Am 21. Oktober 2026 hat das BSI vor zwei Sicherheitslücken in PHP gewarnt. Über die Sicherheitslücken könnten Angreifer unter bestimmten Bedingungen Schadcode auf betroffenen Servern ausführen. Da das BSI eine weitreichende Ausnutzung innerhalb weniger Stunden nach Veröffentlichung der Sicherheitsupdates für wahrscheinlich hielt, war unverzüglicher Handlungsbedarf gegeben.
Was ist passiert?
In der Programmiersprache PHP wurden zwei kritische Sicherheitslücken (PHP RCE CVE-2026-109618 und CVE-2026-109619) entdeckt. PHP wird unter anderem von WordPress und vielen anderen Webseiten und Webservern verwendet. Somit betrifft das Problem Hosting-Anbieter und Webseiten weltweit. Die Sicherheitslücken befinden sich in PHP, nicht bei Power-Netz.
Angreifer könnten die Schwachstellen unter bestimmten Voraussetzungen ausnutzen, um beispielsweise auf gespeicherte Daten zuzugreifen oder Webseiten zu manipulieren.
Weitere Informationen finden Sie in den offiziellen Mitteilungen:
- BSI: Informationen zu den kritischen PHP-Sicherheitslücken
- PHP: Offizielle Informationen zu den Sicherheitsupdates
Welche Maßnahmen hat Power-Netz ergriffen?
Nachdem die Sicherheitslücken bekannt wurden, haben wir umgehend reagiert. Um unsere Kundensysteme zu schützen, wurden folgende Maßnahmen durchgeführt:
- Vorsorgliche Abschaltung: Alle betroffenen Systeme wurden bereits vor der Veröffentlichung der Sicherheitsupdates offline genommen.
- Sicherheitsupdates: Nachdem entsprechende Updates verfügbar waren, haben wir diese auf unseren Plesk-Systemen für die betroffenen PHP-Versionen eingespielt. Dazu gehören auch Sicherheitsupdates für PHP 7.4 und höhere Versionen.
- Wiederinbetriebnahme: Nach der Aktualisierung konnten wir unsere Plesk-Systeme wieder online nehmen.
- Ältere Hosting-Plattform: Die Server unserer Server-/Reseller-Interface-Plattform bleiben aus Sicherheitsgründen weiterhin offline. Informationen zum aktuellen Stand und zum weiteren Vorgehen stellen wir gesondert bereit.
Warum war die Abschaltung notwendig?
Bei kritischen Sicherheitslücken besteht die Gefahr, dass Angreifer diese ausnutzen, bevor passende Sicherheitsupdates verfügbar sind.
Deshalb haben wir uns entschieden, zum Schutz unserer Kunden sowie ihrer Webseiten und Daten die betroffenen Systeme vorsorglich offline zu nehmen, anstatt sie bis zur Bereitstellung der Sicherheitsupdates weiterhin erreichbar zu lassen.
Uns ist bewusst, dass die teilweise längeren Ausfallzeiten für unsere Kunden ärgerlich sind und insbesondere bei geschäftlich genutzten Webseiten zu Einschränkungen geführt haben.
Mit der Abschaltung haben wir eine notwendige Vorsichtsmaßnahme getroffen und somit Verantwortung für die betroffenen Systeme und die darauf gespeicherten Daten übernommen.
Was sollten Kunden mit einem Plesk-Hosting jetzt tun?
Wir empfehlen allen Kunden, die PHP-Version ihrer Webseite zu überprüfen und möglichst auf die neueste verfügbare PHP-Version umzustellen.
Gehen Sie dabei wie folgt vor:
- PHP-Version prüfen: Melden Sie sich in Ihrem Plesk Hosting-Control-Panel an und prüfen Sie, welche PHP-Version Ihre Webseite aktuell verwendet.
- PHP-Version aktualisieren: Wählen Sie möglichst die neueste verfügbare PHP-Version aus.
- Webseite testen: Rufen Sie anschließend Ihre Webseite auf und prüfen Sie, ob alle Funktionen weiterhin ordnungsgemäß arbeiten. Achten Sie dabei auch auf Formulare, Plugins und andere Erweiterungen.
- Bei Problemen: Sollte Ihre Webseite mit der gewählten PHP-Version nicht funktionieren, prüfen Sie, ob Updates für Ihre Webseiten-Software verfügbar sind. Alternativ können Sie eine andere, möglichst aktuelle PHP-Version testen.
Eine Anleitung zur Änderung der PHP-Version finden Sie in unserem FAQ-Beitrag:
Was gilt für PHP-Versionen unterhalb von 7.4?
