das BlogMagazin

Hinweis: Die Lage ändert sich laufend. Wir prüfen die Angaben in diesem Artikel alle zwei Stunden. Änderungen vermerken wir mit Uhrzeit im Änderungsprotokoll am Ende des Artikels. Stand: 22.10.2026, 08:31 Uhr MESZ.

Seit dem 21. Oktober 2026 gibt es Notfall-Patches für zwei kritische PHP-Lücken, die unter dem Namen PHP2Shell bekannt geworden sind. Wie deutsche Hoster reagiert haben, habe ich in einem eigenen Artikel zusammengefasst. Hier geht es um die großen internationalen Anbieter: Shared- und Managed-Hoster, Cloud-Plattformen und die Hersteller der Hosting-Software, von denen viele Hoster abhängen. Grundlage sind öffentliche Statusseiten, Blogbeiträge und Hilfeartikel. Wo ich die Seite eines Anbieters nicht selbst abrufen konnte und der Inhalt nur über Sammelseiten belegt ist, steht das ausdrücklich dabei.

Was ist PHP2Shell?

PHP2Shell fasst zwei Schwachstellen zusammen:

• CVE-2026-109618: Speicherbeschädigung, wenn PHP eine Anfrage wegen Speichermangels abbricht. Darüber lässt sich Code ausführen.
• CVE-2026-109619: ein Use-after-free durch veralteten globalen Zustand, ebenfalls mit Codeausführung.

Beide Lücken sind mit CVSS 9.2 (CVSS v4.0) bewertet. Ein Angreifer braucht keinen Login: Eine präparierte Webanfrage reicht, um Code mit den Rechten des Web-Workers auszuführen. Betroffen sind alle PHP-Installationen, die Webanfragen verarbeiten, etwa mod_php, PHP-FPM, php-cgi, FrankenPHP und LiteSpeed.

Gepatcht sind seit dem 21.10.2026 PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 7.4, 8.0 und 8.1 gibt es nur minimale Source-Backports. Ein Proof of Concept ist öffentlich. Workarounds senken das Risiko, schließen die Lücke aber nicht.

Weiterführend: PHP Foundation, CISA, Datadog Security Labs.

Shared- und Managed-Hoster mit öffentlicher Stellungnahme

Alle Uhrzeiten in MESZ.

GoDaddy

GoDaddy ist einer der größten Hoster und Domain-Registrare der Welt. Laut Jahresbericht (10-K 2025) hatte das Unternehmen Ende 2025 rund 20,4 Millionen zahlende Kunden, davon etwa 9,8 Millionen außerhalb der USA. In einem Blogbeitrag vom 20.10. erklärt GoDaddy, was Website-Betreiber tun müssen. Wer einen VPS selbst verwaltet, muss PHP selbst patchen (Hilfeartikel); gegen Bezahlung übernimmt das der Expert Service. Einen Patch-Status für das Shared Hosting habe ich bis Redaktionsschluss nicht gefunden.

Bluehost und HostGator (Newfold Digital)

Die beiden Marken gehören zu Newfold Digital, einem der großen US-Anbieter im Massengeschäft. Die Statusseiten von Bluehost und HostGator ließen sich nicht abrufen (Zugriff gesperrt). Laut der Sammelseite von TJ Robertson meldeten beide am 21.10. um 18:18 Uhr, die meisten Server seien aktualisiert und der Rest werde noch ausgerollt. Eine eigene Bestätigung dieser Aussage steht noch aus.

Hostinger

Hostinger hat nach eigenen Angaben 4,6 Millionen Kunden in über 150 Ländern (Geschäftszahlen 2025). Im Blog schreibt das Unternehmen, der Exploit werde per ModSecurity blockiert, session.upload_progress sei abgeschaltet und gepatchtes PHP auf der ganzen Plattform ausgerollt. Kunden seien per E-Mail informiert worden. Außer auf VPS müssen Kunden nichts tun, VPS-Kunden patchen selbst.

OVHcloud

OVHcloud ist der größte europäische Cloud- und Hosting-Anbieter, laut Universal Registration Document 2025 mit rund 1,6 Millionen Kunden und 44 Rechenzentren in 10 Ländern. Auf der Statusseite für Web Hosting steht eine Wartung für alle Cluster. Die Details lädt die Seite per JavaScript; laut der Sammelseite von Meow Apps waren am 21.10. um 19:53 Uhr alle Cluster mit PHP 7.4 bis 8.5 gepatcht.

