Es ging durch alle Medien und es dauerte nicht lange, bis mein Postfach voll von Anfragen besorgter Kunden war: Die PHP-Sicherheitslücke. Was ist zu tun? Können Sie meine Website abschalten? Nach einer unruhigen Nacht habe ich mir heute Morgen dann erst einmal einen Überblick über den Status verschafft. Meine Kunden hosten Ihre Websites bei den unterschiedlichsten Anbietern. Und so ist dieses – für alle Seiten stressige – Thema eine gute Gelegenheit, um zu sehen, wie die einzelnen Hoster mit Stress-Situationen umgehen. Seit 16 Uhr gestern Nachmittag waren Sicheheitsupdates verfügbar – aber haben auch alle Hoster schon reagiert? Ein kleiner Vergleich: All Inkl – Hier hoste ich auch meine eigene Seite und ich empfehle das Hosting bei All Inkl allen Kunden, die noch kein eigenes Hosting haben. Heute Morgen waren die Sicherheits-Updates aufgespielt. Allerdings funktioniert Webmail immer noch nicht. Und bei einigen Kunden scheint der komplette Server down zu sein – da ist die Website dann gar nicht erreichbar. Leider gibt es von All Inkl keine offiziellen Meldungen. Keine Info auf ihrer eigenen Website und auch keine Emails an die Kunden. 👎Update 13:00 Uhr: Ein Popup informiert nun endlich auch hier die Kunden über die getroffenen Maßnahmen. Demnach wurden auch ältere PHP-Versionen, die offiziell nicht mehr unterstützt werden, gepatcht. Webmail funktioniert nun auch wieder. 👍 Ionos – Hat alle Sicherheitsupdates über Nacht aufgespielt. Informiert über https://www.ionos-status.de/ zuverlässig. Top!👍 Strato – Hat auch alle Updates aufgespielt. Einen Hinweis findet man auf https://www.strato.de/faq/ – allerdings kein Update zum aktuellen Stand. 🤷♀️ Hetzner – hat Sicherheitsupdates sofort aufgespielt – und auch eigene Patches für ältere PHP-Versionen. Hat darüber auf https://status.hetzner.com/ informiert und auch per Email an die Kunden. 👍 Netcup – hat frühzeitig per Email alle Kunden informiert und alle Systeme und Kundenwebsites direkt abgeschaltet. Nach Aufspielen der Patches kam heute Nacht per Email die Info, dass alle Systeme wieder einsatzbereit sind. Vorbildlich! 👍 Hosteurope – bis jetzt (mehr als 19 Stunden nach Release der Sicherheitsupdates) sind noch keine Updates auf den Servern zu sehen. Eine Info auf ihrer Website (https://www.hosteurope.de/faq/server/server-allgemeines/php-issue-cve-2026-10961x) informiert über die Lücke – nicht aber bis wann diese behoben sein wird. Klarer Fail! 👎Update 16:00 Uhr: Immer noch keine Updates auf den Servern!👎Ich habe alle Kundenwebsites von Hosteurope vorübergehend abgeschaltet.Update 23.10.: Morgens um 7:00 Uhr waren die Updates endlich eingespielt Domainfactory – ähnlich wie Hosteurope. Kurze Info auf https://status.df.eu/, dass Sie sich der Lücke bewusst sind, aber keine Info darüber, bis wann es behoben ist. Zur Zeit jedenfalls noch nicht. 👎Update 16:00 Uhr: Immer noch keine Updates auf den Servern!👎Ich habe alle Kundenwebsites von Domainfactory vorübergehend abgeschaltet.Update 23.10.: Morgens um 7:00 Uhr waren die Updates endlich eingespielt Alfahosting – hat laut https://status.alfahosting.de/ vor 2 Stunden damit begonnen, die Sicherheitsupdates einzuspielen (also keine Nachtschicht eingelegt). 🤷♀️Update 16:00 Uhr: Immer noch keine Updates auf den Servern!👎 Ich habe alle Kundenwebsites von alfahosting vorübergehend abgeschaltet.Update 23.10.: Bislang wurde nur die PHP Version 8.5 upgedated. Kunden, die 8.4 oder 8.3 nutzen, müssen weiter auf das Update warten. Die Websites bleiben abgeschaltet.Update 23.10. 14:00: alfahosting hat nach eigener Auskunft alle PHP-Versionen aktualisiert – dabei aber nicht die Versionsnummer geändert, weil sie das Fix direkt eingebaut haben. Eine Überprüfung der Versionsnummer zeigt daher immer noch die vulnerable letzte Version an – angeblich soll es gefixt sein. Ob ich das glauben kann? Höchstgradig unprofessionell!👎 Dogado – identisch mit Alfahosting. Infos auf https://status.dogado.de/ 🤷♀️Update 16:00 Uhr: Immer noch keine Updates auf den Servern!👎 Nodeeps – hat um 13:00 Uhr gestern seine eigene Website abgeschaltet. Auch das Kundenportal ist nicht mehr erreichbar. Die Kunden-Websites waren heute Morgen aber nach wie vor (ungeschützt) im Netz und eine Überprüfung ergab gravierende Mängel bei der Aktualisierung von PHP. Auf einem Kunden-Server lief PHP 8.4.3 – (zur Info: Diese Version stammt aus Januar 2025, die aktuelle Versionsnummer ist die 8.4.27!). Momentan sind die Websites gar nicht erreichbar, es wird also wohl daran gearbeitet Hoffentlich geht das gut… 👎👎👎Update 16:00 Uhr: Websites sind weiterhin nicht erreichbar. Keine weiteren Informationen auf der Website des Hosters.👎Update 23.10.: Die Websites sind wieder erreichbar und PHP wurde aktualisiert. Was mir grundsätzlich große Sorgen bereitet, ist, dass es die offiziellen Patches nur für die noch unterstützten PHP-Versionen 8.2 bis 8.5 gibt. Ich habe noch einige Kunden mit älteren Websites, die sich bislang noch nicht zu einem Update entschließen konnten. Sollte ein Hoster das Risiko nicht eingehen wollen und die alten PHP-Versionen nicht mehr zugänglich machen, dann wären diese Websites direkt verschwunden und nicht mehr herstellbar. Ich kann daher nur empfehlen, Websites technisch immer aktuell zu halten. 🤷♀️
