Am 20. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt. dogado hat die erforderlichen Sicherheitsupdates auf den betroffenen Webhosting- und Managed-Systemen vollständig installiert. Die beiden Sicherheitslücken wurden auf diesen Systemen behoben.
Stand: 22. Oktober 2026, 19:50 Uhr – Alle erforderlichen Sicherheitsupdates sind abgeschlossen.
Sind die PHP-Sicherheitslücken auf meinem Hosting bereits behoben?
Ja. Die Sicherheitsupdates für die beiden kritischen PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 wurden auf den betroffenen Webhosting- und Managed-Systemen von dogado vollständig installiert.
Die Aktualisierungen wurden am 22. Oktober 2026 abgeschlossen. Sie müssen Ihre PHP-Version dafür nicht selbst ändern.
Was ist passiert?
Die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 betreffen die Programmiersprache PHP, die unter anderem von WordPress und zahlreichen weiteren Webanwendungen verwendet wird.
Unter bestimmten Voraussetzungen können diese Schwachstellen ausgenutzt werden, um unbefugt Programmcode auf einem betroffenen Server auszuführen. Die Sicherheitslücken liegen in PHP selbst und sind nicht auf dogado beschränkt.
Am 21. Oktober 2026 hat das PHP-Projekt entsprechende Sicherheitsupdates veröffentlicht.
Welche PHP-Versionen sind betroffen?
Die Sicherheitslücken betreffen verschiedene PHP-Versionen, darunter PHP 8.2, 8.3, 8.4 und 8.5. Auch ältere PHP-Versionen können betroffen sein.
dogado hat die erforderlichen Sicherheitskorrekturen auf den betroffenen Webhosting- und Managed-Systemen bereits eingespielt. Die dabei verwendete PHP-Version musste nicht geändert werden.
Hat sich Ihre PHP-Version geändert?
Nein. dogado hat die Sicherheitsupdates für die jeweils bereits verwendete PHP-Version installiert. Ihre Website wurde dabei nicht automatisch auf eine andere PHP-Version umgestellt.
So vermeiden wir Kompatibilitätsprobleme, die ein Versionswechsel beispielsweise bei Ihrem Content-Management-System, Ihren Plugins, Themes oder eigenen Anwendungen verursachen könnte.
Warum zeigt mein Monitoring weiterhin dieselbe PHP-Version an?
Bei den von uns bereitgestellten PHP-Paketen werden Sicherheitskorrekturen durch sogenanntes Backporting in die bestehende PHP-Version übernommen.
Dabei bleibt die angezeigte PHP-Versionsnummer unverändert. Lediglich die interne Paket-Release-Version wird erhöht.
Auch die Sicherheitskorrekturen für CVE-2026-109618 und CVE-2026-109619 wurden auf diesem Weg eingespielt. Deshalb können externe Prüfprogramme oder die PHP-Informationsseite phpinfo() weiterhin dieselbe PHP-Versionsnummer wie vor dem Update anzeigen.
Wenn Sie dies dennoch genauer überprüfen möchten, können Sie anhand des Build Date 21.10.2026, das Sie ganz oben direkt unterhalb der PHP Version in einer phpinfo Datei sehen, erkennen, dass es sich um eine gepatchte Version handelt.
Eine unveränderte PHP-Versionsnummer bedeutet in diesem Fall nicht, dass die Sicherheitsupdates fehlen.
Muss ich selbst etwas unternehmen?
Nein. Die erforderlichen Sicherheitsupdates wurden auf den betroffenen Webhosting- und Managed-Systemen bereits serverseitig durch dogado durchgeführt. Weitere Schritte Ihrerseits sind dafür nicht erforderlich.
Unabhängig davon empfehlen wir, für Ihre Website eine aktuelle, offiziell unterstützte PHP-Version zu verwenden und eingesetzte Anwendungen regelmäßig zu aktualisieren.
Was gilt für selbst verwaltete Server?
Wenn Sie einen selbst verwalteten Server betreiben, liegt die Installation der erforderlichen PHP-Sicherheitsupdates in Ihrer Verantwortung.
Prüfen Sie, ob die entsprechenden Sicherheitskorrekturen bereits installiert wurden. Die abgeschlossenen Sicherheitsaktualisierungen von dogado beziehen sich auf die von uns verwalteten Webhosting- und Managed-Systeme.
Weitere technische Informationen finden Sie in der offiziellen Sicherheitsmitteilung des PHP-Projekts.