SiteGround

SiteGround ist ein bekannter WordPress-Hoster. Bereits am 21.10. um 13:30 Uhr, also vor dem offiziellen Patch, meldete SiteGround im Blog einen Schutz auf Server-Ebene. Kunden müssen nichts tun.

Namecheap

Namecheap ist ein großer Registrar und Budget-Hoster. Auf seiner Statusseite gab es die erste Meldung am 21.10. um 15:31 Uhr. Um 18:50 Uhr waren nach eigenen Angaben alle öffentlichen Dienste abgesichert, der Rollout läuft über CloudLinux. Um 22:40 Uhr gingen die Pakete an eine Testgruppe. Dass der Rollout am 22.10. um 07:18 Uhr fast abgeschlossen war, ist nur über Sammelseiten belegt. VPS- und Dedicated-Kunden patchen selbst.

DreamHost

Der US-Hoster DreamHost meldet auf seiner Statusseite (Updates am 21.10. um 21:55 und 22:43 Uhr sowie am 22.10. um 07:59 Uhr), die offiziellen PHP-Pakete seien ausgerollt; Stabilitätstests laufen noch. Für PHP 8.1 und älter kommen Fixes über das Extended-Support-Programm, bis dahin gelten die Mitigations.

InMotion Hosting

Der US-Hoster InMotion hat nach eigener Meldung vom Abend des 20.10. bis zum frühen 21.10. session.upload_progress auf allen verwalteten Servern abgeschaltet. Dedicated-Server sind gepatcht, VPS in Arbeit. Dass Shared Hosting noch auf CloudLinux wartet, ist nur über Sammelseiten belegt.

WP Engine und Flywheel

WP Engine ist einer der großen Managed-WordPress-Anbieter, Flywheel gehört dazu. Flywheel meldete am 21.10. um 16:31 Uhr auf seiner Statusseite Schutz über das CDN und auf Host-Ebene; um 21:00 Uhr waren die Patches fertig. Die Statusseite von WP Engine lädt ihren Inhalt per JavaScript. Laut Sammelseiten aktualisiert WP Engine PHP 7.4, 8.2, 8.4 und 8.5 (Meldung vom 21.10., 23:52 Uhr).

Kinsta

Der Premium-Anbieter für Managed WordPress hat sich bisher nur in seinem Community-Forum geäußert, nicht in einer offiziellen Mitteilung. Ein Mitarbeiter nennt dort eine vorübergehende Konfigurationsänderung und zusätzliche Cloudflare-Regeln. Der Patch folge nach der Prüfung, Kunden müssten nichts tun.

Cloudways

Cloudways gehört zu DigitalOcean und bietet Managed Cloud Hosting an. Laut Statusseite (22.10., 03:02 und 06:07 Uhr) ist das Produkt Autonomous gepatcht. Bei Flexible läuft der Rollout, die Zwischenschutzmaßnahmen bleiben aktiv.

Automattic (WordPress.com, VIP, Pressable)

Automattic betreibt mit WordPress.com eine der größten WordPress-Plattformen. Die Statusseite von Pressable meldet am 21.10. um 17:04 Uhr, dass alle angebotenen PHP-Versionen geschützt sind. Für WordPress.com und VIP ist die Aussage „already protected“ nur über die Sammelseite von TJ Robertson belegt.

Liquid Web und Nexcess

Die beiden US-Managed-Hoster gehören zusammen. Nexcess meldete am 21.10. um 18:06 Uhr auf seiner Statusseite, die Lage werde noch bewertet. Liquid Web verteilt laut Statusseite gepatchte Builds für cPanel (PHP 7.4 bis 8.5) und Plesk. Dass der Rollout am 22.10. gegen 04:09 Uhr begann, ist nur über Sammelseiten belegt.

Pantheon und Rocket.net

Zwei Nischenanbieter für Drupal und WordPress. Pantheon hat bis zum 22.10. um 04:08 Uhr seine Live-, LTS- und Pre-Production-Umgebungen gepatcht; Free- und Sandbox-Umgebungen sollen innerhalb von 24 bis 48 Stunden folgen. Nach eigenen Angaben hat Pantheon über 60.000 verdächtige Anfragen blockiert. Rocket.net spielt die Patches seit dem 22.10., 00:06 Uhr, in Wellen ein.

