Hinweis: Die Lage ändert sich laufend. Wir prüfen die Angaben in diesem Artikel alle zwei Stunden. Änderungen vermerken wir mit Uhrzeit im Änderungsprotokoll am Ende des Artikels. Stand: 23.10.2026, 12:42 Uhr MESZ.
Seit dem 21. Oktober 2026 gibt es Notfall-Patches für zwei kritische PHP-Lücken, die unter dem Namen PHP2Shell bekannt geworden sind. Wie deutsche Hoster reagiert haben, habe ich in einem eigenen Artikel zusammengefasst. Hier geht es um die großen internationalen Anbieter: Shared- und Managed-Hoster, Cloud-Plattformen und die Hersteller der Hosting-Software, von denen viele Hoster abhängen. Grundlage sind öffentliche Statusseiten, Blogbeiträge und Hilfeartikel. Wo ich die Seite eines Anbieters nicht selbst abrufen konnte und der Inhalt nur über Sammelseiten belegt ist, steht das ausdrücklich dabei.
Was ist PHP2Shell?
PHP2Shell fasst zwei Schwachstellen zusammen:
- CVE-2026-109618: Speicherbeschädigung, wenn PHP eine Anfrage wegen Speichermangels abbricht. Darüber lässt sich Code ausführen.
- CVE-2026-109619: ein Use-after-free durch veralteten globalen Zustand, ebenfalls mit Codeausführung.
Beide Lücken sind mit CVSS 9.2 (CVSS v4.0) bewertet. Ein Angreifer braucht keinen Login: Eine präparierte Webanfrage reicht, um Code mit den Rechten des Web-Workers auszuführen. Betroffen sind alle PHP-Installationen, die Webanfragen verarbeiten, etwa mod_php, PHP-FPM, php-cgi, FrankenPHP und LiteSpeed.
Gepatcht sind seit dem 21.10.2026 PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 7.4, 8.0 und 8.1 gibt es nur minimale Source-Backports. Ein Proof of Concept ist öffentlich. Workarounds senken das Risiko, schließen die Lücke aber nicht.
Weiterführend: PHP Foundation, CISA, Datadog Security Labs.
Shared- und Managed-Hoster mit öffentlicher Stellungnahme
Alle Uhrzeiten in MESZ.
GoDaddy
GoDaddy ist einer der größten Hoster und Domain-Registrare der Welt. Laut Jahresbericht (10-K 2025) hatte das Unternehmen Ende 2025 rund 20,4 Millionen zahlende Kunden, davon etwa 9,8 Millionen außerhalb der USA. In einem Blogbeitrag vom 20.10. erklärt GoDaddy, was Website-Betreiber tun müssen. Wer einen VPS selbst verwaltet, muss PHP selbst patchen (Hilfeartikel); gegen Bezahlung übernimmt das der Expert Service. Einen Patch-Status für das Shared Hosting hatte ich zunächst nicht gefunden. Inzwischen nennt GoDaddy im selben Beitrag einen Stand je Tarif: Am 21.10. um 21:30 Uhr waren nach eigenen Angaben alle PHP-Versionen in Managed Hosting for WordPress gepatcht, am 22.10. um 03:20 Uhr auch im Windows Hosting; in diesen beiden Tarifen müssen Kunden nichts tun. Für das Web Hosting, also das Shared Hosting, lagen die Patches des Zulieferers zu diesem Zeitpunkt vor und wurden auf alle Server verteilt. Auf der Statusseite meldet GoDaddy seit dem 21.10., 20:29 Uhr, Schutzmaßnahmen und laufende Patches für Web Hosting und Managed Hosting for WordPress. (aktualisiert 10:38 Uhr) Am 22.10. um 15:30 Uhr meldete GoDaddy im Blogbeitrag, dass auch im Web Hosting alle PHP-Versionen gepatcht sind; Kunden müssen nichts tun. (aktualisiert 16:35 Uhr) Um 17:07 Uhr schloss GoDaddy auch die Meldung auf der Statusseite mit dem Hinweis, die Wartung sei abgeschlossen. (aktualisiert 18:38 Uhr) In einem Nachtrag zum Blogbeitrag (22.10., 19:15 Uhr) weist GoDaddy darauf hin, dass sich die angezeigte PHP-Versionsnummer nach dem Patch nicht unbedingt ändert, weil der Fix zurückportiert wurde. Ob eine Installation gepatcht ist, zeigt laut GoDaddy das Build-Datum, etwa in der Ausgabe von php -v. (aktualisiert 20:40 Uhr) Um 23:06 Uhr eröffnete GoDaddy auf der Statusseite eine neue Meldung: Schutzmaßnahmen seien aktiv, die verwalteten Dienste einschließlich Web Hosting und Managed Hosting for WordPress gepatcht. Wer einen eigenen Server oder VPS betreibt, muss das PHP-Update selbst einspielen. (aktualisiert 00:37 Uhr)
Bluehost und HostGator (Newfold Digital)
