Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken veröffentlicht, die unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt werden – in Fachkreisen auch «PHP2Shell» genannt. Beide Schwachstellen sind mit einem CVSS-Wert von 9.2 als kritisch eingestuft. Wir möchten Sie offen darüber informieren, was das bedeutet und was wir dagegen unternehmen.
Die beiden Lücken stecken im Kern von PHP selbst – also nicht in einer einzelnen Anwendung, sondern in der Programmiersprache, auf der ein Grossteil aller Websites basiert, darunter WordPress, Joomla, Magento und viele weitere. Im ungünstigsten Fall können Angreifer über speziell präparierte Anfragen ohne Anmeldung eigenen Code auf einem Server ausführen.
Ein Fehler bei der Behandlung von Out-of-Memory-Situationen kann dazu führen, dass PHP beim Aufräumen nur halb initialisierte Daten verarbeitet. Präparierte Anfragen können diesen Zustand gezielt herbeiführen.
Daten einer vorherigen Anfrage können im Speicher zurückbleiben, obwohl dieser bereits freigegeben wurde. Eine spätere Anfrage an denselben PHP-Prozess kann darauf zugreifen – mit dem Risiko, dass Code ausgeführt oder Speicherinhalte ausgelesen werden.
Betroffen sind alle gängigen Betriebsarten von PHP, darunter PHP-FPM, Apache mod_php, CGI/FastCGI und LiteSpeed.
Unser Technik-Team hat die Sicherheitsupdates unmittelbar nach der Veröffentlichung mit Hochdruck auf allen von uns verwalteten Systemen eingespielt.
Update vom 22. Oktober 2026: Alle von uns verwalteten Systeme sind vollständig aktualisiert und gepatcht. Als Webhosting-Kunde müssen Sie zur Behebung der Lücken nichts weiter unternehmen.
Ihre Websites, Ihre Daten und Ihre Einstellungen sind von den Updates unberührt geblieben.
«Die Sicherheit Ihrer Websites und Daten hat für uns höchste Priorität. Darum haben wir sofort reagiert und alle unsere Systeme umgehend geschützt.»
Unsere Webhosting-Server sind bereits aktualisiert. Wir empfehlen Ihnen dennoch, in Plesk zu prüfen, welche PHP-Version Ihre Website nutzt: Offizielle Korrekturen gibt es für PHP 8.2, 8.3, 8.4 und 8.5. Für PHP 7.4 bis 8.1 existieren nur eingeschränkte Korrekturen, für PHP 7.3 und älter gibt es gar keine mehr. Stellen Sie Ihre Website deshalb, wenn immer möglich, auf PHP 8.2 oder neuer um.
Halten Sie zudem Ihr CMS (z. B. WordPress) sowie alle Themes und Plugins stets aktuell.
Auf Ihrem vServer mit Root-Zugriff verwalten Sie die installierte Software selbst. Bitte aktualisieren Sie PHP umgehend auf eine korrigierte Version – 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 bzw. neuer – oder spielen Sie die Sicherheitsupdates Ihrer Linux-Distribution bzw. Ihres Control Panels (z. B. Plesk) ein. Starten Sie anschliessend alle PHP-Dienste (z. B. PHP-FPM) neu, damit die Korrektur wirksam wird.
Haben Sie Fragen zu den Sicherheitslücken oder zu Ihrer PHP-Version, oder benötigen Sie Hilfe beim Update Ihres vServers? Unser Support-Team ist über unser Ticketsystem für Sie da. Herzlichen Dank für Ihr Vertrauen und Ihr Verständnis.