Sicherheitshinweis: Kritische PHP-Schwachstellen (CVE-2026-109618 und CVE-2026-109619)
Auswirkungen
In Wartung aus 7:00 AM zu 12:00 AM
In Wartung aus 7:00 AM zu 12:00 AM
In Wartung aus 7:00 AM zu 12:00 AM
In Wartung aus 7:00 AM zu 12:00 AM
In Wartung aus 7:00 AM zu 12:00 AM
In Wartung aus 7:00 AM zu 12:00 AM
- UpdateOktober 21, 2026 um 20:20UTCUpdateOktober 21, 2026 um 20:20UTC
Sehr geehrte Kundin, sehr geehrter Kunde,
wir freuen uns, Ihnen mitteilen zu können, dass wir die Patches für die kritischen Sicherheitslücken in PHP, über die wir Sie heute informiert haben, nun auf allen Servern eingespielt haben.
Neben den bereits aktualisierten Versionen 8.2 bis 8.5 haben wir inzwischen auch alle älteren PHP-Versionen bis hinunter zu PHP 5.6 gepatcht. Damit stehen für sämtliche auf unseren Servern bereitgestellten PHP-Versionen aktualisierte Fassungen zur Verfügung.
Den Wartungsmodus, den wir zum Schutz der betroffenen Webseiten und der Server aktiviert hatten, haben wir wieder deaktiviert. Die Webseiten sowie die ISPConfig-Oberflächen sind damit wieder wie gewohnt erreichbar.
Bitte beachten Sie: Wartungsmodi, Firewall-Regeln und andere Maßnahmen, die Sie selbst in Eigenregie vorgenommen haben, haben wir nicht verändert. Diese müssen Sie bei Bedarf selbst wieder zurücknehmen. Wie Sie den Wartungsmodus deaktivieren, haben wir hier beschrieben: https://timmehosting.de/wartungsmodus-ispconfig-aktivieren
Sollten Sie sich im Zuge eigener Schutzmaßnahmen von Ihrem Server ausgesperrt haben, melden Sie sich bitte bei uns. Wir helfen Ihnen in diesem Fall über ein kostenfreies Notfallticket.
Auch wenn die älteren PHP-Versionen nun gepatcht sind, möchten wir Sie darauf hinweisen, dass PHP-Versionen unterhalb von 8.2 von den PHP-Entwicklern nicht mehr offiziell gepflegt werden. Wir empfehlen Ihnen daher, Ihre Webseiten nach Möglichkeit mittelfristig auf eine aktuelle PHP-Version umzustellen.
Wir möchten uns herzlich für Ihr Verständnis und Ihre Geduld im Laufe des heutigen Tages bedanken. Über die vielen positiven Rückmeldungen und die Unterstützung, die wir von Ihnen erhalten haben, haben wir uns sehr gefreut.
Bei Rückfragen stehen wir Ihnen selbstverständlich jederzeit zur Verfügung.
############################
Dear Customer,
we are pleased to inform you that we have now applied the patches for the critical PHP security vulnerabilities we notified you about earlier today on all servers.
In addition to the already updated versions 8.2 to 8.5, we have now also patched all older PHP versions down to PHP 5.6. Updated builds are therefore available for all PHP versions provided on our servers.
We have deactivated the maintenance mode that we had enabled to protect the affected websites and the servers. The websites and ISPConfig interfaces are therefore accessible again as usual.
Please note: we have not changed any maintenance modes, firewall rules or other measures that you put in place yourself. If necessary, you will need to revert these yourself. We have described how to deactivate the maintenance mode here: https://timmehosting.de/wartungsmodus-ispconfig-aktivieren
If you have locked yourself out of your server as a result of your own protective measures, please contact us. In this case, we will help you via a free emergency ticket.
Although the older PHP versions have now been patched, please note that PHP versions below 8.2 are no longer officially maintained by the PHP developers. We therefore recommend migrating your websites to a current PHP version in the medium term wherever possible.
We would like to sincerely thank you for your understanding and patience throughout the day. We were very pleased by the many positive messages and the support we received from you.
Should you have any queries, we are of course available to assist you at any time.
- UpdateOktober 21, 2026 um 19:53UTCUpdateOktober 21, 2026 um 19:53UTC
Update: Die Patches für die PHP-Schwachstellen (CVE-2026-109618 und CVE-2026-109619) sind nun für alle PHP-Versionen von 8.5 bis 5.6 eingespielt. Wir heben derzeit den Wartungsmodus auf und bringen die betroffenen Webseiten sowie die ISPConfig-Oberflächen wieder online. Dies wird noch einige Minuten dauern. Von Ihnen selbst vorgenommene Schutzmaßnahmen (z. B. Wartungsmodi oder Firewall-Regeln) verändern wir nicht. Weitere Details folgen in Kürze.
############################
Update: The patches for the PHP vulnerabilities (CVE-2026-109618 and CVE-2026-109619) have now been applied to all PHP versions from 8.5 down to 5.6. We are currently lifting the maintenance mode and bringing the affected websites and ISPConfig interfaces back online. This will take a few more minutes. We will not change any protective measures you put in place yourself (e.g. maintenance modes or firewall rules). Further details will follow shortly.
