Am 20. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt. Alfahosting hat die notwendigen Sicherheitsupdates auf den betroffenen Webhosting- und Managed-Systemen durchgeführt. Die Behebung ist noch nicht vollständig abgeschlossen.
Was ist passiert?
Die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 betreffen die Programmiersprache PHP, die unter anderem von WordPress und zahlreichen weiteren Webanwendungen verwendet wird.
Unter bestimmten Voraussetzungen können diese Schwachstellen ausgenutzt werden, um unbefugt Programmcode auf einem betroffenen Server auszuführen. Die Ursache liegt in PHP selbst und betrifft nicht ausschließlich Alfahosting.
Am 21. Oktober 2026 hat das PHP-Projekt entsprechende Sicherheitsupdates veröffentlicht.
Welche Maßnahmen hat Alfahosting durchgeführt?
Wir haben die notwendigen Sicherheitsupdates auf unseren betroffenen Webhosting- und Managed-Systemen eingespielt.
Stand: 22. Oktober 2026 – Die Behebung der Sicherheitslücken ist noch nicht vollständig abgeschlossen. Die Wartungsarbeiten dauern auf einem Teil der Hosting Systeme noch an, eine aktuelle Übersicht finden Sie unter status.alfahosting.de.
Hat sich Ihre PHP-Version geändert?
Nein. Wir haben die Sicherheitsupdates für die jeweils bereits verwendete PHP-Version installiert. Ihre Website wurde dabei nicht automatisch auf eine andere PHP-Version umgestellt.
So vermeiden wir Kompatibilitätsprobleme, die ein Versionswechsel beispielsweise bei Ihrem Content-Management-System, Ihren Plugins, Themes oder eigenen Anwendungen verursachen könnte.
Warum zeigt mein Monitoring weiterhin dieselbe PHP-Version an?
Bei den von uns bereitgestellten PHP-Paketen werden Sicherheitskorrekturen durch sogenanntes Backporting in die bestehende PHP-Version übernommen.
Dabei bleibt die angezeigte PHP-Versionsnummer unverändert. Lediglich die interne Paket-Release-Version wird erhöht.
Auch die aktuellen Sicherheitskorrekturen wurden auf diesem Weg eingespielt. Deshalb können externe Prüfprogramme oder die PHP-Informationsseite phpinfo() weiterhin dieselbe PHP-Versionsnummer wie vor dem Update anzeigen.
Eine unveränderte PHP-Versionsnummer bedeutet in diesem Fall nicht, dass die Sicherheitsupdates fehlen.
Muss ich selbst etwas unternehmen?
Nein. Für die Sicherheitsaktualisierungen auf unseren betroffenen Webhosting- und Managed-Systemen sind keine weiteren Schritte Ihrerseits erforderlich.
Unabhängig davon empfehlen wir, eine aktuelle, offiziell unterstützte PHP-Version zu verwenden und Ihre Website sowie eingesetzte Anwendungen regelmäßig zu aktualisieren.
Was gilt für selbst verwaltete Server?
Wenn Sie einen selbst verwalteten Server betreiben, müssen Sie die erforderlichen Sicherheitsupdates eigenständig installieren.
Weitere Informationen zu den Sicherheitslücken finden Sie in der offiziellen Sicherheitsmitteilung des PHP-Projekts.