Die beiden Marken gehören zu Newfold Digital, einem der großen US-Anbieter im Massengeschäft. Die Statusseiten von Bluehost und HostGator ließen sich nicht abrufen (Zugriff gesperrt). Laut der Sammelseite von TJ Robertson meldeten beide am 21.10. um 18:18 Uhr, die meisten Server seien aktualisiert und der Rest werde noch ausgerollt. Eine eigene Bestätigung dieser Aussage steht noch aus. Inzwischen lassen sich die Statusseiten von Bluehost und HostGator abrufen und bestätigen die Meldung vom 21.10. um 18:18 Uhr. Am 22.10. um 05:00 Uhr schrieben beide, die Mehrheit der Server sei gepatcht, die übrigen folgten, und die Zwischenschutzmaßnahmen blieben so lange aktiv. Am 23.10. um 00:15 Uhr hieß es, die meisten Plattformen seien auf dem neuen Stand, an der restlichen Infrastruktur werde noch gearbeitet. Wer einen eigenen VPS oder Dedicated Server betreibt, spielt das Update selbst per Paket-Update ein und soll auf E-Mails des Anbieters achten. Beide Seiten listen außerdem die Paketversionen auf, die als gepatcht gelten. (aktualisiert 04:35 Uhr)
Hostinger
Hostinger hat nach eigenen Angaben 4,6 Millionen Kunden in über 150 Ländern (Geschäftszahlen 2025). Im Blog schreibt das Unternehmen, der Exploit werde per ModSecurity blockiert, session.upload_progress sei abgeschaltet und gepatchtes PHP auf der ganzen Plattform ausgerollt. Kunden seien per E-Mail informiert worden. Außer auf VPS müssen Kunden nichts tun, VPS-Kunden patchen selbst. Am 22.10. um 09:20 Uhr ergänzte Hostinger im Blog, der Fix sei auf allen Hosting-Servern installiert, ausgenommen die VPS, die Kunden selbst verwalten. (aktualisiert 10:38 Uhr) Laut demselben Beitrag war der Rollout am 22.10. um 08:44 Uhr abgeschlossen. Auf dem Managed Hosting steckt der Fix in der PHP-Version, die eine Website schon nutzt; die Versionsnummer ändert sich also womöglich nicht. Ein Build-Datum ab dem 21.10.2026 unter „PHP Info“ im Hostinger-Dashboard zeigt an, dass der Fix installiert ist. (aktualisiert 12:39 Uhr)
OVHcloud
OVHcloud ist der größte europäische Cloud- und Hosting-Anbieter, laut Universal Registration Document 2025 mit rund 1,6 Millionen Kunden und 44 Rechenzentren in 10 Ländern. Auf der Statusseite für Web Hosting steht eine Wartung für alle Cluster. Die Details lädt die Seite per JavaScript; laut der Sammelseite von Meow Apps waren am 21.10. um 19:53 Uhr alle Cluster mit PHP 7.4 bis 8.5 gepatcht. Am 22.10. um 16:12 Uhr schrieb OVHcloud auf der Statusseite, die Wartung dauere länger als erwartet; als neues Ende nennt der Anbieter den 26.10., 20:00 Uhr. Einen Grund nennt die Meldung nicht. (aktualisiert 16:35 Uhr)
SiteGround
SiteGround ist ein bekannter WordPress-Hoster. Bereits am 21.10. um 13:30 Uhr, also vor dem offiziellen Patch, meldete SiteGround im Blog einen Schutz auf Server-Ebene. Kunden müssen nichts tun. Im aktualisierten Blogbeitrag (Stand 22.10., 14:00 Uhr) schreibt SiteGround, die offiziellen PHP-Fixes seien noch am 21.10. auf allen Servern eingespielt worden. (aktualisiert 18:38 Uhr)
Namecheap
Namecheap ist ein großer Registrar und Budget-Hoster. Auf seiner Statusseite gab es die erste Meldung am 21.10. um 15:31 Uhr. Um 18:50 Uhr waren nach eigenen Angaben alle öffentlichen Dienste abgesichert, der Rollout läuft über CloudLinux. Um 22:40 Uhr gingen die Pakete an eine Testgruppe. Am 22.10. um 07:18 Uhr meldete Namecheap auf der Statusseite, der Rollout sei fast abgeschlossen. Um 08:41 Uhr folgte eine Liste der Reseller- und Shared-Server, auf denen die Arbeiten noch laufen; alle anderen Server seien fertig. (aktualisiert 10:38 Uhr) Um 12:00 und 12:27 Uhr aktualisierte Namecheap diese Liste; zuletzt standen noch zwei Reseller-Server und acht reguläre Server darauf. (aktualisiert 12:39 Uhr) Bei der nächsten Aktualisierung um 13:58 Uhr standen keine Reseller-Server mehr auf der Liste, nur noch die regulären Server 71 bis 72, 86, 105 und 312. (aktualisiert 14:37 Uhr) Um 15:33 Uhr war auch Server 86 fertig; offen sind laut Namecheap nur noch die Server 71, 72, 105 und 312. (aktualisiert 16:35 Uhr) Um 18:00 Uhr war auch Server 72 fertig; offen sind laut Namecheap nur noch die Server 71, 105 und 312. (aktualisiert 18:38 Uhr) Um 18:50 Uhr meldete Namecheap, die Wartung sei beendet, und setzte die Meldung auf „Resolved“. (aktualisiert 20:40 Uhr) In der Nacht zum 23.10. ergänzte Namecheap eine Erklärung zur angezeigten PHP-Version: Weil CloudLinux die Fixes in die bestehenden Pakete zurückportiert, zeigen Websites zum Beispiel 8.5.11 statt 8.5.12 oder 8.3.35 statt 8.3.36 an. Auch diese Pakete enthalten laut Namecheap die Fixes für beide PHP2Shell-Lücken. (aktualisiert 02:39 Uhr) VPS- und Dedicated-Kunden patchen selbst.