Cloud- und CDN-Anbieter

Cloudflare wird laut W3Techs von 27,7 Prozent aller Websites genutzt. Seit dem 21.10. um 05:02 Uhr greifen laut Cloudflare-Blog automatisch WAF-Regeln, auch im Free-Tarif. Cloudflare hat Angriffe beobachtet und betont, dass Patchen trotzdem Pflicht bleibt.

Bei den Hyperscalern gilt meist: Was der Anbieter selbst betreibt, patcht er. Was der Kunde baut, muss er selbst aktualisieren. AWS hat ein Security Bulletin und einen Blogbeitrag zu WAF-Regeln veröffentlicht. Microsoft Azure hat die PHP-Images für App Service unter Linux aktualisiert. Bei Google Cloud ist App Engine Standard laut Google automatisch gepatcht; bei Cloud Run, GKE und App Engine Flex müssen Kunden neu bauen und deployen. Für Akamai/Linode habe ich nur einen Status-Spiegel eines Drittanbieters gefunden, nicht die offizielle Seite. Danach sollen Kunden PHP auf ihren Instanzen selbst patchen.

Die Hersteller im Hintergrund

Viele Shared-Hoster hängen von Panel- und Betriebssystem-Herstellern ab. CloudLinux ist die Basis vieler Shared-Hoster, darunter nach eigenen Angaben Namecheap und InMotion. Laut CloudLinux-Statusseite waren die alt-php-Pakete 5.2 bis 8.5 erst am 22.10. um 02:07 Uhr im Stable-Repository. Der Fix für PHP 7.3 auf CloudLinux 8 fehlte noch. Das erklärt, warum manche Shared-Hoster langsamer waren. cPanel und Plesk, zwei weit verbreitete Hosting-Panels, haben nach ihren Hilfeartikeln gepatchte PHP-Builds veröffentlicht, auch für die EOL-Versionen 7.4 bis 8.1. Beide Artikel waren bei meiner letzten Prüfung für automatische Abrufe gesperrt, deshalb verlinke ich sie hier nicht.

Keine öffentliche Stellungnahme gefunden

Von folgenden Anbietern habe ich bis Redaktionsschluss keine öffentliche Stellungnahme gefunden:

• A2 Hosting / hosting.com
• Vultr
• DigitalOcean (eigene Plattform, ohne Cloudways)
• AWS Lightsail (keine eigene Meldung)
• GoDaddy Shared Hosting: Es gibt einen Blogbeitrag, aber keinen Patch-Status.

Ob diese Anbieter ihre Kunden direkt informiert haben, etwa per E-Mail oder im Kundenkonto, ist offen.

Einordnung

• Shared- und Managed-Hoster sagen fast überall, dass Kunden nichts tun müssen. Wer einen VPS oder eine Cloud-Instanz selbst verwaltet, muss dagegen selbst patchen, zum Beispiel bei GoDaddy, Hostinger, Namecheap, Linode oder Google Cloud.
• Früh dran waren SiteGround, Cloudflare und InMotion, die schon vor dem Release Schutzmaßnahmen hatten.
• Engpässe waren die CloudLinux-Pakete und die alten PHP-Versionen bis 8.1.

Wer eine eigene PHP-Installation betreibt, sollte nicht auf den Hoster warten, sondern sofort aktualisieren.

Änderungsprotokoll

• 22.10.2026, 08:31 Uhr MESZ: Erstveröffentlichung.

Stand: 22.10.2026, 08:31 Uhr MESZ

Hinweis: Die Lage ändert sich laufend, teils minütlich. Wir prüfen die Angaben in diesem Artikel alle 30 Minuten und aktualisieren sie. Änderungen vermerken wir mit Uhrzeit im Änderungsprotokoll am Ende des Artikels. Letzter Stand: 22.10.2026, 09:04 Uhr MESZ.

Am 21. Oktober 2026 hat das PHP-Projekt Notfall-Patches für zwei kritische Sicherheitslücken veröffentlicht, die unter dem Namen PHP2Shell bekannt geworden sind. Weil fast jede klassische Website mit WordPress, Shopware oder Joomla auf PHP läuft, betrifft das praktisch jeden Webhoster. Ich habe mir angesehen, wie deutsche und im deutschen Markt aktive Hoster öffentlich darauf reagiert haben, und wer sich bislang nicht geäußert hat. Grundlage sind die öffentlichen Statusseiten, Blogbeiträge und Hilfeartikel der Anbieter.

