Alle Systeme laufen normal

Informationen

• Aktuelle Informationen: Kritische Sicherheitslücken in PHP (PHP2Shell)Info#1Link kopieren

  Zuletzt aktualisiert 22.10.2026, 13:01 Uhr

  UpdateAktuell22.10.2026, 13:01 Uhr

  Sicherheitsupdates für PHP 7.4 bis 8.1 – wir bleiben bei PHP 8.2 oder neuer

  Plesk hat inzwischen auch für die älteren Versionen PHP 7.4, 8.0 und 8.1 Sicherheitsupdates veröffentlicht (7.4.33, 8.0.30 und 8.1.34, jeweils gebaut am 21.10.2026).

  Wir stellen Websites trotzdem nicht automatisch zurück: PHP-Versionen unter 8.2 haben ihr Lebensende (EOL) erreicht und erhalten offiziell keine Sicherheitsupdates mehr. Bei künftigen Sicherheitslücken wird es für diese Versionen voraussichtlich keine Patches geben.

  Bitte prüft deshalb weiterhin, ob eure Website mit PHP 8.2 oder neuer einwandfrei funktioniert. So erkennt ihr Fehler und findet die Ursache: Nach dem PHP-Update: So erkennst du Probleme mit deiner WordPress-Website

  Ihr könnt unter keinen Umständen auf PHP 8.1 oder älter verzichten? Dann meldet euch bei unserem Support per E-Mail an support@hostpress.de oder im Live-Chat im Kundencenter. Wir nehmen euch auf eine Warteliste und stellen eure Website bei Bedarf manuell auf eine der abgesicherten älteren PHP-Versionen zurück.

  Alle Details: Aktuelle Informationen zu PHP2Shell

  ---

  UpdateAktuell22.10.2026, 06:30 Uhr

  PHP-Sicherheitslücken: Alle Server aktualisiert, ältere PHP-Versionen umgestellt

  Auf allen Plesk-Servern sind die abgesicherten PHP-Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 eingespielt.

  Websites, die noch PHP 8.1 oder älter verwendet haben, haben wir in der Nacht auf PHP 8.2 oder höher umgestellt. Die angekündigten Sicherheitsupdates für PHP-Versionen unter 8.2 konnten wir bislang nicht in geprüfter Form einspielen. In Anbetracht der Schwere dieser Sicherheitslücken mussten wir so handeln, um alle Websites auf unseren Servern zu schützen. Wir bitten um Verständnis.

  Die ursprünglichen Einstellungen jeder Website haben wir dokumentiert. Sobald es für Plesk eine Möglichkeit gibt, PHP-Versionen unter 8.2 abzusichern, spielen wir diese Updates ein. Danach könnt ihr eure Website wieder auf die vorherige Version zurückstellen.

  Was ihr jetzt tun solltet: Lief eure Website bisher mit PHP 8.1 oder älter, prüft sie bitte jetzt gründlich, auch Kontaktformulare, den WordPress-Login und bei Shops den Bestellvorgang. Treten Fehler auf, liegen sie in aller Regel an veralteten Plugins oder Themes. Aktualisiert diese oder wendet euch an euren Entwickler oder eure Agentur. Eine Rückstellung auf eine ältere PHP-Version ist derzeit nicht möglich.

  Wir empfehlen außerdem, die Passwörter eurer WordPress-Administratoren und die WordPress-Sicherheitsschlüssel (Salts) zu erneuern: https://docs.hostpress.de/article/wordpress-sicherheitsschluessel-salts-erneuern/

  Unsere Firewall (Imunify360) blockiert weiterhin bekannte Angriffsmuster und wird laufend aktualisiert.

  ---

  Erste Meldung22.10.2026, 00:36 Uhr

  Was ist passiert?

  Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken in PHP veröffentlicht (CVE-2026-109618 und CVE-2026-109619, auch bekannt als „PHP2Shell“). Betroffen sind alle Websites, die auf PHP basieren, also auch WordPress und WooCommerce. Die Lücken stecken in PHP selbst, nicht in WordPress, Themes oder Plugins.

  Wie betroffen ist deine Website bei HostPress?

