Kritische PHP-Sicherheitslücken: Informationen für kyberio-Kunden

• 21.10.2026, 21:47 Uhr: Das Shared-Hosting-System web04 ist gepatcht und wieder online. Damit sind rund 90 Prozent der Kunden im Shared Hosting wieder erreichbar. An den übrigen Systemen arbeiten wir weiter.
• 21.10.2026, 21:14 Uhr: Rund 90 Prozent der betroffenen Systeme sind gepatcht. Für die verbleibenden laufen die Arbeiten noch — die Kunden dieser Systeme informieren wir gesondert, sobald ihr System fertig ist.
• 21.10.2026, 16:30 Uhr: Wir haben begonnen, die betroffenen Systeme zu patchen. An einzelnen Systemen steht für die Dauer der Arbeiten eine Vorschaltseite, die neutral über die Wartung informiert — sie ersetzt die Anwendung nicht, sondern tritt nur so lange an ihre Stelle. Sobald die Arbeiten an einem System abgeschlossen sind, informieren wir die betroffenen Kunden direkt über die mit ihnen abgestimmten E-Mail-Adressen.
• 21.10.2026, 16:09 Uhr: Das PHP-Projekt hat die Sicherheitsmeldung samt Patches veröffentlicht. Behoben sind beide Lücken in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Betroffen sind alle Installationen, die Web-Anfragen bedienen — PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed; das höchste Risiko sieht das PHP-Projekt bei mod_php. PHP 8.1 und älter erhalten vom Projekt keine Updates mehr. Wir planen gerade die konkreten Maßnahmen und informieren danach die betroffenen Kunden.
• 21.10.2026, 15:45 Uhr: Als Vorsichtsmaßnahme haben wir die Shared-Hosting-Systeme offline genommen.
• 21.10.2026, 15:00 Uhr: Erstveröffentlichung.

Die PHP-Entwickler haben am 20.10.2026 ein außerplanmäßiges Sicherheitsupdate angekündigt. Es schließt zwei kritische Schwachstellen, die beide mit CVSS v4.0 9.2 bewertet sind — das ist der zweithöchste Wert, den diese Skala kennt. Geführt werden sie als CVE-2026-109618 und CVE-2026-109619; in der Sicherheitsszene kursiert der Name „php2shell".

Beide Lücken erlauben das Ausführen von Schadcode aus der Ferne, ohne vorherige Anmeldung. Die eine entsteht, wenn PHP beim Überschreiten des Speicherlimits unterbrochen wird, während interne Daten einer Anfrage erst halb angelegt sind; die andere, wenn interner Zustand einer Anfrage den Speicher überlebt, der ihn trug, und eine spätere Anfrage im selben Arbeitsprozess darauf zugreift.

Behoben sind sie in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Gefährdet ist jede Installation, die Web-Anfragen bedient — PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko sieht das PHP-Projekt bei Apache mit mod_php: Dort wurde ein Angriff gezeigt, der eine unangemeldete Anfrage ausnutzt, bevor überhaupt Anwendungscode läuft.

PHP 8.1 und älter bekommen vom Projekt keine Updates mehr. Einzelne Distributionen und LTS-Anbieter liefern zurückportierte Korrekturen — wer eine solche Fassung einsetzt, fragt dort nach oder wechselt auf eine unterstützte Version.

CERT-EU empfiehlt, PHP-Anwendungen jetzt zu erfassen und sofort nach Erscheinen zu patchen — und dort, wo das nicht sofort geht, öffentlich erreichbare Anwendungen bis zum Fix vom Netz zu nehmen. Einzelne Anbieter haben ihre Dienste bereits vorsorglich abgeschaltet.

Zur Einordnung: PHP steckt hinter WordPress, Drupal, Joomla, Magento, vielen Verwaltungsoberflächen und praktisch jeder Shared-Hosting-Plattform. Die Reichweite ist entsprechend groß.

Potenziell betroffen sind alle Kunden mit PHP-basierten Systemen.

Unser Vorgehen. Rund 90 Prozent der betroffenen Systeme sind gepatcht. An den verbleibenden arbeiten wir weiter. Wo ein System während der Arbeiten nicht erreichbar ist, steht an seiner Stelle vorübergehend eine Vorschaltseite mit einem neutralen Hinweis auf die Wartung. Ist ein System fertig, melden wir uns direkt bei den betroffenen Kunden — über die mit ihnen abgestimmten E-Mail-Adressen. Du musst dafür nichts tun und nichts anfordern: Wer von uns nichts hört, dessen System war entweder nicht betroffen oder ist bereits durch.

Shared Hosting: web04 läuft wieder. Als Vorsichtsmaßnahme hatten wir die Shared-Hosting-Systeme gegen 15:45 Uhr vom Netz genommen — bevor Details zur Lücke öffentlich wurden. Das System web04 ist inzwischen gepatcht, geprüft und wieder online; damit sind rund 90 Prozent der Kunden im Shared Hosting wieder erreichbar.

An den übrigen Shared-Hosting-Systemen arbeiten wir noch. Wenn deine Website weiterhin nicht erreichbar ist, liegt sie auf einem dieser Systeme — wir melden uns, sobald es wieder läuft. Den aktuellen Stand je System findest du auf der Statusseite.

Von kyberio verwaltete Systeme. Bei Managed Services spielen wir die Patches mit allen verfügbaren Kräften ein. Welche PHP-Versionen bei uns im Einsatz sind, prüfen wir gerade.

Selbst verwaltete Server und VMs. Für PHP-Installationen in deiner eigenen Verantwortung gilt: jetzt auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren. Die meisten Distributionen haben die Korrekturen vorab erhalten — in der Regel genügt das Paketupdate deiner Distribution. Wo das nicht sofort geht, nimm die betroffene Anwendung bis dahin vom Netz oder isoliere sie.

Anfragen und konkrete Wünsche erreichen uns am schnellsten per Ticket an support@kyberio.com. Tickets bearbeiten wir priorisiert.

Telefonisch sind wir heute möglicherweise eingeschränkt erreichbar, weil alle verfügbaren Kolleginnen und Kollegen am Einspielen der Patches arbeiten.

Den Live-Status und Benachrichtigungen zu allen Diensten findest du auf kyberiostatus.com. Über „Subscribe to Updates" lässt du dich dort automatisch informieren, sobald sich etwas ändert.

Wo der Patch-Stand steht: nicht in diesem Beitrag, sondern laufend auf der Statusseite — und, wo es dein System betrifft, in einer eigenen Kundeninformation. Dieser Beitrag ordnet ein und bleibt die Übersicht; den aktuellen Stand je Dienst hat die Statusseite.

• PHP Foundation — Sicherheitsmeldung mit den behobenen Versionen
• PHP Foundation — Ankündigung des Sicherheitsupdates (20.10.2026)
• CERT-EU — Security Advisory 2026-018
• heise online — Wichtige PHP-Updates am 21. Oktober
• netzwelt — EU-Behörde warnt, erste Websites gehen offline
• BSI — Cybersicherheitswarnung: Kritische Schwachstellen bedrohen Webanwendungen weltweit
• Huntress — Analyse zu php2shell (englisch)