Was ist PHP2Shell?

PHP2Shell ist der Sammelname für zwei Schwachstellen:

• CVE-2026-109618: Speicherbeschädigung, wenn PHP wegen Speichermangels (Out-of-Memory) eine Anfrage abbricht. Darüber lässt sich Code ausführen.
• CVE-2026-109619: Ein Use-after-free durch veralteten globalen Zustand. Auch das erlaubt Codeausführung.

Beide Fehler haben dieselbe Ursache. Wenn eine Anfrage nicht normal endet, kann PHP seinen Speicher in einem beschädigten Zustand zurücklassen. Die Lücken sind mit CVSS 9.2 (CVSS v4.0) bewertet. Ein Angreifer braucht keinen Login: Eine präparierte Webanfrage genügt, um Code mit den Rechten des Web-Workers auszuführen.

Betroffen sind alle PHP-Installationen, die Webanfragen verarbeiten: mod_php, PHP-FPM, php-cgi, FrankenPHP und LiteSpeed. Am höchsten ist das Risiko bei mod_php, weil der Angriff dort schon greift, bevor überhaupt Anwendungscode läuft. Laut BSI sind alle bekannten Versionen bis mindestens PHP 5 betroffen, laut dem Sicherheitsunternehmen Sansec PHP ab Version 5.4.

Patches gibt es seit dem 21.10.2026 (gegen 15:35 MESZ): PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 7.4, 8.0 und 8.1 hat das PHP-Team nur minimale Source-Backports bereitgestellt. Ursprünglich sollten die Updates erst am 22.10. kommen. Weil Details vorab bekannt wurden, erschienen sie früher. Am 20.10. gab es eine Vorwarnung. Laut Datadog berichtet AWS von Ausnutzungsversuchen ab dem 17.10.; ein Proof of Concept und ein Exploit-Tool sind öffentlich verfügbar.

Wer einen eigenen Server betreibt, sollte also sofort aktualisieren. Workarounds verringern das Risiko nur, sie schließen die Lücke nicht.

Weiterführend: PHP Foundation, BSI-Pressemitteilung, BSI-Cybersicherheitswarnung (PDF), CISA, Canadian Centre for Cyber Security, Datadog Security Labs, Tenable, BleepingComputer, heise online.

Diese 18 Hoster haben sich öffentlich geäußert

Alle Uhrzeiten in MESZ.

IONOS

IONOS meldet auf seiner Statusseite eine „Sicherheitswartung: Kurze Unterbrechungen bei PHP-basierten Diensten möglich“. Das Update wird nach eigener Aussage „auf allen unseren Systemen“ eingespielt, der Abschluss war innerhalb von 24 Stunden geplant (Updates am 21.10. um 17:44, 18:02 und 22:59 Uhr). Kunden mit VPS oder Bare-Metal-Servern sollen selbst patchen. Zudem wurden laut Statusseite Nextcloud-Instanzen vorsorglich deaktiviert (14:26 Uhr); laut unicorn-factory.net war das um 22:55 Uhr gelöst. Am 22.10. um 06:53 Uhr meldete IONOS: „Wir arbeiten weiterhin an der Fehlerbehebung.“ Der Eintrag ist weiter offen; die Statusseite führt das IONOS Control-Center und die Baukasten-Systeme als „Partial Outage“. (aktualisiert 08:27 Uhr)

Hetzner

Hetzner führt einen Incident „PHP Sicherheitslücken CVE-2026-109618 und CVE-2026-109619“ (Start 21.10., 13:04 Uhr). Hetzner hat die vorgeschlagenen Mitigations ausgerollt und konsoleH, Managed Server, Storage Share, phpMyAdmin und Webmail gepatcht. Bis 19:50 Uhr waren PHP 7.4 und 8.0 bis 8.5 auf allen Webhosting- und Managed-Servern aktualisiert. Am 22.10. um 06:32 Uhr meldete Hetzner, dass nun auch die verbleibenden Versionen PHP 5.6 und 7.3 auf allen Webhosting- und Managed-Servern gepatcht sind. Kunden mit Dedicated- und Cloud-Servern informiert Hetzner nach eigener Aussage gesondert.

netcup

netcup hat einen Info-Beitrag für Kunden und eine Störungsmeldung auf der Statusseite veröffentlicht. Webhosting und Managed Server wurden vorsorglich vom Netz genommen und waren ab 22:51 Uhr wieder online. Das Webhosting Control Panel (WCP) blieb vorsorglich offline, bis Plesk einen Patch lieferte; die Websites liefen in der Zeit bereits auf gepatchtem PHP. Am 22.10. um 04:09 Uhr meldete netcup: Plesk hat eine aktualisierte Version bereitgestellt, sie ist auf allen Systemen ausgerollt und validiert, und das WCP ist wieder freigegeben.

