Is Netcup down?

Liebe Kundinnen und Kunden, in PHP, einer Software, mit der ein Großteil aller Webseiten weltweit betrieben wird, gibt es eine sehr kritische Sicherheitslücke. Um Sie und Ihre Daten zu schützen, haben wir alle potenziell gefährdeten Systeme vorsorglich vom Internet getrennt. Das ist eine reine Vorsichtsmaßnahme. Ihre Daten bleiben vollständig erhalten und sind nicht gefährdet. Was ist gerade nicht erreichbar? Derzeit stehen Ihnen unter anderem folgende Systeme nicht zur Verfügung: Alle Webhosting-Pakete und Managed Server, einschließlich der darauf betriebenen Webseiten Customer Control Panel (CCP) Webhosting Control Panel (WCP) Webmail Forum CloudDNS API Weiterhin erreichbar ist das Server Control Panel (SCP). Root Server, VPS und Managed Cloud Cluster laufen normal weiter. Warum dieser Schritt? Die Lücke erlaubt es Angreifern, fremden Code auf betroffenen Systemen auszuführen. Ein Sicherheitsupdate gibt es noch nicht. Solange es fehlt, ist jedes System mit PHP potenziell angreifbar, sobald es aus dem Internet erreichbar ist. Deshalb haben wir uns entschieden, auch alle Webhosting-Pakete und Managed Server vorübergehend abzuschalten. Uns ist bewusst, dass das ein drastischer Schritt ist. Wir sind aber überzeugt, dass eine kurze Unterbrechung besser ist als ein erfolgreicher Angriff auf Ihre Webseite oder Ihre Daten. Zahlreiche Unternehmen und Behörden weltweit gehen derzeit genauso vor. Wann sind die Systeme wieder erreichbar? Das Sicherheitsupdate des PHP-Projekts ist für heute Nachmittag angekündigt (21.10.2026, voraussichtlich 16:00 Uhr). Unsere Teams stehen bereit und spielen das Update unmittelbar nach Veröffentlichung auf allen Systemen ein. Wir rechnen damit, dass die Systeme etwa 3 bis 5 Stunden nach Veröffentlichung des Updates wieder erreichbar sind, also voraussichtlich im Laufe des heutigen Abends. Als Webhosting- oder Managed-Server-Kunde müssen Sie selbst nichts tun. Hinweis für Kunden mit Root Server, VPS oder Managed Cloud Cluster Ihre Server sind von der Abschaltung nicht betroffen. Da Sie diese Systeme selbst verwalten, liegt auch das Einspielen des Sicherheitsupdates in Ihrer Verantwortung, sofern Sie darauf PHP einsetzen. Wir empfehlen dringend, das Update unmittelbar nach Veröffentlichung zu installieren. Die Verwaltung Ihrer Server über das Server Control Panel (SCP) ist weiterhin möglich. Weitere Hinweise dazu finden Sie auf www.netcup-status.de. Wo erfahre ich den aktuellen Stand? Alle Neuigkeiten veröffentlichen wir laufend auf unserer Statusseite: www.netcup-status.de Technische Details Es handelt sich um die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 (Schweregrad: kritisch, CVSS 9.2). Betroffen sind potenziell alle Webseiten und Anwendungen, die PHP nutzen. Die offizielle Vorankündigung des PHP-Projekts finden Sie hier: https://www.php.net/archive/2026.php#2026-10-20-1 Vielen Dank für Ihr Verständnis. Ihr netcup Team Dear customers, A very critical security vulnerability has been found in PHP, a software that powers a large share of all websites worldwide. To protect you and your data, we have disconnected all potentially affected systems from the internet as a precaution. This is purely a preventive measure. Your data remains fully intact and is not at risk. What is currently unavailable? At the moment, the following systems, among others, are not available: All Webhosting packages and Managed Servers, including the websites hosted on them Customer Control Panel (CCP) Webhosting Control Panel (WCP) Webmail Forum CloudDNS API The Server Control Panel (SCP) remains available. Root Servers, VPS and Managed Cloud Clusters continue to operate normally. Why did we take this step? The vulnerability allows attackers to execute malicious code on affected systems. A security update is not yet available. Until it is, every system running PHP is potentially vulnerable as soon as it can be reached from the internet. This is why we decided to also take all Webhosting packages and Managed Servers offline temporarily. We are aware that this is a drastic step. However, we are convinced that a short interruption is better than a successful attack on your website or your data. Numerous companies and public authorities worldwide are currently taking the same approach. When will the systems be available again? The PHP project has announced the security update for this afternoon (21 October 2026, expected at 16:00 CEST). Our teams are ready and will apply the update on all systems immediately after its release. We expect the systems to be available again approximately 3 to 5 hours after the update is released, so most likely over the course of this evening. As a Webhosting or Managed Server customer, you do not need to do anything. Notice for customers with Root Servers, VPS or Managed Cloud Clusters Your servers are not affected by the shutdown. Since you manage these systems yourself, applying the security update is also your responsibility if you run PHP on them. We strongly recommend installing the update immediately after its release. You can continue to manage your servers via the Server Control Panel (SCP). Further information is available at www.netcup-status.de. Where can I find the current status? We will continuously publish all updates on our status page: www.netcup-status.de Technical details The vulnerabilities are tracked as CVE-2026-109618 and CVE-2026-109619 (severity: critical, CVSS 9.2). Potentially affected are all websites and applications that use PHP. The official advance notice from the PHP project is available here: https://www.php.net/archive/2026.php#2026-10-20-1 Thank you for your understanding. Your netcup team