- UpdateOktober 21, 2026 um 17:24UTCUpdateOktober 21, 2026 um 17:24UTC
Sehr geehrte Kundin, sehr geehrter Kunde,
bzgl. der kritischen Sicherheitslücke in der Programmiersprache PHP, über die wir Sie heute bereits informiert haben, möchten wir Ihnen einen weiteren Zwischenstand zukommen lassen.
Für die aktuell noch von den PHP Entwicklern gepflegten PHP Versionen 8.2 - 8.5 konnten wir mittlerweile Updates ausrollen. Die Sperren auf den Servern haben wir ebenfalls aufgehoben.
Damit alte Webseiten, mit noch verwundbaren PHP-Versionen nicht für Angreifer erreichbar sind, haben wir bei diesen den ISPConfig Wartungsmodus eingeschaltet, welcher eine statische HTML-Seite ausliefert.
Wir werden jetzt prüfen, ob und wie wir auch Updates für die älteren PHP-Versionen bereitstellen können. Sobald auch Updates für diese Versionen verfügbar sind, werden wir Sie erneut informieren.
Wir bedanken uns für Ihr Verständnis und Ihre Mitwirkung. Bei Rückfragen stehen wir Ihnen selbstverständlich jederzeit zur Verfügung.
############################
Dear Customer,
regarding the critical security vulnerability in the PHP programming language, about which we have already informed you today, we would like to provide you with a further update.
We have now rolled out updates for PHP versions 8.2 - 8.5, which are still being maintained by the PHP developers. We have also lifted the restrictions on the servers.
To ensure that older websites running vulnerable PHP versions remain inaccessible to attackers, we have enabled the ISPConfig maintenance mode on these sites, which serves a static HTML page.
We will now investigate whether and how we can also provide updates for the older PHP versions. As soon as updates for these versions are available, we will inform you again.
We thank you for your understanding and cooperation. Should you have any queries, we are of course available to assist you at any time.
- UpdateOktober 21, 2026 um 13:31UTCUpdateOktober 21, 2026 um 13:31UTC
Sehr geehrte Kundin, sehr geehrter Kunde,
zu der kritischen Sicherheitslücke in der Programmiersprache PHP sind inzwischen vorzeitig weitere Details veröffentlicht worden, und die Lücke wird bereits aktiv von Angreifern ausgenutzt. Wir waren deshalb gezwungen, vorübergehend alle Websites auf unseren Servern sowie die ISPConfig-Oberflächen zu deaktivieren.
Wir bedauern diesen Schritt sehr. Aktuell sehen wir jedoch keine andere Möglichkeit, unsere Systeme vor Angriffen zu schützen und die Integrität Ihrer Daten und der Daten Ihrer Kunden zu wahren.
Sobald die offiziellen Sicherheitsupdates für PHP verfügbar und auf unseren Systemen eingespielt sind, schalten wir alles wieder frei. Sie müssen dafür nichts tun. Den aktuellen Stand finden Sie laufend auf unserer Statusseite unter timmehosting-status.com. Ich wiederhole: timmehosting-status.com.
Bitte sehen Sie von Anfragen zu diesem Thema ab. So können sich unsere Techniker voll darauf konzentrieren, Ihre Websites so schnell wie möglich wieder online zu bringen. Vielen Dank für Ihr Verständnis!
- In BearbeitungOktober 21, 2026 um 07:00UTCIn BearbeitungOktober 21, 2026 um 07:00UTC
Sehr geehrte Kundin, sehr geehrter Kunde,
wir möchten Sie über zwei kritische Sicherheitslücken in der weitverbreiteten Programmiersprache PHP informieren, die am 20. Oktober 2026 öffentlich bekannt wurden. Beide Schwachstellen werden mit einem Schweregrad von 9,2 von 10 (CVSS v4.0) als kritisch eingestuft und betreffen nach bisherigem Kenntnisstand die Verarbeitung von Datei-Upload-Anfragen durch PHP – noch bevor die eigentliche Anwendung (z. B. Ihr Content-Management-System oder Shop) die Anfrage verarbeitet.
Aktuelle Lage
Die Details zu diesen Schwachstellen wurden vorzeitig veröffentlicht, noch bevor ein offizieller Sicherheitspatch von PHP bereitgestellt werden konnte. Zum jetzigen Zeitpunkt liegen uns keine ausreichenden Informationen vor, um das tatsächliche Risiko abschließend zu bewerten. Ein offizielles Advisory mit verbindlichen Angaben zu betroffenen und korrigierten PHP-Versionen steht noch aus. Auch die genaue Angriffsfläche und mögliche Schutzmaßnahmen lassen sich erst nach Veröffentlichung der offiziellen Informationen durch das PHP-Sicherheitsteam zuverlässig beurteilen.
Unsere Empfehlung
Die sicherste Option ist es aktuell alle Seiten welche PHP nutzen (inkl. ISPConfig) komplett zu isolieren. Sie können dies mit der Firewall via ISPConfig jederzeit selbst hinterlegen (und nach den Patches auch wieder entfernen).
