Wir informieren Sie an dieser Stelle über eine kritische Sicherheitslage, die unmittelbare Maßnahmen erfordert.
Am Abend des 20. Oktober 2026 wurden zwei schwerwiegende Schwachstellen in PHP öffentlich bekanntgegeben. Die Schwachstellen tragen die Bezeichnungen CVE-2026-109618 und CVE-2026-109619. Beide Lücken ermöglichen Angreifern die Ausführung von beliebigem Code auf betroffenen Systemen. Dies wird als Remote Code Execution bezeichnet. Laut CERT-EU sind alle PHP-Versionen ab Version 5 betroffen. Dies umfasst alle in den letzten 20 Jahren veröffentlichten Versionen.
Aktueller Stand der Patches und Wiederinbetriebnahme
Die meisten Systeme sind in der Zwischenzeit auf dem aktuellen Stand und wieder uneingeschränkt verfügbar.Für ggf. nicht mehr unterstützte Betriebssysteme muss eine Einzelfallbewertung vorgenommen werden. Hier werden wir aktiv auf die betroffenden Kunden zugehen.
Umfang der Abschaltung
Es wurde lediglich der öffentliche Zugriff auf HTTP/HTTPS deaktiviert, um den Zugriff auf die betroffenen Webseiten zu unterbinden
Sicherheitsrelevanz
Die ergriffenen Maßnahmen erfolgten ausschließlich präventiv. Es sind keine Kompromittierungen bekannt.
Datensicherheit
Ein Zugriff durch Dritte kann aufgrund der präventiven Maßnahmen ausgeschlossen werden. Es gibt keinerlei Vorfälle in Bezug auf die Datensicherheit.
Wir gehen aktuell davon aus, das im Laufe des Tages alle Systeme, für Patches zur Verfügung stehen, wieder verfügbar sein werden.
Für die von uns im Kundenauftrag oder als Managed Service betreuten Systeme stehen PHP-Patches mit folgendem Versionsstand zur Verfügung:
Für nicht mehr unterstützte Betriebssysteme muss eine Einzelfallbewertung vorgenommen werden. Hier werden wir aktiv auf die betroffenden Kunden zugehen.
Durch die schnelle Reaktion und Abschaltung der betroffenene Dienste konnten erfolgreiche Angriffe auf die Kern- und die Kundensystem bei managedhosting.de verhindert werden. Wir erwarten nach derzeitigem Stand keine weiteren Auswirkungen, sobald alle benötigten Updates erfolgt sind.
Hinweis zu betroffenen Kundensystemen: Für alle betroffenen Kundensysteme mit aktuellen Softwareständen laufen aktuell die notwendigen Updates. Systeme, die außer Betrieb genommen wurden, werden nach dem erfolgreichen Update wieder zur Verfügung stehen. Für Kundensysteme mit veralteten Softwareständen pürfen wir aktuell die Möglichkeiten. Es stehen begrenzt auch PHP-Updates für ältere Versionen zu Verfügung.
Seit dieser Nacht stehen die notwendigen Updates für PHP zur Verfügung. Updates an unseren wesentlich Systemen sind bereits erfolgt, so dass Ihnen auch unser Helpdesk wieder wie gewohnt zur Verfügung steht.
Wir handeln proaktiv zum Schutz Ihrer Daten und Systeme. Mit sofortiger Wirkung deaktivieren wir vorsorglich den Zugriff auf HTTP und HTTPS für alle Applikationen und Dienste, die mit PHP arbeiten. Diese Maßnahme gilt bis ein offizieller Patch oder ein funktionierender Workaround verfügbar ist. Im Einklang mit unseren Service Level Agreements liegt Gefahr im Verzug vor. Wir sind berechtigt und verpflichtet, proaktiv zu handeln, um Schäden abzuwenden.
Wenn Sie Fragen zu Ihren betroffenen Systemen haben, wenden Sie sich bitte an die Ihnen bekannten Kanäle. Unser Helpdesk steht nach einer Unterbrechung über Nacht wieder zur Verfügung.
