Sehr geehrte Kunden,
am 21. Oktober 2026 sind zwei kritische Sicherheitslücken in der Programmiersprache PHP bekannt geworden (CVE-2026-109618 und CVE-2026-109619, auch "PHP2Shell" genannt). Über sie können Angreifer ohne Anmeldung Schadcode auf Webservern ausführen. Betroffen sind praktisch alle Websites, die mit PHP arbeiten, zum Beispiel WordPress, Joomla oder Shopsysteme.
1. PHP 8.2 bis 8.5 sind abgesichert: Die Sicherheitsupdates für PHP 8.2, 8.3, 8.4 und 8.5 haben wir noch am selben Tag auf allen Servern (Server9, Server10 und Server11) eingespielt. Nutzt Ihre Website eine dieser Versionen, müssen Sie nichts tun.
2. PHP 7.4, 8.0 und 8.1 vorübergehend eingeschränkt: Für diese älteren Versionen gibt es bisher kein Sicherheitsupdate. Um die betroffenen Websites zu schützen, haben wir dort das Hochladen von Dateien vorübergehend gesperrt. Die Seiten sind ganz normal erreichbar. Nicht möglich sind derzeit Datei-Uploads, etwa in der WordPress-Mediathek, sowie manche Kontaktformulare und Formulare mit Dateianhang. Bei einem solchen Versuch erscheint ein kurzer Hinweis auf die Sperre. Sobald es Updates für diese Versionen gibt, spielen wir sie ein und heben die Sperre auf.
3. Webmail Horde: Aus demselben Grund lassen sich im Webmail Horde derzeit keine Anhänge hochladen. E-Mails lesen und ohne Anhang senden funktioniert normal, ebenso der Abruf mit Outlook, Thunderbird oder auf dem Smartphone. Roundcube ist nicht betroffen.
4. Unsere Empfehlung ist der Wechsel auf PHP 8.3: PHP 8.3 ist aktuell und bereits abgesichert. Spätestens 15 Minuten nach der Umstellung können Sie wieder Dateien hochladen. Die PHP-Version können Sie selbst im Plesk-Panel ändern, indem Sie bei Ihrer Domain unter "PHP" die Version 8.3 auswählen. Eine Schritt-für-Schritt-Anleitung mit Video finden Sie in unseren FAQ: PHP-Version in Plesk umstellen. Ältere Erweiterungen, Plugins oder Themes laufen unter PHP 8 nicht immer. Prüfen Sie Ihre Website deshalb nach der Umstellung kurz. Gerne übernehmen wir die Umstellung für Sie, schreiben Sie uns dazu einfach eine E-Mail an info@hosterplus.de.
Kunden mit einer betroffenen Website haben wir zusätzlich per E-Mail informiert.
Bei Fragen sind wir gerne für Sie da.
Ihr HosterPlus Team
HosterPlus c/o SchubertMedia
Stauffenbergallee 57,
D - 99085 Erfurt
Telefon: +49-361-23002247 / Mo-Fr von 9-12 und 13-18 Uhr
Telefax: +49-361-23004636
E-Mail: info@hosterplus.de
Sicherheitslücke in PHP (PHP2Shell): Updates eingespielt, Hinweise zu PHP 7.4, 8.0 und 8.1
Re: Sicherheitslücke in PHP (PHP2Shell): Updates eingespielt, Hinweise zu PHP 7.4, 8.0 und 8.1
Update vom 22. Oktober 2026: Alle PHP-Versionen abgesichert, Sperre aufgehoben
Inzwischen gibt es auch für PHP 7.4, 8.0 und 8.1 Sicherheitsupdates. Sie sind seit heute früh auf allen Servern (Server9, Server10 und Server11) eingespielt. Damit sind alle PHP-Versionen auf unseren Servern gegen PHP2Shell abgesichert.
Die vorübergehende Sperre haben wir heute Morgen um 7:50 Uhr aufgehoben. Datei-Uploads, Kontaktformulare und Formulare mit Dateianhang funktionieren wieder wie gewohnt. Auch im Webmail Horde lassen sich wieder Anhänge hochladen.
Wir empfehlen trotzdem weiterhin den Wechsel auf PHP 8.3 oder neuer. Für PHP 7.4, 8.0 und 8.1 veröffentlicht das PHP-Projekt keine regulären Sicherheitsupdates mehr, die Updates dieser Woche waren eine Ausnahme. Wie Sie die Version selbst umstellen, steht im ersten Beitrag. Gerne übernehmen wir die Umstellung für Sie, schreiben Sie uns dazu einfach eine E-Mail an info@hosterplus.de.
Ihr HosterPlus Team
HosterPlus c/o SchubertMedia
Stauffenbergallee 57,
D - 99085 Erfurt
Telefon: +49-361-23002247 / Mo-Fr von 9-12 und 13-18 Uhr
Telefax: +49-361-23004636
E-Mail: info@hosterplus.de
Inzwischen gibt es auch für PHP 7.4, 8.0 und 8.1 Sicherheitsupdates. Sie sind seit heute früh auf allen Servern (Server9, Server10 und Server11) eingespielt. Damit sind alle PHP-Versionen auf unseren Servern gegen PHP2Shell abgesichert.
Die vorübergehende Sperre haben wir heute Morgen um 7:50 Uhr aufgehoben. Datei-Uploads, Kontaktformulare und Formulare mit Dateianhang funktionieren wieder wie gewohnt. Auch im Webmail Horde lassen sich wieder Anhänge hochladen.
Wir empfehlen trotzdem weiterhin den Wechsel auf PHP 8.3 oder neuer. Für PHP 7.4, 8.0 und 8.1 veröffentlicht das PHP-Projekt keine regulären Sicherheitsupdates mehr, die Updates dieser Woche waren eine Ausnahme. Wie Sie die Version selbst umstellen, steht im ersten Beitrag. Gerne übernehmen wir die Umstellung für Sie, schreiben Sie uns dazu einfach eine E-Mail an info@hosterplus.de.
Ihr HosterPlus Team
HosterPlus c/o SchubertMedia
Stauffenbergallee 57,
D - 99085 Erfurt
Telefon: +49-361-23002247 / Mo-Fr von 9-12 und 13-18 Uhr
Telefax: +49-361-23004636
E-Mail: info@hosterplus.de