Update - PHP stellt erste Fixes bereit 21.10.2026, 16:15 MESZ Zwischenzeitlich hat PHP erste Fixes zur Verfügung gestellt, die aktuell nach und nach ausgerollt werden. Auch seitens Plesk sind bereits erste Fixes verfügbar, allerdings noch nicht für alle PHP-Versionen. Zudem sind die meisten Update-Mirrors derzeit stark überlastet. Auch die Plesk Management Oberfläche selbst ist von der CVE betroffen. Für diese ist ein gesonderter Patch notwendig, welcher - stand jetzt - noch nicht verfügbar ist.

Update zur PHP Bedrohungslage 21.10.2026, 15:35 MESZ Aufgrund der anhaltenden Bedrohungslage und in der Zwischenzeit bestätigten Angriffen auf Live-Systeme haben wir unsere Shared Webspaces vorübergehend deaktiviert. Derzeit liegt noch kein Patch des Herstellers vor, sodass leider keine alternative Lösung zur Absicherung der Systeme besteht. Die vorübergehende Deaktivierung ist daher aktuell der einzig sichere Weg, um die auf den Servern gespeicherten Kundendaten zu schützen. Der E-Mail-Empfang für Postfächer, die auf den Webspaces liegen, ist weiterhin gewährleistet. Dedicated- und vServer sind von der Abschaltung nicht betroffen. Wir beobachten die Lage eng und reaktivieren die Webspaces, sobald der Patch verfügbar und die Sicherheit der Systeme wieder gewährleistet ist. Bei dringenden Anliegen sind wir per Ticket und Telefon für Sie erreichbar.

PHP Sicherheitslücken (CVE-2026-109618 & CVE-2026-109619, CVSS 9.2) Typ: Störung Kategorie: Allgemein Start: 21.10.2026, 12:47 MESZ Aktuell gibt es zwei kritische Schwachstellen in PHP, welche alle PHP-Versionen ohne Einschränkung betreffen. Das PHP-Team plant bereits einen Patch um 16 Uhr, allerdings nur für die PHP-Versionen 8.2 und höher. Ältere Versionen bleiben nach aktuellem Stand ungepatcht. Es gibt einen temporären Fix, welcher den Angriffsvektor bis zum geplanten Patch einschränkt, das Problem allerdings nicht vollständig löst. Was ist passiert? Es wurden zwei kritische PHP-Lücken (CVE-2026-109618 & CVE-2026-109619, CVSS 9.2) vorzeitig veröffentlicht, was dazu geführt hat, dass durch das jetzt bekannte PoC jede Website, die PHP nutzt, direkt angreifbar ist. Bei der Lücke handelt es sich um eine Remote-Code-Execution im PHP-Kern, die die Ausführung von Code auf dem Remote-Server ohne große Voraussetzungen erlaubt. Durch KI ist damit zu rechnen, dass entsprechende Angriffsprogramme noch zum heutigen Tage entstehen werden und Angriffe gestartet werden. Was kann jetzt getan werden? Es wurde ein vorläufiger Patch veröffentlicht, der einen Teil des Problems mitigiert, es allerdings nicht vollständig löst. Hierzu muss für alle installierten PHP-Versionen "session.upload_progress.enabled = Off" gesetzt werden. Dies muss in allen php.ini-Dateien (z. B. fpm, cli, apache2) bzw. bei Plesk im jeweiligen php.d-Ordner gesetzt werden. Applikationen, die auf PHP-Versionen unter 8.2 betrieben werden, sollten umgehend geupdatet oder temporär abgeschaltet werden. Was muss nach Patchveröffentlichung getan werden? Nach Veröffentlichung eines Patches muss umgehend die PHP-Version geupdatet werden, da nur so das Problem vollständig behoben werden kann. Laut PHP soll der Fix um 16 Uhr veröffentlicht werden. Plesk hat bekanntgegeben, dass an einem Fix gearbeitet wird, allerdings noch keinen Releasezeitpunkt genannt. Was von unserer Seite getan wird: Wir behalten die Situation aktuell intern im Blick und haben entsprechende Maßnahmen getroffen. Von Anrufen und Tickets zu dem Thema bitten wir daher abzusehen, wenn nicht dringend notwendig, damit wir uns auf die Lösung der Situation fokussieren können. Natürlich sind wir aber weiterhin wie gewohnt erreichbar.