You can find the english version here.
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt (CVE-2026-109618 und CVE-2026-109619). Über sie können Angreifer betroffene Systeme aus der Ferne missbrauchen. In diesem FAQ-Artikel finden Sie alle wichtigen Informationen dazu.
Sind unsere Systeme aktuell geschützt?
Ja. Es wurden sofort nach Bekanntwerden der Sicherheitslücke, noch vor Bereitstellung der offiziellen Patches, Gegenmaßnahmen aktiviert, um unsere Server abzusichern. Dies gilt für folgende Systeme:
- Classic Hosting (z.B. WebHosting und Webserver)
- cPanel Hosting
- Managed Wordpress
Wann ist das offizielle PHP-Update verfügbar?
PHP hat das Update am 21.10.2026 um ca. 16 Uhr veröffentlicht.
Wann spielen wir das Update ein?
Wir haben unmittelbar nach der Bereitstellung durch PHP am 21.10.2026 mit dem Update begonnen. Die Installation läuft für einige Systeme noch. Sobald sie abgeschlossen ist, aktualisieren wir diese Information.
Ihr System ist aber bereits geschützt – unabhängig davon, ob das Update bereits installiert ist.
Update 22.10.2026, 15:30 Uhr: Alle Systeme wurden nun erfolgreich gepatcht.
Warum weichen bei cPanel manche Versionsnummern von denen ab, die in den Medien genannt oder auf php.net aufgeführt werden?
Wir verwenden bei cPanel für alle PHP-Versionen CloudLinux alt-php. CloudLinux hat die Korrekturen in eine gemeinsame Upstream-Version integriert. Daher kann beispielsweise PHP 8.4.26 installiert sein, obwohl auf php.net PHP 8.4.27 als die korrigierte Version aufgeführt ist. Die Sicherheitskorrekturen sind dennoch enthalten.
Muss ich selbst etwas unternehmen?
Wenn Sie eins der oben genannten Systeme verwenden: Nein.
Wir haben bereits erforderliche Maßnahmen ergriffen und kümmern uns um die Installation der Updates.
Sollten Sie jedoch auch selbst verwaltete Systeme (wie zum Beispiel einen Virtual Server) betreiben, sind Sie bei diesen selber für die Installation des Updates verantwortlich. Weitere Informationen dazu finden Sie hier.
Weitere aktuelle Informationen finden Sie unter: https://status.hosteurope.de/
English Version:
On October 21, 2026, two critical security vulnerabilities in PHP were disclosed (CVE-2026-109618 and CVE-2026-109619). These vulnerabilities allow attackers to remotely exploit affected systems. This FAQ article provides all the important information you need.
Are our systems currently protected?Yes. As soon as the security vulnerability became known—even before the official patches were released—countermeasures were implemented to secure our servers. This applies to the following systems:
- Classic Hosting (z.B. WebHosting und Webserver)
- cPanel Hosting
- Managed Wordpress
When will the official PHP update be available?
PHP released the update on October 21, 2026, at approximately 4:00 p.m.
When will we install the update?
We began the update immediately after PHP released it on October 21, 2026. The installation is still in progress for some systems. We will update this information as soon as it is complete.
However, your system is already protected—regardless of whether the update has been installed yet.
Update October 22, 2026, 3:30 p.m.: All systems have now been successfully patched.
Why do some version numbers in cPanel differ from those reported in the media or listed on php.net?
We use CloudLinux alt-php within cPanel for all PHP versions. CloudLinux has incorporated the fixes into a shared upstream version. As a result, PHP 8.4.26 may be installed, for example, even though php.net lists PHP 8.4.27 as the fixed version. The security fixes are included nonetheless.
Do I need to take any action myself?
If you use one of the systems listed above: No.
We have already taken the necessary steps and are handling the installation of the updates.
However, if you operate systems that you manage yourself (such as a virtual server), you are responsible for installing the update on those systems yourself. You can find more information here.
For more up-to-date information, please visit: https://status.hosteurope.de/