Die Updates sind abgeschlossen. Alle proServer mit einem unterstützten Software-Stand laufen jetzt mit aktualisierten PHP-Versionen. Sie müssen dafür nichts weiter tun.
Für Software-Stände, für die es keine Updates mehr gibt, etwa PHP 8.1, kontaktieren wir die betroffenen Kund:innen einzeln. Ein Teil davon hat bereits von uns gehört. Wo kein Update möglich ist, arbeiten wir an einem Konzept, um möglichst viele Mitigations umzusetzen, also Abhilfen über die Konfiguration. Das senkt das Risiko eines erfolgreichen Angriffs, schließt ihn aber nicht aus. Ein Umstieg auf eine unterstützte PHP-Version bleibt deshalb der einzig sichere Weg.
Bei Fragen erreichen Sie uns wie gewohnt über den Support.
Die Blueprints für alle unterstützten PHP-Versionen sind fertig gebaut. Wir haben damit begonnen, sie auf die proServer auszurollen. Die Server werden nach und nach aktualisiert, Sie müssen dafür nichts tun.
Wenn Sie Ihren Server vorübergehend abgeschaltet haben, bringen wir ihn nach dem Update wieder ans Netz und geben Ihnen Bescheid. Sobald alle proServer aktualisiert sind, ergänzen wir diesen Beitrag.
Seit 16 Uhr ist der offizielle PHP-Patch verfügbar, und die aktualisierten Pakete haben wir inzwischen gebaut. Auf Ihren proServern spielen wir sie ab morgen früh nach und nach ein.
Warum es bis morgen dauert, hat mit der Architektur des proServers zu tun. Wir bauen alle Pakete selbst aus den offiziellen FreeBSD Ports und fassen sie in sogenannten Blueprints zusammen. Nur so können wir Ihnen die Vielfalt an Kombinationen liefern, etwa aus PHP- und MariaDB-Versionen.
Der Zeitplan:
– 16:00 Uhr: offizieller PHP-Patch veröffentlicht
– gegen 19:00 Uhr: FreeBSD-Pakete erstellt, danach bauen wir die Blueprints
– ab morgen früh: Rollout auf alle proServer
Wenn Sie Ihren Server bis dahin lieber abschalten möchten, rufen Sie uns an. Sobald alle Server aktualisiert sind, ergänzen wir diesen Beitrag.
Erste Gegenmaßnahmen haben wir bereits ergriffen. Wir wollen dabei ehrlich sein: Nach aktuellen Berichten schützen solche Maßnahmen wohl nicht zuverlässig. Echte Sicherheit bringt erst der offizielle Patch.
Wenn wir nichts von Ihnen hören, bleiben Ihre Seiten online. Ist Ihnen das bis zum Update zu unsicher, etwa weil Ihre Anwendung sensible Daten verarbeitet, nehmen wir Ihre Website oder Applikation gern vorübergehend offline und bringen sie danach wieder ans Netz.
Betreiben Sie Ihre Server nicht bei uns, sondern bei einem anderen Anbieter oder selbst, gilt dieselbe Empfehlung: Spielen Sie den Patch ein, sobald er verfügbar ist, und nehmen Sie die Seite bis dahin vom Netz, wenn Ihnen das Risiko zu hoch ist. Sagen Sie uns in dem Fall kurz Bescheid.
Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und laufen unter dem Namen „PHP2Shell“. Über sie können Angreifer:innen ohne Login eigenen Code auf einem Server ausführen und so etwa Daten auslesen oder Inhalte verändern.
Betroffen ist praktisch jede PHP-Anwendung, also auch TYPO3, Neos, WordPress oder Shopware. Die Ursache liegt nicht in Ihrem Projekt, sondern in PHP selbst. Deshalb erfolgt der Fix auf dem Server.
Mit unseren Bestandskund:innen sind wir per Mail im Austausch. Sie müssen aber nicht warten, bis wir uns melden: Bei Fragen oder wenn Sie Ihre Seite vorübergehend offline nehmen lassen möchten, wenden Sie sich direkt an Ihre Ansprechpartner:innen bei punkt.de.
Alternativ erreichen Sie uns per E-Mail an info@punkt.de oder telefonisch unter +49 (0)721 91090.
