Am 20. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt. dogado arbeitet derzeit daran, die notwendigen Sicherheitsupdates auf den betroffenen Webhosting- und Managed-Systemen einzuspielen.
Was ist passiert?
Die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 betreffen die Programmiersprache PHP, die unter anderem von WordPress und zahlreichen weiteren Webanwendungen verwendet wird.
Unter bestimmten Voraussetzungen können diese Schwachstellen ausgenutzt werden, um unbefugt Programmcode auf einem betroffenen Server auszuführen. Die Ursache liegt in PHP selbst und ist nicht auf dogado beschränkt.
Am 21. Oktober 2026 hat das PHP-Projekt entsprechende Sicherheitsupdates veröffentlicht.
Welche Maßnahmen ergreift dogado?
Wir arbeiten daran, die notwendigen Sicherheitsupdates auf unseren betroffenen Webhosting- und Managed-Systemen einzuspielen.
Die Arbeiten sind noch nicht vollständig abgeschlossen. Bis zur erfolgreichen Aktualisierung kann für betroffene PHP-Installationen weiterhin ein Sicherheitsrisiko bestehen.
Hat sich Ihre PHP-Version geändert?
Nein. Bei der Durchführung der Sicherheitsupdates wird die jeweils bereits verwendete PHP-Version beibehalten. Ihre Website wird dabei nicht automatisch auf eine andere PHP-Version umgestellt.
So vermeiden wir Kompatibilitätsprobleme, die ein Versionswechsel beispielsweise bei Ihrem Content-Management-System, Ihren Plugins, Themes oder eigenen Anwendungen verursachen könnte.
Warum zeigt mein Monitoring weiterhin dieselbe PHP-Version an?
Bei den von uns bereitgestellten PHP-Paketen werden Sicherheitskorrekturen durch sogenanntes Backporting in die bestehende PHP-Version übernommen.
Dabei bleibt die angezeigte PHP-Versionsnummer unverändert. Lediglich die interne Paket-Release-Version wird erhöht.
Auf bereits aktualisierten Systemen können externe Prüfprogramme oder die PHP-Informationsseite phpinfo() deshalb weiterhin dieselbe PHP-Versionsnummer wie vor dem Update anzeigen.
Eine unveränderte PHP-Versionsnummer bedeutet bei bereits aktualisierten Systemen nicht, dass die Sicherheitsupdates fehlen.
Beachten Sie jedoch, dass die Sicherheitsaktualisierungen derzeit noch nicht auf allen betroffenen Systemen abgeschlossen sind.
Muss ich selbst etwas unternehmen?
Die Sicherheitsupdates auf unseren Webhosting- und Managed-Systemen werden von dogado durchgeführt. Dafür sind keine weiteren Schritte Ihrerseits erforderlich.
Unabhängig davon empfehlen wir, eine aktuelle, offiziell unterstützte PHP-Version zu verwenden und Ihre Website sowie eingesetzte Anwendungen regelmäßig zu aktualisieren.
Was gilt für selbst verwaltete Server?
Wenn Sie einen selbst verwalteten Server betreiben, müssen Sie die erforderlichen Sicherheitsupdates eigenständig installieren.
Weitere technische Informationen finden Sie in der offiziellen Sicherheitsmitteilung des PHP-Projekts.