teilweise auf Backports von Distributionen oder LTS-Anbietern angewiesen sind. [php.net]

Auch die älteren, innerhalb unserer Hosting-Umgebung angebotenen PHP-Versionen haben wir mit den für unsere Systeme notwendigen Sicherheitskorrekturen versehen.

Zusätzliche Vorsichtsmaßnahmen

Über die eigentlichen Sicherheitsupdates hinaus haben wir vorsorglich einzelne eigene Dienste vorübergehend deaktiviert, um diese zusätzlichen Prüfungen zu unterziehen.

Die Webseiten unserer Kunden waren von diesen vorsorglichen Abschaltungen nicht betroffen.

Die betreffenden Dienste werden nach Abschluss unserer Sicherheitsprüfungen wieder vollständig zur Verfügung gestellt.

Aktueller Stand

Nach unserem derzeitigen Kenntnisstand liegen uns keine konkreten Hinweise auf eine erfolgreiche Ausnutzung der beiden Sicherheitslücken auf unseren Systemen vor.

Da sich eine mögliche Ausnutzung im Zeitraum vor Installation der Sicherheitskorrekturen jedoch nicht grundsätzlich ausschließen lässt, überwachen und überprüfen unsere Techniker die Systeme weiterhin auf auffällige Aktivitäten.

Was sollten Webseitenbetreiber jetzt tun?

Unabhängig von unseren serverseitigen Sicherheitsmaßnahmen empfehlen wir unseren Kunden, ihre Webseiten und Webanwendungen vorsorglich auf ungewöhnliche Veränderungen zu überprüfen. Dazu gehören beispielsweise:

• unbekannte oder unerwartet veränderte Dateien,
• nicht nachvollziehbare Änderungen an der Webseite oder Anwendung,
• unbekannte oder neu angelegte Benutzerkonten,
• ungewöhnliche administrative Aktivitäten.

Bei Auffälligkeiten empfehlen wir, keine verdächtigen Dateien eigenständig zu löschen, sondern uns zunächst zu kontaktieren, damit eine technische Analyse durchgeführt werden kann.

Hintergrund zu den Sicherheitslücken

Das PHP-Projekt stuft beide Schwachstellen als kritisch ein. Betroffen sein können PHP-Installationen, die Webanfragen verarbeiten. Das PHP-Projekt nennt unter anderem PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. [php.net]

Die korrigierten PHP-Versionen sind: [php.net]

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

Das PHP-Projekt weist ausdrücklich darauf hin, dass temporäre Schutzmaßnahmen eine Aktualisierung nicht vollständig ersetzen und ein Update die sichere Lösung darstellt. [php.net]

Weitere technische Details stellt das PHP-Projekt in seiner offiziellen Sicherheitsmeldung vom 21. Oktober 2026 bereit.