wurde behoben

Das Webhosting Control Panel (WCP) bleibt im Zusammenhang mit den kritischen PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 vorsorglich offline. Wir warten auf einen Patch des Herstellers Plesk, der noch nicht vorliegt. Ihre Webseiten und E-Mails sind davon nicht betroffen und laufen auf der gepatchten und abgesicherten PHP-Version, lediglich die Verwaltung Ihres Webhosting-Pakets über das WCP ist vorübergehend nicht möglich. Wir stehen mit Plesk in Kontakt und spielen den Patch ein, nachdem er bereitgestellt wurde. Anschließend schalten wir das WCP wieder online und informieren Sie an dieser Stelle. In connection with the critical PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619, the Webhosting Control Panel (WCP) remains offline as a precaution. We are waiting for a patch from the vendor Plesk, which has not yet been released. Your websites and emails are not affected and are running on the patched and secured PHP version; only the management of your Webhosting package via the WCP is temporarily unavailable. We are in contact with Plesk and will apply the patch once it is provided. We will then bring the WCP back online and post an update here.

wurde behoben

netcup sind die Berichte bezüglich kritischer Sicherheitslücken in PHP (CVE-2026-109618 / -109619) bekannt. Für Systeme, welche von netcup verwaltet werden (Webhosting und managed Server), wird netcup nötige Mitigationen und Patches sobald verfügbar umgehend ausrollen. netcup is aware about reports of critical security issues in PHP (CVE-2026-109618 / -109619). For systems managed by netcup (web hosting and managed servers), netcup will roll out necessary mitigations and patches as soon as they become available.

wurde behoben

Derzeit (21:00 Uhr) liegt eine Störung am Standort Wien vor. Das Problem ist bekannt und wird derzeit von den Kollegen untersucht Nachtrag 21:25 Uhr: Das Problem wurde zwischenzeitlich behoben.

Derzeit liegt eine Störung am Standort Wien vor. Das Problem ist bekannt und wird derzeit von den Kollegen untersucht

wurde behoben

Es liegt derzeit eine Störung unseres Customer Control Panels (CCP) und des Server Control Panel (SCP) vor. Dadurch sind diese nicht erreichbar. Our Customer Control Panel (CCP) and Server Control Panel (SCP) are currently experiencing an outage and are unavailable.