Kritische Sicherheitslücken in PHP (CVE-2026-109618 & CVE-2026-109619)

CloudLinux hat die PHP-Updates für 23 - 00 Uhr angekündigt. Wir überwachen die Verfügbarkeit und installieren die Pakete sobald sie verfügbar sind.

Update folgt...

Alle Systeme, für die Updates bereitgestellt wurden, wurden aktualisiert.

Da die Nextcloud-Server bisher noch immer keine Updates erhalten haben, wurden diese um 19 Uhr heruntergefahren. Wir werden die Lage morgen früh erneut bewerten. Sobald die Updates vorliegen, starten wir die Maschinen und installieren die Updates.

Nutzer von CloudLinux und EOL-PHP-Versionen (PHP 8.1 oder niedriger) können ihre Projekte mit einer einfachen Anweisung wie „Deny from all” in der .htaccess-Datei vom Netz nehmen. Die etwas schönere Variante ist ein Passwortschutz oder eine reine HTML-Wartungsseite. Wir empfehlen die einfache Anweisung, um sicherzustellen, dass keine Anfrage durchkommt.

Unser Kundencenter hat seine Updates ebenfalls noch nicht erhalten und bleibt daher über Nacht offline. Unsere Webseite nutzt kein PHP und kann daher gefahrlos online bleiben.

Wir versichern, alles zu tun, um die Beeinträchtigung der Services so gering wie möglich zu halten und gleichzeitig für größtmögliche Sicherheit zu sorgen.

Upd...

DirectAdmin Updates sind vollständig und sicher.

Wir warten nach wie vor darauf das die überlasteten Repos der restlichen Anbieter wieder erreichbar werden und antworten.

Update folgt...

• cPanel ohne CloudLinux ist aktuell und sicher.
• DirectAdmin befindet sich in den letzten Zügen und sich gleich ebenfalls sicher.
• Nextclouds warten noch auf das Repo, aktuell ist es überlastet.

CloudLinux sollte eigentlich die Server-Sicherheit verbessern, hat bisher aber noch nicht geliefert. Wir bleiben dran, Update folgt...

Die Plesk-Server haben Ihre PHP-Updates erhalten. Leider hat Plesk den eigenen Dienst noch nicht aktualisiert, daher setzen wir wieder auf die bewährten Plesk-Panel Port-Sperren.

Die auf Plesk untergebrachten Webseiten sind jedenfalls sicher.

Weitere Infos unter: https://support.plesk.com/hc/en-us/articles/44397729587351-Vulnerability-CVE-2026-109618-and-CVE-2026-109619-Remote-code-execution-in-PHP-shipped-with-Plesk#Accordion-in-plesk-ui--1

Die ersten Anbieter haben Ihre Updates zum Download bereitgestellt. Wie zu erwarten war werden die Update-Server von sehr vielen Anfragen geflutet und sind dementsprechend langsam.

Erste Systeme konnten wir allerdings schon aktualisieren und somit sichern. - Update folgt...

Für PHP wurden zwei kritische Sicherheitslücken angekündigt (CVE-2026-109618 und CVE-2026-109619). Genauere Informationen zu den Lücken und den verfügbaren Updates werden heute, 21.10.2026, gegen 16:00 Uhr (MESZ) veröffentlicht.

Wir beobachten die Lage genau. Sobald die Details vorliegen, prüfen wir, welche PHP-Versionen auf unseren Systemen betroffen sind, und spielen die Sicherheitsupdates so schnell wie möglich ein. Falls dafür kurze Neustarts von Diensten nötig sind, informieren wir hier vorab.

Derzeit gibt es keine Einschränkungen unserer Dienste. Wir aktualisieren diese Meldung, sobald neue Informationen vorliegen.