Seit 16 Uhr ist der offizielle PHP-Patch verfügbar, und die aktualisierten Pakete haben wir inzwischen gebaut. Auf Ihren proServern spielen wir sie ab morgen früh nach und nach ein.
Warum es bis morgen dauert, hat mit der Architektur des proServers zu tun. Wir bauen alle Pakete selbst aus den offiziellen FreeBSD Ports und fassen sie in sogenannten Blueprints zusammen. Nur so können wir Ihnen die Vielfalt an Kombinationen liefern, etwa aus PHP- und MariaDB-Versionen.
Der Zeitplan:
– 16:00 Uhr: offizieller PHP-Patch veröffentlicht
– gegen 19:00 Uhr: FreeBSD-Pakete erstellt, danach bauen wir die Blueprints
– ab morgen früh: Rollout auf alle proServer
Wenn Sie Ihren Server bis dahin lieber abschalten möchten, rufen Sie uns an. Sobald alle Server aktualisiert sind, ergänzen wir diesen Beitrag.
Erste Gegenmaßnahmen haben wir bereits ergriffen. Wir wollen dabei ehrlich sein: Nach aktuellen Berichten schützen solche Maßnahmen wohl nicht zuverlässig. Echte Sicherheit bringt erst der offizielle Patch.
Wenn wir nichts von Ihnen hören, bleiben Ihre Seiten online. Ist Ihnen das bis zum Update zu unsicher, etwa weil Ihre Anwendung sensible Daten verarbeitet, nehmen wir Ihre Website oder Applikation gern vorübergehend offline und bringen sie danach wieder ans Netz.
Betreiben Sie Ihre Server nicht bei uns, sondern bei einem anderen Anbieter oder selbst, gilt dieselbe Empfehlung: Spielen Sie den Patch ein, sobald er verfügbar ist, und nehmen Sie die Seite bis dahin vom Netz, wenn Ihnen das Risiko zu hoch ist. Sagen Sie uns in dem Fall kurz Bescheid.
Die beiden Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und laufen unter dem Namen „PHP2Shell“. Über sie können Angreifer:innen ohne Login eigenen Code auf einem Server ausführen und so etwa Daten auslesen oder Inhalte verändern.
Betroffen ist praktisch jede PHP-Anwendung, also auch TYPO3, Neos, WordPress oder Shopware. Die Ursache liegt nicht in Ihrem Projekt, sondern in PHP selbst. Deshalb erfolgt der Fix auf dem Server.
Mit unseren Bestandskund:innen sind wir per Mail im Austausch. Sie müssen aber nicht warten, bis wir uns melden: Bei Fragen oder wenn Sie Ihre Seite vorübergehend offline nehmen lassen möchten, wenden Sie sich direkt an Ihre Ansprechpartner:innen bei punkt.de.
Alternativ erreichen Sie uns per E-Mail an info@punkt.de oder telefonisch unter +49 (0)721 91090.