  Die schwerwiegendste bekannte Angriffsvariante setzt eine PHP-Betriebsart voraus (Apache-Modul mod_php), die wir bei HostPress in der Regel nicht einsetzen. Websites bei uns laufen über PHP-FPM. Für diese Betriebsart ist das Risiko geringer, aber nicht ausgeschlossen. Wir behandeln den Vorfall mit höchster Priorität.
  Läuft deine Website auf einem Plesk-Server der ehemaligen „WP-Projects“-Umgebung, prüfe bitte anhand der Anleitung unten, welche PHP-Version du nutzt und ob sie als „FPM-Anwendung“ ausgeführt wird.

  Was wir bereits gemacht haben

  Auf allen Servern haben wir die PHP-Funktion „Session Upload Progress“ deaktiviert und alle PHP-Prozesse neu gestartet. Damit folgen wir der Empfehlung des PHP-Projekts und blockieren den für PHP-FPM bestätigten Angriffsweg.
  Unsere Web Application Firewall (Imunify360) filtert bekannte Angriffsmuster und Varianten des öffentlich verfügbaren Angriffswerkzeugs, bevor die Anfrage deine Website erreicht. Die Regeln werden laufend automatisch aktualisiert. IP-Adressen, die nach diesen Lücken suchen oder sie ausnutzen, bekommen eine CAPTCHA-Abfrage angezeigt.
  Beides sind Übergangsmaßnahmen, die das Risiko deutlich senken, aber das PHP-Update nicht ersetzen.

  Stand der PHP-Updates

  Da die Update-Server der großen Softwarehersteller derzeit sehr stark ausgelastet sind, dauern Updatevorgänge ungewöhnlich lange.

  • PHP 8.2 bis 8.5: Die abgesicherten Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 werden derzeit eingespielt bzw. sind auf vielen Servern bereits eingespielt.

  Aktueller Stand 21.10.26 – 23:00 Uhr: 95% aller Server sind auf den aktuellen PHP Versionen: 8.2.35, 8.3.36, 8.4.27 und 8.5.12

  • PHP 7.4 bis 8.1: Unser Softwarehersteller Plesk stellt auch für diese Versionen Sicherheitsupdates bereit. Diese werden derzeit eingespielt bzw. spielen wir ein, sobald sie von den Update-Servern abrufbar sind.
  • PHP 7.3 und älter: Für diese Versionen gibt es keine Sicherheitsupdates.

  Du willst wissen, welche PHP-Version auf deiner Webseite gerade aktiv ist?

  So kannst du deine aktuelle PHP-Version sicher und zuverlässig in WordPress im Adminbereich einsehen:

  1. Gehe im WordPress-Backend unter „Werkzeuge“ → „Website-Zustand“
  2. Wechsle oben in den Reiter „Bericht“
  3. Scrolle runter bis zu „Server“ und klicke das Toggle auf
  4. In der Tabelle siehst du jetzt die „PHP-Version“

  Empfehlung von CERT-EU

  Das Computer-Notfallteam der EU-Institutionen (CERT-EU) empfiehlt, betroffene Systeme sofort zu aktualisieren. Wo das nicht möglich ist, sollen öffentlich erreichbare Anwendungen vom Internet getrennt werden, bis ein Update eingespielt ist.

  Was du tun solltest

  • PHP 8.3 oder neuer: Keine Aktion nötig. Wir spielen die Updates für dich ein.
  • PHP 8.2: Kein akuter Handlungsbedarf, die Sicherheitsupdates spielen wir ein. PHP 8.2 erhält ab dem 31. Dezember 2026 keine Sicherheitsupdates mehr. Wir empfehlen dir, in den nächsten Wochen auf PHP 8.3 oder neuer zu wechseln.
  • PHP 7.4, 8.0 oder 8.1: Die Notfall-Patches spielen wir ein. Trotzdem empfehlen wir dir dringend, auf PHP 8.3 oder neuer umzustellen. Diese Versionen werden nicht mehr regulär gepflegt und erhalten bei künftigen Sicherheitslücken voraussichtlich keine Updates mehr.
  • PHP 7.3 oder älter: Bitte stelle deine Website umgehend selbst auf PHP 8.3 oder neuer um.

  Für Websites mit PHP 8.1 oder älter planen wir weitere Schritte. Betroffene Kunden informieren wir gesondert.