Mittwald

Mittwald meldete „Vorsorgliche Einschränkungen aufgrund der aktuellen PHP-Sicherheitslücke“. Um 14:16 Uhr wurden Uploads und multipart/form-data deaktiviert. Um 16:17 Uhr hat Mittwald alle Systeme heruntergefahren und eingehenden Traffic gesperrt. Kundencenter und mStudio waren ab 21:54 Uhr wieder erreichbar, die Websites ab 22:52 Uhr. Am 22.10. um 0:28 Uhr galt der Vorfall als gelöst. Laut der letzten Meldung ist die Lücke für nahezu alle betroffenen PHP-Versionen behoben. Ausgenommen sind derzeit noch Versionen unterhalb von PHP 5.6; daran arbeitet Mittwald nach eigener Aussage weiter.

manitu

manitu kündigte ab 8:50 Uhr eine Wartung „Sicherheitslücke in PHP – kurz- und mittelfristige Wartungsmaßnahmen“ an. Ab 12:10 Uhr waren keine Formular-Uploads mit Anhängen mehr möglich, auch nicht außerhalb von PHP. Bis 20:05 Uhr wurde auf korrigierte Versionen aktualisiert, die Upload-Beschränkungen bleiben laut Update von 20:33 Uhr bestehen, bis manitu „mit größtmöglicher Sicherheit“ sagen kann, dass die Patches sicher sind. Bemerkenswert ist der Hinweis: „Wir bitten Sie eindringlich, von Rückfragen abzusehen.“ Am 22.10. um 08:34 Uhr ergänzte manitu, „da uns hierzu vermehrt Rückfragen erreichen“: Nutzer der Webhosting-Pakete müssen bei den PHP-Updates nicht tätig werden, das habe manitu übernommen. Wer einen Root- oder vServer nutzt, soll umgehend alle verfügbaren Updates seiner Distribution einspielen, auch für Container-Umgebungen, die PHP ausliefern. (aktualisiert 08:56 Uhr)

Uberspace

Uberspace hat auf Mastodon angekündigt, „um ca. 15:45 alle PHP-Services auf uberspace [zu] deaktivieren“, und ergänzt: „Ihr müsst nichts dazu tun.“ Dazu gab es eine Anleitung, wie Nutzer PHP schon vorher selbst sperren können. Laut der Uberspace-Statusseite sind auf U8 alle verfügbaren PHP-Versionen aktualisiert und die PHP-Dienste wieder aktiviert; auf U7 laufen alle PHP-Versionen (8.2 bis 8.5) in gepatchten Fassungen. Eine zwischenzeitliche Sperre von multipart/form-data-POST-Anfragen wurde wieder entfernt. Nutzer, die noch die EOL-Version 8.1 verwendeten, wurden zwangsweise auf 8.2 aktualisiert.

Hostinger

Hostinger hat sich in einem globalen Blogbeitrag geäußert, also nicht speziell für den deutschen Markt: „We blocked the exploit attempts already circulating, and we’re rolling out PHP’s update.“ Hostinger hat Firewall- und WAF-Regeln gesetzt und spielt das PHP-Update auf allen Managed-Plänen ein. VPS-Kunden sollen selbst patchen; als Notlösung empfiehlt Hostinger session.upload_progress.enabled=Off.

