Sicherheitshinweis: Kritische Schwachstelle in PHP

Sehr geehrte Kundin, sehr geehrter Kunde,

aktuell sind kritische Sicherheitslücken in PHP bekannt geworden (CVE-2026-109618 und CVE-2026-109619).

Sie betreffen nahezu alle PHP-Versionen und können es Angreifern ermöglichen, aus der Ferne Schadcode auf Webservern auszuführen.

Das BSI rechnet mit großflächigen Angriffen kurz nach Veröffentlichung der Sicherheitsupdates.

Was wir für Sie tun:

Für unsere Webhosting- und Managed-Kunden spielen wir die Sicherheitsupdates ein, sobald sie verfügbar sind.

Die Veröffentlichung ist für heute, 21. Oktober, um 16:00 Uhr angekündigt.

Wenn Ihre Website bereits eine aktuelle PHP-Version nutzt, müssen Sie nichts weiter tun.

Was Sie tun sollten:

Für ältere PHP-Versionen (8.1 und älter) wird ein Fix voraussichtlich erst in den nächsten Tagen zur Verfügung stehen.

Das BSI ruft dazu auf, Updates umgehend einzuspielen.

CERT-EU empfiehlt, Anwendungen, die nicht zeitnah aktualisiert werden können, bis dahin vom Netz zu nehmen.

Diese älteren Versionen sind in LiveConfig bereits seit Längerem als kritisch markiert und für neue Webhostings nicht mehr verfügbar.

Falls Ihre Website bei uns noch mit einer dieser Versionen läuft, stellen Sie bitte umgehend auf eine aktuelle PHP-Version um. Prüfen Sie vorher, ob Ihre Anwendung (z. B. CMS und Plugins) mit der neuen Version kompatibel ist, und legen Sie ein Backup an.

Bei Fragen oder wenn Sie Unterstützung bei der Umstellung benötigen, sind wir gern für Sie da.

Weitere Informationen:

BSI: https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261021_PHP-kritische-Schwachstelle.html

CERT-EU: https://cert.europa.eu/publications/security-advisories/2026-018/

LiveConfig: https://forum.liveconfig.com/thread/3769-cve-2026-109618-und-cve-2026-109619/