Die Firewall können Sie im ISPConfig unter "System > System > Firewall" konfigurieren. Folgende Schritte wären notwendig:
- Eine neue Regel anlegen ("Neue Regel hinzufügen")
- Die Regel mit den Pfeilen so weit wie möglich nach oben schieben
- Im Feld "Quell-IP" geben Sie Ihre eigene IPv4 Adresse (https://ipv4.timmehosting.de) an, mit einem Ausrufezeichen davor, z. B. "!127.0.0.1"
- Prüfen Sie, ob das Ausrufezeichen wirklich vor der IP gesetzt ist, dies ist essentiell!
- Im Feld "Ziel-Port" werden die folgenden Ports eingetragen "80,443,8080,8081"
- Als Aktion wird "DENY" gesetzt
- Weitere Felder werden nicht ausgefüllt
- Wenn alle Einträge korrekt sind, kann abgespeichert werden und die Firewall sichert alle Seiten ab.
Sobald die Fixes aktiv sind, kann die Regel einfach wieder gelöscht werden.
Eine weniger drastische (aber auch weniger sichere Option) ist es Ihre Webseite vorübergehend zu deaktivieren oder den Wartungsmodus über ISPConfig (https://timmehosting.de/wartungsmodus-ispconfig-aktivieren) zu aktivieren, bis wir die gepatchten PHP-Versionen auf unseren Systemen verteilt haben. Bitte nutzen Sie nicht den Wartungsmodus Ihres Shops oder der Webanwendung, da dieser mit hoher Wahrscheinlichkeit auch PHP nutzt.
Sofern Sie den Wartungsmodus für Ihre Seiten nutzen möchten, sollten Sie dennoch die Anleitung zur Firewall für ISPConfig durchführen, können dann aber die Ports "80,443" weglassen und nur "8080,8081" sperren.
Angesichts der kritischen Einstufung und der noch unklaren Risikolage halten wir eine Sperre per Firewall derzeit für die sicherste Vorgehensweise.
Nächste Schritte
Sobald die offiziell gepatchte PHP-Version verfügbar ist, werden wir diese nach sorgfältiger Prüfung und Freigabe umgehend auf unseren Systemen ausrollen. Nach Abschluss der Installation informieren wir Sie erneut, sodass Sie Ihre Webseite wieder in Betrieb nehmen können.
Wir bedanken uns für Ihr Verständnis und Ihre Mitwirkung. Bei Rückfragen stehen wir Ihnen selbstverständlich jederzeit zur Verfügung.
---
Security Advisory: Critical PHP Vulnerabilities (CVE-2026-109618 and CVE-2026-109619)
Dear Customer,
We would like to inform you about two critical security vulnerabilities in the widely used programming language PHP, which were publicly disclosed on October 20, 2026. Both vulnerabilities are rated as critical with a severity score of 9.2 out of 10 (CVSS v4.0) and, according to current knowledge, affect the way PHP processes file upload requests — before the actual application (e.g., your content management system or shop) even processes the request.
Current Situation
The details of these vulnerabilities were published prematurely, before an official security patch could be provided by PHP. At this time, we do not have sufficient information to conclusively assess the actual risk. An official advisory with binding information on affected and corrected PHP versions is still pending. The exact attack surface and possible protective measures can only be reliably evaluated once the official information has been released by the PHP security team.
Our recommendation
The safest option at the moment is to completely isolate all websites that use PHP (including ISPConfig). You can set this up yourself at any time using the firewall in ISPConfig (and remove it once the patches have been applied).
You can configure the firewall in ISPConfig under “System > System > Firewall”. Follow these steps:
- Create a new rule (“Add new rule”)
- Use the arrows to move the rule as far up as possible
- In the “Source IP” field, enter your own IPv4 address (you can look it up at https://ipv4.timmehosting.de) with an exclamation mark in front of it, e.g. “!127.0.0.1”
- Double-check that the exclamation mark really is in front of the IP address. This is essential!
- In the “Destination port” field, enter the following ports: “80,443,8080,8081”
- Set the action to “DENY”
- Leave all other fields blank
- Once all entries are correct, save the rule and the firewall will protect all of your websites
As soon as the fixes are live, you can simply delete the rule.
A less drastic (but also less secure) option is to temporarily disable your website or enable maintenance mode in ISPConfig (https://timmehosting.de/wartungsmodus-ispconfig-aktivieren) until we have rolled out the patched PHP versions across our systems. Please do not use the maintenance mode built into your shop or web application, as it very likely runs on PHP as well.
If you would like to use maintenance mode for your websites, you should still follow the firewall instructions for ISPConfig. In that case, however, you can leave out ports “80,443” and only block “8080,8081”.
Given the critical severity rating and the fact that the risk cannot yet be fully assessed, we currently consider blocking access via the firewall to be the safest approach.
Next Steps
As soon as the officially patched PHP version becomes available, we will roll it out on our systems promptly, following careful testing and approval. Once the installation is complete, we will notify you again so that you can bring your website back online.
We thank you for your understanding and cooperation. Should you have any questions, we are, of course, available to assist you at any time.