Wichtiger Sicherheitshinweis: Unsere Systeme sind vorübergehend nicht erreichbar | Important security notice: Our systems are temporarily unavailable

Update timeline

1. investigating Oct 21, 2026, 02:00 PM UTC

   Liebe Kundinnen und Kunden, in PHP, einer Software, mit der ein Großteil aller Webseiten weltweit betrieben wird, gibt es eine sehr kritische Sicherheitslücke. Um Sie und Ihre Daten zu schützen, haben wir alle potenziell gefährdeten Systeme vorsorglich vom Internet getrennt. Das ist eine reine Vorsichtsmaßnahme. Ihre Daten bleiben vollständig erhalten und sind nicht gefährdet. Was ist gerade nicht erreichbar? Derzeit stehen Ihnen unter anderem folgende Systeme nicht zur Verfügung: Alle Webhosting-Pakete und Managed Server, einschließlich der darauf betriebenen Webseiten Customer Control Panel (CCP) Webhosting Control Panel (WCP) Webmail Forum CloudDNS API Weiterhin erreichbar ist das Server Control Panel (SCP). Root Server, VPS und Managed Cloud Cluster laufen normal weiter. Warum dieser Schritt? Die Lücke erlaubt es Angreifern, fremden Code auf betroffenen Systemen auszuführen. Ein Sicherheitsupdate gibt es noch nicht. Solange es fehlt, ist jedes System mit PHP potenziell angreifbar, sobald es aus dem Internet erreichbar ist. Deshalb haben wir uns entschieden, auch alle Webhosting-Pakete und Managed Server vorübergehend abzuschalten. Uns ist bewusst, dass das ein drastischer Schritt ist. Wir sind aber überzeugt, dass eine kurze Unterbrechung besser ist als ein erfolgreicher Angriff auf Ihre Webseite oder Ihre Daten. Zahlreiche Unternehmen und Behörden weltweit gehen derzeit genauso vor. Wann sind die Systeme wieder erreichbar? Das Sicherheitsupdate des PHP-Projekts ist für heute Nachmittag angekündigt (21.10.2026, voraussichtlich 16:00 Uhr). Unsere Teams stehen bereit und spielen das Update unmittelbar nach Veröffentlichung auf allen Systemen ein. Wir rechnen damit, dass die Systeme etwa 3 bis 5 Stunden nach Veröffentlichung des Updates wieder erreichbar sind, also voraussichtlich im Laufe des heutigen Abends. Als Webhosting- oder Managed-Server-Kunde müssen Sie selbst nichts tun. Hinweis für Kunden mit Root Server, VPS oder Managed Cloud Cluster Ihre Server sind von der Abschaltung nicht betroffen. Da Sie diese Systeme selbst verwalten, liegt auch das Einspielen des Sicherheitsupdates in Ihrer Verantwortung, sofern Sie darauf PHP einsetzen. Wir empfehlen dringend, das Update unmittelbar nach Veröffentlichung zu installieren. Die Verwaltung Ihrer Server über das Server Control Panel (SCP) ist weiterhin möglich. Weitere Hinweise dazu finden Sie auf www.netcup-status.de. Wo erfahre ich den aktuellen Stand? Alle Neuigkeiten veröffentlichen wir laufend auf unserer Statusseite: www.netcup-status.de Technische Details Es handelt sich um die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 (Schweregrad: kritisch, CVSS 9.2). Betroffen sind potenziell alle Webseiten und Anwendungen, die PHP nutzen. Die offizielle Vorankündigung des PHP-Projekts finden Sie hier: https://www.php.net/archive/2026.php#2026-10-20-1 Vielen Dank für Ihr Verständnis. Ihr netcup Team Dear customers, A very critical security vulnerability has been found in PHP, a software that powers a large share of all websites worldwide. To protect you and your data, we have disconnected all potentially affected systems from the internet as a precaution. This is purely a preventive measure. Your data remains fully intact and is not at risk. What is currently unavailable? At the moment, the following systems, among others, are not available: All Webhosting packages and Managed Servers, including the websites hosted on them Customer Control Panel (CCP) Webhosting Control Panel (WCP) Webmail Forum CloudDNS API The Server Control Panel (SCP) remains available. Root Servers, VPS and Managed Cloud Clusters continue to operate normally. Why did we take this step? The vulnerability allows attackers to execute malicious code on affected systems. A security update is not yet available. Until it is, every system running PHP is potentially vulnerable as soon as it can be reached from the internet. This is why we decided to also take all Webhosting packages and Managed Servers offline temporarily. We are aware that this is a drastic step. However, we are convinced that a short interruption is better than a successful attack on your website or your data. Numerous companies and public authorities worldwide are currently taking the same approach. When will the systems be available again? The PHP project has announced the security update for this afternoon (21 October 2026, expected at 16:00 CEST). Our teams are ready and will apply the update on all systems immediately after its release. We expect the systems to be available again approximately 3 to 5 hours after the update is released, so most likely over the course of this evening. As a Webhosting or Managed Server customer, you do not need to do anything. Notice for customers with Root Servers, VPS or Managed Cloud Clusters Your servers are not affected by the shutdown. Since you manage these systems yourself, applying the security update is also your responsibility if you run PHP on them. We strongly recommend installing the update immediately after its release. You can continue to manage your servers via the Server Control Panel (SCP). Further information is available at www.netcup-status.de. Where can I find the current status? We will continuously publish all updates on our status page: www.netcup-status.de Technical details The vulnerabilities are tracked as CVE-2026-109618 and CVE-2026-109619 (severity: critical, CVSS 9.2). Potentially affected are all websites and applications that use PHP. The official advance notice from the PHP project is available here: https://www.php.net/archive/2026.php#2026-10-20-1 Thank you for your understanding. Your netcup team