PHP Sicherheitslücken (CVE-2026-109618 & CVE-2026-109619, CVSS 9.2)

Update timeline

1. investigating Oct 21, 2026, 03:47 PM UTC

   Lieber HostPress Kunde, wir beobachten aktuell eine kritische Sicherheitslücke im PHP-Kern (RCE), die alle ungepatchten PHP-Versionen betrifft. PHP Fix: Ein offizieller Patch seitens des PHP-Teams wird heute um 16:00 Uhr erwartet (für PHP 8.2+). Das bedeutet aber nicht, dass die Lücke ab 16 Uhr geschlossen ist. Plesk Status: Plesk ist über die Situation vollumfänglich informiert und arbeitet bereits an einem entsprechenden Update für die Plattform. Schutzmaßnahmen: Wir haben unsererseits bereits vorsorgliche Schutzmaßnahmen ergriffen und warten nun auf das Erscheinen der offiziellen Fixes von PHP und Plesk, um diese umgehend einzuspielen. Wichtiger Hinweis zum Support: Unser Team konzentriert sich aktuell voll und ganz auf die Absicherung der Systeme und das Einspielen der bevorstehenden Updates. Wir bitten eindringlich, Support- und Notfallanfragen wirklich nur bei kritischen Notfällen einzureichen. Vielen Dank für Ihr Verständnis Freundliche Grüße Dein HostPress Team

2. identified Oct 21, 2026, 04:24 PM UTC

   Updates & Maßnahmen: Die angekündigten Sicherheitsupdates von PHP und Plesk sind veröffentlicht worden. Wir haben umgehend mit dem systemweiten Rollout begonnen, um alle betroffenen PHP-Versionen auf den neuesten und sicheren Stand zu bringen. Nächste Schritte: Die Updates werden schrittweise auf den Servern eingespielt. Während des Aktualisierungsvorgangs kann es kurzzeitig zu minimalen Unterbrechungen kommen. Support-Hinweis: Da unser Team aktuell voll mit der Durchführung und Überwachung des Rollouts beschäftigt ist, bitten wir weiterhin darum, Notfallanfragen wirklich nur im absoluten Ernstfall einzureichen. Vielen Dank für Ihre Geduld!

3. investigating Oct 21, 2026, 05:50 PM UTC

   Seit ca. 16:00 Uhr stehen die PHP-Udpates für die Versionen 8.2-8.5 bereit! Wir haben mit dem Rollout begonnen. Wie betroffen sind eure Websites bei HostPress? Die schwerwiegendste bekannte Angriffsvariante setzt eine PHP-Betriebsart voraus (Apache-Modul mod_php), die wir bei HostPress i.d.R. nicht einsetzen. Alle Websites bei uns laufen ausschließlich über PHP-FPM. Für diese Betriebsart ist das Risiko geringer, aber nicht ausgeschlossen. Wir behandeln den Vorfall deshalb mit höchster Priorität. Kunden die auf Plesk Server ehem. "WP-Projects" laufen, prüfen bitte anhand der Anleitung (s.u.) ihre PHP Version und ob diese mit FPM ausgeführt wird. Was wir bereits gemacht haben: Auf allen Servern haben wir die PHP-Funktion „Session Upload Progress“ deaktiviert und alle PHP-Prozesse neu gestartet. Damit folgen wir der Empfehlung des PHP-Projekts und blockieren den für PHP-FPM bestätigten Angriffsweg. Zusätzlich filtert unsere Web Application Firewall (Imunify360) seit dem jüngsten Regel-Update das derzeit öffentlich bekannte Angriffsmuster, bevor die Anfrage eure Website erreicht. Beides sind Übergangsmaßnahmen, die das Risiko deutlich senken, aber das eigentliche Update nicht ersetzen. Die abgesicherten PHP-Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 spielen wir derzeit auf unseren Servern ein. Da die Update-Server der Hersteller im Moment stark ausgelastet sind, kann das noch etwas dauern. Wir arbeiten mit Hochdruck daran. Den aktuellen Fortschritt findet ihr jederzeit auf unserer Statusseite: https://status.hostpress.de Die deaktivierte Funktion wird von WordPress selbst nicht genutzt. Falls ihr in einer eigenen Anwendung Fortschrittsbalken für Datei-Uploads über diese PHP-Funktion umgesetzt habt, meldet euch bitte bei unserem Support, falls es Probleme bei der Ausführung des PHP-Skripts gibt. Für Websites mit PHP-Versionen älter als 8.2 prüfen wir derzeit weitere Maßnahmen und melden uns dazu gesondert bei den betroffenen Kunden. Was ihr tun solltet: Laufen eure Websites noch mit PHP 7.x, 8.0 oder 8.1, bitten wir euch, die PHP-Version sicherheitshalber selbst in Plesk anzuheben. Wir empfehlen als Ziel PHP 8.3. PHP 8.2 bekommt ab dem 31. Dezember 2026 keine Sicherheitsupdates mehr, mit 8.3 erspart ihr euch also eine zweite Umstellung in wenigen Wochen. Wie das geht, zeigen wir euch hier: https://docs.hostpress.de/article/php-einstellungen-in-plesk/ Bitte beachtet dabei: Ältere Themes und Plugins sind nicht immer mit neueren PHP-Versionen kompatibel. Erstellt vor der Umstellung ein Backup und prüft eure Website danach gründlich. Funktioniert etwas nicht wie gewohnt, könnt ihr die PHP-Version in Plesk jederzeit zurückstellen. Nutzt ihr bereits PHP 8.2, empfehlen wir euch ebenfalls, in den nächsten Wochen auf 8.3 zu wechseln. Akuter Handlungsbedarf besteht für 8.2 aber nicht, die Sicherheitsupdates spielen wir aktuell für euch ein. Nutzt ihr bereits PHP 8.3 oder neuer, müsst ihr nichts tun. Wir sind dabei die Updates auszurollen. Betreibt ihr Websites bei anderen Anbietern oder auf eigenen Servern, prüft bitte auch dort, ob die PHP-Updates eingespielt sind.