Vor Kurzem wurden zwei Sicherheitslücken in der Skriptsprache PHP bekannt (CVE-2026-109618 und CVE-2026-109619). Diese betreffen die interne Datenverarbeitung von PHP und können unter bestimmten Bedingungen dazu führen, dass unautorisierter Code ausgeführt oder der Serverdienst beeinträchtigt wird. Mittlerweile wurden sämtliche Sicherheitsupdates auf allen Systemen vollständig installiert. Dies schließt auch die in der Nacht bereitgestellten Patches für ältere PHP-Versionen unter Plesk ein.
Auf allen Shared-Webhosting-Servern greift der Schutz von CloudLinux Hardened PHP. Dieser Mechanismus sichert sämtliche angebotenen PHP-Versionen ab, einschließlich der vom PHP-Entwicklerteam offiziell nicht mehr unterstützten Versionen.
Da CloudLinux die Sicherheitskorrekturen direkt in die bestehenden Versionen zurückportiert (Backporting), ändert sich die Minor-Version der jeweiligen PHP-Installation nicht. Ob eine Version geschützt ist, lässt sich daher nicht an der Versionsnummer erkennen, sondern am Erstellungsdatum (Build Date).
Ein gepatchtes System zeigt beispielsweise folgendes Format mit Build Date vom 21 Oktober:
PHP 8.5.11 (cli) (built: Oct 21 2026 13:26:44) (NTS)
Sämtliche Patches wurden unmittelbar auf den Shared-Hosting-Knoten eingespielt. Für Kunden im Shared Hosting besteht kein Handlungsbedarf.
Auf den Managed Servern mit Plesk wurden die Sicherheitsupdates für die regulär unterstützten PHP-Versionen 8.2, 8.3, 8.4 und 8.5 umgehend installiert. Die für die älteren Versionen PHP 7.4, 8.0 und 8.1 angekündigten Herstellersicherheitsupdates wurden in der vergangenen Nacht ebenfalls vollständig auf allen Servern eingespielt.
Für noch ältere PHP-Versionen (wie PHP 5.6 oder die Reihe 7.0 bis 7.3) stellen die Entwickler keine regulären Updates mehr bereit. Um die Sicherheit dieser Systeme zu gewährleisten, gelten folgende Maßnahmen:
Kunden sollten betroffene Webseiten baldmöglichst im Plesk-Panel auf eine aktuelle und geschützte PHP-Version umstellen und vorab die Kompatibilität ihrer Webanwendungen prüfen.
Nicht mehr patchbare PHP-Versionen werden am 23.10.2026 automatisch auf die nächsthöhere verfügbare und gepatchte PHP-Version umgestellt (beispielsweise von PHP 5.6 oder 7.2 auf PHP 7.4), sofern bis dahin keine manuelle Umstellung erfolgt ist.
Wenn eine alte PHP-Version aus technischen Gründen zwingend weiterbetrieben werden muss, ist bis spätestens 23.10.2026 eine Rückmeldung beim Support erforderlich. Über das kostenpflichtige ELS-Programm (Extended Lifecycle Support) von Plesk können auch abgekündigte PHP-Versionen weiterhin mit Sicherheits-Patches versorgt werden.
Bei Rückfragen zur PHP-Umstellung oder zum ELS-Programm steht das Support-Team zur Verfügung.
