Heute Nachmittag wurden zwei besonders kritische Sicherheitslücken in PHP bekannt gegeben.
Die beiden Schwachstellen (CVE-2026-109618 und CVE-2026-109619) sind besonders gefährlich, weil sie es Angreifern unter bestimmten Voraussetzungen ermöglichen, ohne Anmeldung eigenen Code auf einem Webserver auszuführen. Im schlimmsten Fall können dadurch Webseiten übernommen, Daten ausgelesen oder manipuliert werden.
Anders als bei Sicherheitslücken in WordPress oder anderen Anwendungen befinden sich die Schwachstellen direkt in PHP. Entsprechend sind nicht nur einzelne Anwendungen, sondern grundsätzlich alle Webseiten betroffen, die verwundbare PHP-Versionen einsetzen.
Die PHP-Entwickler haben heute gegen 16:00 Uhr Sicherheitsupdates für die PHP-Versionen 8.2 bis 8.5 veröffentlicht. Wir haben die aktualisierten Versionen unmittelbar gebaut und bereits um 16:17 Uhr auf unseren Webhosting-Servern ausgerollt.
Schwieriger sind ältere PHP-Versionen, die von der PHP Foundation nicht mehr offiziell unterstützt werden. Da wir diese Versionen aus Kompatibilitätsgründen weiterhin anbieten, haben wir die Sicherheitspatches auch auf die PHP-Versionen 5.6 bis 8.1 portiert. Um 16:57 Uhr waren auch diese Updates getestet und auf allen Servern ausgerollt.
Damit haben wir innerhalb von weniger als einer Stunde nach der Veröffentlichung der Sicherheitsupdates alle bei uns angebotenen PHP-Versionen von 5.6 bis 8.5 mit den Korrekturen für die beiden Schwachstellen versorgt.
Für unsere Webhosting-Kunden war und ist dafür keine eigene Aktion notwendig. Die Updates wurden zentral installiert. Ein Wechsel der PHP-Version oder eine vorsorgliche Abschaltung von Webseiten ist aufgrund dieser Schwachstellen nach dem Update nicht erforderlich.
Unabhängig davon empfehlen wir weiterhin, möglichst aktuelle PHP-Versionen einzusetzen. Die von uns bereitgestellten Backports für ältere Versionen schließen die heute bekannt gewordenen Sicherheitslücken, ersetzen aber nicht die reguläre Versorgung mit Sicherheitsupdates.
Bei kritischen Sicherheitslücken wie diesen kommt es vor allem darauf an, schnell zu reagieren. Deshalb beobachten wir im Rahmen von Patchmanagement laufend Sicherheitsmeldungen und kümmern uns darum, notwendige Updates so schnell wie möglich bereitzustellen.
Den zeitlichen Ablauf der heutigen Updates haben wir auch auf unserer Statusseite dokumentiert. Und wie immer steht unser Support gerne für Fragen zur Verfügung!
Vielen Dank für die zügige Reaktion, und dass auch alte Versionen unterstützt werden. Habe dennoch das als Anlass genommen, mal einige Kundenprojekte auf eine aktuellere Version zu ziehen 😇
Ich weiß schon, warum ich für lima-city als Webhoster des Jahres gestimmt habe. Danke für die schnelle Reaktion und die transparente Kommunikation!