  So stellst du die PHP-Version um

  Anleitung: https://docs.hostpress.de/article/php-einstellungen-in-plesk/
  Die Plesk-Oberfläche erreichst du nach dem Login in unserem Kundencenter über den Button „Control Panel Login“.
  Vor der Umstellung: WordPress, alle Plugins und dein Theme aktualisieren und ein Backup erstellen. Nach der Umstellung: deine Website gründlich prüfen. Funktioniert etwas nicht wie gewohnt, kannst du die PHP-Version in Plesk zurückstellen.
  Für die Kompatibilität deiner Website mit einer neuen PHP-Version bist du selbst verantwortlich. Fehler nach einem Versionswechsel liegen in aller Regel an veralteten Plugins oder Themes. Diese können wir im Rahmen unseres Hosting-Supports nicht beheben. Wende dich in diesem Fall an deinen Entwickler oder deine Agentur.

  Häufige Fragen

  Warum ist die Statusseite nicht erreichbar?

  Auch der Server unserer Statusseite erhält gerade die PHP-Sicherheitsupdates. Da die Update-Server der großen Softwarehersteller derzeit sehr stark ausgelastet sind, dauern Updatevorgänge ungewöhnlich lange. Die Statusseite ist wieder erreichbar, sobald das Update auf diesem Server abgeschlossen ist. Bis dahin informieren wir dich hier. Es handelt sich um eine Wartung, nicht um eine Störung.

  Mir wird beim Aufruf meiner Website plötzlich ein CAPTCHA angezeigt.

  Unsere Firewall zeigt IP-Adressen, die durch verdächtige Anfragen aufgefallen sind, vorübergehend eine CAPTCHA-Abfrage an. Nach dem Lösen kannst du die Website normal nutzen. Tritt das CAPTCHA wiederholt auf, etwa bei einem eigenen Server oder einem externen Dienst, der auf deine Website zugreift, melde dich bei unserem Support.

  Ein Datei-Upload oder Formular funktioniert seit Kurzem nicht mehr.

  Die Firewall blockiert derzeit auch auffällige Upload-Anfragen. In seltenen Fällen kann das legitime Uploads betreffen. Melde dich bitte bei unserem Support und nenne Domain, Uhrzeit und die betroffene Funktion.

  Ich nutze in einer eigenen Anwendung einen Fortschrittsbalken für Datei-Uploads.

  Die deaktivierte Funktion „Session Upload Progress“ wird von WordPress selbst nicht genutzt. Gibt es in deiner eigenen Anwendung Probleme, melde dich bei unserem Support.

  Ich habe Websites auch bei anderen Anbietern.

  Prüfe bitte auch dort, ob die PHP-Updates eingespielt sind.

  Könnt ihr prüfen, ob die Sicherheitslücke bei meiner Webseite ausgenutzt wurde?

  Eine Ausnutzung dieser Sicherheitslücken lässt sich leider nicht mit Sicherheit nachweisen oder ausschließen, auch nicht durch eine Auswertung von Logdateien. Eine individuelle forensische Prüfung einzelner Websites können wir im Rahmen unseres Hosting-Supports nicht leisten.
  Das machen wir automatisch für alle Websites: Unsere Firewall (Imunify360) blockiert bekannte Angriffsmuster, und unser Malware-Scanner prüft die Dateien auf unseren Servern laufend auf Schadcode. Wird dabei etwas gefunden, melden wir uns bei dir.
  Das kannst du selbst prüfen:

  • Gibt es in WordPress unter „Benutzer“ Administratoren, die du nicht kennst?
  • Wurden Plugins oder Themes installiert, die du nicht kennst?
  • Leitet deine Website auf fremde Seiten weiter, oder zeigt sie Inhalte an, die nicht von dir stammen?
  • Hast du ungewöhnliche E-Mails von deiner Domain oder Warnungen von Google erhalten?

  Unabhängig davon empfehlen wir, die Passwörter deiner WordPress-Administratoren und die WordPress-Sicherheitsschlüssel (Salts) zu erneuern, sobald deine PHP-Version aktualisiert ist.
  Hast du einen konkreten Verdacht oder trifft einer der Punkte zu, wende dich an deinen Entwickler, deine Agentur oder einen spezialisierten Dienstleister für die Bereinigung gehackter Websites. Wir unterstützen dich mit folgenden Anleitungen dabei: Logdateien bereitstellen oder ein Backup wiederherstellen.

  Bei Fragen erreichst du wie gewohnt unseren Support über das Kundencenter.