HostPress

Hinweis: Für HostPress liegt mir nur ein Beleg über den Drittanbieter StatusGator vor, der Statusseiten spiegelt. Eine Primärquelle von HostPress selbst habe ich nicht gefunden. Laut StatusGator gab es am 21.10. um 13:48 Uhr (Zeitzone bei StatusGator unklar) einen Status-Incident „PHP Sicherheitslücken (CVE-2026-109618 & CVE-2026-109619, CVSS 9.2)“ mit einer Dauer von drei Minuten. Welche Maßnahmen HostPress ergriffen hat, ist nicht bekannt.

creoline

creoline hat am 21.10. um 19:04 Uhr einen Hilfeartikel „PHP – CVE-2026-109618“ veröffentlicht. Managed-Server sind auf PHP 8.2 bis 8.5 gepatcht. Außerdem betreibt creoline einen eigenen APT-Mirror mit den Fixes. Kunden mit Unmanaged-Servern sollen selbst patchen.

prepaid-hoster

prepaid-hoster meldete um 15:11 Uhr einen Status-Incident „Wartungsarbeiten/Sicherheitsupdates (kritische PHP-Schwachstelle)“. Der Rollout erfolgte gestaffelt; die wichtigsten Systeme waren bis 17:15 Uhr aktualisiert und gehärtet, die Plesk-Hosts ebenfalls aktualisiert. Am 22.10. um 08:18 Uhr meldete prepaid-hoster: „Das Problem wurde behoben und ist nun unter Beobachtung.“ (aktualisiert 08:27 Uhr) prepaid-hoster weist darauf hin, dass PHP 5 und 7 nicht zum offiziellen Update gehören und Versionen unter 8.2 nicht mehr eingesetzt werden sollten.

XONIC

Der Shop-Hoster XONIC hat um 19:30 Uhr einen News-Beitrag veröffentlicht: eine Schutzmaßnahme auf allen Servern, dazu Updates für PHP 8.2 bis 8.5 noch am selben Abend.

Contabo

Contabo hat auf seiner Statusseite am 21.10. ab 13:00 Uhr das Shared Hosting (cPanel) ausgesetzt, bis es gepatcht ist. Um 22:57 Uhr meldete Contabo: Alle Webhosting-Dienste sind vollständig gepatcht und wieder verfügbar. Das alte Kundenpanel wurde vorsorglich abgeschaltet (die Statusseite datiert das auf den 13.10., vermutlich ein Tippfehler); am 21.10. um 21:31 Uhr war es laut Statusseite gepatcht und wieder online. Zwischenzeitlich hatte Contabo ab 15:05 Uhr auch die Steuerung der Dedicated Server abgeschaltet sowie von 15:21 bis 17:38 Uhr den Blog und das Monitoring. (aktualisiert 08:27 Uhr) In einem Hilfeartikel weist Contabo darauf hin, dass Kunden PHP auf ihren eigenen Servern selbst patchen müssen. Das ist wichtig, weil Contabo überwiegend unmanaged VPS verkauft. Konfigurations-Workarounds seien laut Statusseite unwirksam.

df.eu (domainfactory)

df.eu hat auf seiner Statusseite im Eintrag „Wartung des Hostings“ am 21.10. um 20:48 Uhr mitgeteilt, man habe Schutzmaßnahmen getroffen und aktualisiere aktiv die Dienste, darunter ManagedHosting, ManagedCloud-Server, Reseller-Hosting, Reseller Cloud Server, Webhosting und Webhosting Plus. Wer einen eigenen VPS verwaltet, muss das PHP-Update selbst installieren; dazu will df.eu noch Informationen bereitstellen.

dogado

dogado meldete auf seiner Statusseite am 21.10. um 10:56 Uhr, man beobachte die Lage und arbeite an einer Strategie für die Aktualisierung. Um 16:08 Uhr folgte: Die Installation der Updates werde „mit höchster Priorität“ vorbereitet. Dabei kann es zu kurzen, nicht einzeln angekündigten Neustarts kommen. Webspace-Kunden müssen nichts tun; Kunden mit eigenem vServer oder Root-Server sollen selbst patchen. Einen Abschluss meldete dogado bis zum letzten Abruf noch nicht. Am 22.10. um 08:30 Uhr begannen Wartungsarbeiten: dogado spielt die Sicherheitsupdates auf seinen Hosting-Servern ein. Für den Abschluss ist ein Neustart nötig, Websites und E-Mail können kurz nicht erreichbar sein; E-Mails gehen laut dogado nicht verloren, Kunden müssen nichts tun. Für Cloud-Server-Kunden meldete dogado um 08:51 Uhr, dass Plesk die Sicherheitsupdates bereitgestellt hat; sie kamen mit dem regulären täglichen Update in der Nacht. Abgesichert sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 sowie Pakete für PHP 7.4, 8.0 und 8.1 mit Build-Datum ab 21.10.2026 (die Versionsnummern bleiben dort unverändert). (aktualisiert 08:56 Uhr)