Wenn Ihre Webseite noch eine PHP-Version unterhalb von 7.4 verwendet, empfehlen wir Ihnen dringend, diese zu aktualisieren.
Für die von uns bereitgestellte PHP-Version 7.4 sowie höhere Versionen wurden entsprechende Sicherheitsupdates eingespielt. Ob auch für ältere PHP-Versionen Sicherheitsupdates über Plesk bereitgestellt werden, ist uns derzeit nicht bekannt.
Wichtig: Auch PHP 7.4 wird von den offiziellen PHP-Entwicklern bereits seit längerer Zeit nicht mehr unterstützt. Das von uns eingespielte Sicherheitsupdate ändert daran nichts.
Wir empfehlen deshalb ausdrücklich, möglichst eine aktuelle PHP-Version der 8er-Reihe zu verwenden, sofern Ihre Webseite damit funktioniert.
Was tun, wenn eine Aktualisierung nicht möglich ist?
Ältere Webseiten oder Erweiterungen sind teilweise nicht mit aktuellen PHP-Versionen kompatibel. Häufig lässt sich das Problem durch ein Update der verwendeten Software beheben.
Sollte eine Aktualisierung derzeit nicht möglich sein und können Sie nicht beurteilen, ob Ihre Webseite ausreichend geschützt ist, empfehlen wir Ihnen, diese vorsorglich selbst über das Plesk Hosting-Control-Panel zu deaktivieren.
Damit verhindern Sie, dass Ihre möglicherweise unsichere Webseite weiterhin öffentlich erreichbar ist.
Zusätzlicher Schutz für Plesk-Server
Kunden, die bei uns einen eigenen Server mit Plesk betreiben, können die Sicherheit ihrer PHP-Anwendungen durch die kostenpflichtige Erweiterung TuxCare Extended Lifecycle Support für PHP zusätzlich erhöhen.
TuxCare stellt weiterhin Sicherheitsupdates für ältere PHP-Versionen bereit, deren offizieller Support bereits eingestellt wurde. Aktuell werden die PHP-Versionen 5.6 bis einschließlich 8.0 unterstützt. Dadurch lassen sich bestehende Webseiten besser absichern, wenn eine Umstellung auf eine aktuelle PHP-Version derzeit noch nicht möglich ist.
Wir empfehlen unseren Serverkunden ausdrücklich, diese Erweiterung zu nutzen, insbesondere wenn auf dem Server noch ältere PHP-Versionen eingesetzt werden. TuxCare reduziert bekannte Sicherheitsrisiken, ersetzt jedoch nicht die langfristig empfohlene Aktualisierung auf eine offiziell unterstützte PHP-Version.
Weitere Informationen zu den Leistungen und Kosten finden Sie auf unserer Produktseite:
Bestellung für Bestandskunden: Die Erweiterung kann derzeit per E-Mail an technik@power-netz.de beauftragt werden. Bitte geben Sie dabei Ihre Kundennummer und den Namen des betreffenden Servers an.
Informationen für Kunden der Server-/Reseller-Interface-Plattform
Die Server unserer älteren Server-/Reseller-Interface-Plattform bleiben aufgrund der aktuellen Sicherheitslage weiterhin offline.
Weitere Informationen zu den Einschränkungen und zum empfohlenen Umzug auf unsere aktuelle Hosting-Plattform finden Sie in unserem FAQ-Beitrag:
Wenn Sie noch einen entsprechenden Hosting-Tarif nutzen, empfehlen wir Ihnen, den Umzug auf unsere aktuelle Hosting-Plattform zu beauftragen. Die weiteren Schritte und Informationen zur Buchung finden Sie im verlinkten FAQ-Beitrag.
Unsere Empfehlung: Halten Sie Ihre Software aktuell
Unabhängig von den aktuellen Sicherheitslücken sollten Sie Ihre Webseite regelmäßig auf verfügbare Updates prüfen.
Dazu gehören insbesondere:
- Eine möglichst aktuelle und offiziell unterstützte PHP-Version
- Updates für Ihr Content-Management-System, beispielsweise WordPress
- Aktuelle Versionen Ihrer Themes, Plugins und sonstigen Erweiterungen
- Die Entfernung nicht mehr benötigter oder nicht mehr unterstützter Software
Regelmäßige Updates helfen dabei, bekannte Sicherheitslücken zu schließen und das Risiko eines Angriffs zu verringern.
Wo finden Sie aktuelle Informationen?
Über den aktuellen Stand unserer Systeme, weitere Sicherheitsupdates und mögliche Änderungen informieren wir auf unserer Statusseite:
Wir empfehlen Ihnen, diese Seite regelmäßig aufzurufen.