checkdomain

checkdomain gehört zur dogado-Gruppe und hat auf seiner Statusseite gleichlautend informiert (21.10., 15:45 und 16:09 Uhr). Auch hier gilt: Webspace-Kunden müssen nichts tun, Server-Kunden sollen selbst patchen. Einen Abschluss meldete checkdomain bis zum letzten Abruf noch nicht. Laut einer weiteren Meldung vom 22.10., 07:00 Uhr, sind Wartungsarbeiten am Kundenbereich abgeschlossen; Kundenbereich und Website sind seit 21.10., ca. 23:30 Uhr, wieder erreichbar. Einen Zusammenhang mit PHP2Shell nennt die Meldung nicht ausdrücklich. (aktualisiert 08:27 Uhr)

Alfahosting

Auch Alfahosting (dogado-Gruppe) hat auf seiner Statusseite am 21.10. um 15:34 und 16:07 Uhr gleichlautend informiert. Am 22.10. um 07:15 Uhr begannen Wartungsarbeiten: Die Sicherheitsupdates werden auf allen Servern webX.alfahosting-server.de eingespielt. Für den Neustart können Websites und E-Mail kurz nicht erreichbar sein; E-Mails gehen laut Alfahosting nicht verloren. Kunden müssen nichts tun. Zusätzlich meldete die Statusseite, dass wegen der Wartungsarbeiten der Login in das CloudPit gestört ist. Am 22.10. um 07:02 Uhr meldete Alfahosting zudem, dass Kundenbereich und Website seit 21.10., ca. 23:30 Uhr, wieder uneingeschränkt erreichbar sind; einen Zusammenhang mit PHP2Shell nennt die Meldung nicht ausdrücklich. (aktualisiert 08:27 Uhr) Seit 22.10., 08:37 Uhr, laufen die Sicherheitsupdates auch auf den Hosting-Servern hostX.alfahosting-server.de, ebenfalls mit Neustart und kurzer Nichterreichbarkeit von Websites und E-Mail. (aktualisiert 08:56 Uhr)

all-inkl.com

all-inkl.com hat am 22.10.2026 um 08:20 Uhr auf unsere Presseanfrage eine nach eigener Angabe automatisch versendete Statusmeldung geschickt. Eine individuelle Stellungnahme ist das bis jetzt nicht, eine persönliche Antwort steht noch aus. In der Statusmeldung heißt es: „Unsere Techniker haben inzwischen einen Großteil unserer Kundenserver mit den notwendigen Updates gegen die beiden kritischen PHP-Sicherheitslücken versorgt. Die Arbeiten an den verbleibenden Servern laufen weiterhin mit hoher Priorität. Zusätzlich haben wir weitere Sicherheitsvorkehrungen zum Schutz unserer Systeme und Ihrer Daten getroffen. Unsere Webseite, das KAS und die Members Area sind inzwischen wieder online und erreichbar.“ (aktualisiert 08:58 Uhr)

Webhosting Franken

Webhosting Franken aus Bamberg hat am 22.10.2026 um 08:29 Uhr auf unsere Presseanfrage geantwortet (Holger Häring, Support). Demnach wurden die abgesicherten PHP-Versionen am 21.10. kurz nach 16:00 Uhr auf den regulären Shared-Hosting- und Managed-Systemen eingespielt; diese sind damit aktuell. Wegen der zeitnahen Aktualisierung seien keine längerfristigen Übergangsmaßnahmen oder Abschaltungen nötig gewesen. Bei vollständig verwalteten Systemen übernimmt der Hoster das Update; Kunden mit selbst administrierten Servern oder VPS müssen die Updates selbst installieren und die Dienste neu starten. Kunden mit Classic-PHP und älteren PHP-Versionen werden gesondert behandelt und informiert. Hinweise auf erfolgreiche Angriffe oder kompromittierte Kundensysteme liegen laut Webhosting Franken bislang nicht vor. Seit dem 21.10. steht zudem ein Hinweis auf der Website: „Reguläre Systeme gepatcht – kein Handlungsbedarf für Kunden“. (aktualisiert 09:04 Uhr)

Diese 8 Hoster haben sich bislang nicht öffentlich geäußert

Bei den folgenden Hostern habe ich bis jetzt keine öffentliche Stellungnahme zu PHP2Shell gefunden, weder auf Statusseiten noch in News-Beiträgen, auf Mastodon oder in der Presse:

• STRATO
• Host Europe
• webgo
• Raidboxes
• timmehosting
• goneo
• 1blu
• Netclusive

STRATO: Eine öffentliche Stellungnahme haben wir bis jetzt nicht gefunden. Im Kundenbereich informiert STRATO seine Kunden aber über die kritische PHP-Lücke. Dort heißt es, dass das Sicherheitsupdate derzeit auf allen Systemen installiert wird und innerhalb von 24 Stunden abgeschlossen sein soll. Währenddessen können Websites und Dienste langsam oder kurz nicht erreichbar sein. Kunden mit selbstverwalteten Systemen (VPS, Bare-Metal) sollen selbst schnellstmöglich patchen. Der Hinweis hat keinen Zeitstempel (gesehen am 22.10.2026 gegen 08:34 Uhr MESZ). (aktualisiert 08:36 Uhr)

Das ist ausdrücklich kein Vorwurf. Dass ich nichts gefunden habe, heißt nicht, dass nichts passiert ist. Unklar ist insbesondere, ob diese Hoster ihre Kunden direkt informiert haben (bei STRATO ist das, wie oben beschrieben, der Fall), etwa per E-Mail oder im Kundenbereich, und ob sie im Hintergrund längst gepatcht haben. Die Statusseiten von Host Europe und Raidboxes zeigten beim letzten Abruf keinen Eintrag zu PHP2Shell. Für STRATO, webgo, goneo, 1blu und timmehosting habe ich keine öffentliche Statusseite unter den naheliegenden Adressen gefunden. Zu STRATO schreibt unicorn-factory.net: „Strato selbst hat nach unserem Wissen keine Störung gemeldet.“

Wir von severint.net schreiben diese Hoster an und fragen nach, wie sie mit PHP2Shell umgehen. Sobald Antworten eintreffen, ergänze ich diesen Artikel.

Sind Sie Kunde bei einem dieser Anbieter und haben eine Information erhalten? Dann freue ich mich über einen Hinweis.

Was Sie jetzt tun sollten

• Shared Hosting oder Managed Hosting: Prüfen Sie Statusseite und E-Mails Ihres Hosters. Bei den meisten Anbietern oben müssen Sie selbst nichts tun.
• Eigener Server (VPS, Root, Cloud): Spielen Sie sofort PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 ein bzw. die Updates Ihrer Distribution. Fast alle Hoster weisen darauf hin, dass sie Ihren Server nicht für Sie patchen.

Stand: 22.10.2026, 09:04 Uhr MESZ

Änderungsprotokoll

• 22.10.2026, 09:04 Uhr MESZ: Webhosting Franken aufgenommen (Antwort auf unsere Presseanfrage von 08:29 Uhr, Hinweis auf der Website). Damit 18 Hoster mit und 8 ohne öffentliche Äußerung.
• 22.10.2026, 08:58 Uhr MESZ: all-inkl.com aufgenommen (automatische Statusmeldung auf unsere Presseanfrage von 08:20 Uhr; persönliche Antwort steht aus). Damit 17 Hoster mit und 9 ohne öffentliche Äußerung.
• 22.10.2026, 08:56 Uhr MESZ: Neue Meldungen bei manitu (Klarstellung: Webhosting-Kunden müssen nichts tun), dogado (Updates auf den Hosting-Servern laufen, Plesk-Updates für Cloud Server) und Alfahosting (Updates jetzt auch auf den hostX-Servern).
• 22.10.2026, 08:36 Uhr MESZ: STRATO informiert Kunden im Kundenbereich (keine öffentliche Stellungnahme).
• 22.10.2026, 08:27 Uhr MESZ: Neue Statusmeldungen eingearbeitet bei IONOS (Update 06:53, weiter offen, Teilstörung Control-Center/Baukasten), prepaid-hoster (behoben, unter Beobachtung), Contabo (altes Kundenpanel wieder online, weitere vorsorgliche Abschaltungen), checkdomain und Alfahosting (Kundenbereich wieder erreichbar).
• 22.10.2026, 07:46 Uhr MESZ: Erstveröffentlichung.