DreamHost
Der US-Hoster DreamHost meldet auf seiner Statusseite (Updates am 21.10. um 21:55 und 22:43 Uhr sowie am 22.10. um 07:59 Uhr), die offiziellen PHP-Pakete seien ausgerollt; Stabilitätstests laufen noch. Für PHP 8.1 und älter kommen Fixes über das Extended-Support-Programm, bis dahin gelten die Mitigations. Am 22.10. um 13:24 Uhr schrieb DreamHost, die offiziellen Sicherheitsupdates seien auf dem Großteil des Netzwerks eingespielt; für die restlichen Servergruppen laufen die letzten Tests vor der finalen Verteilung. Die bisherigen Schutzmaßnahmen bleiben aktiv, Kunden müssen nichts tun. (aktualisiert 14:37 Uhr) Am 22.10. um 20:12 Uhr meldete DreamHost, die offiziellen PHP-Sicherheitsupdates seien jetzt im gesamten Netzwerk eingespielt; die Schutzmaßnahmen bleiben aktiv, Kunden müssen weiterhin nichts tun. (aktualisiert 20:40 Uhr)
InMotion Hosting
Der US-Hoster InMotion hat nach eigener Meldung vom Abend des 20.10. bis zum frühen 21.10. session.upload_progress auf allen verwalteten Servern abgeschaltet. Dedicated-Server sind gepatcht, VPS in Arbeit. Dass Shared Hosting noch auf CloudLinux wartet, ist nur über Sammelseiten belegt. Laut Sammelseiten laufen inzwischen Shared- und Dedicated-Server mit dem aktualisierten PHP, die VPS werden noch gepatcht; auf InMotions eigener Seite steht das bisher nicht. (aktualisiert 14:37 Uhr) Inzwischen bestätigt InMotion das auf der eigenen, am 22.10. aktualisierten Seite: Shared-, Reseller- und WordPress-Hosting-Server sind gepatcht, die CloudLinux-Builds wurden am 21.10. ausgerollt. Auf den VPS und den UltraStack-ONE-Servern laufen die Updates noch. CWP-Server warten auf gepatchte Pakete von CWP; bis dahin hat InMotion die Zugänge zu CWP und CWP Admin eingeschränkt. (aktualisiert 18:38 Uhr) Laut InMotions Statusseite hat CWP inzwischen Version 1.21 veröffentlicht; seit dem 22.10. um 20:31 Uhr spielt InMotion sie auf Dedicated-Servern ein, die VPS sollen kurz danach folgen. Außerdem weist InMotion darauf hin, dass gepatchtes PHP auf Shared Hosting weiter die alte Versionsnummer anzeigt, etwa 8.3.35 statt 8.3.36. Scanner, die nur die Versionsnummer prüfen, können solche Konten deshalb fälschlich als verwundbar melden. (aktualisiert 04:35 Uhr)
WP Engine und Flywheel
WP Engine ist einer der großen Managed-WordPress-Anbieter, Flywheel gehört dazu. Flywheel meldete am 21.10. um 16:31 Uhr auf seiner Statusseite Schutz über das CDN und auf Host-Ebene; um 21:00 Uhr waren die Patches fertig. Die Statusseite von WP Engine lädt ihren Inhalt per JavaScript. Laut Sammelseiten aktualisiert WP Engine PHP 7.4, 8.2, 8.4 und 8.5 (Meldung vom 21.10., 23:52 Uhr).
Kinsta
Der Premium-Anbieter für Managed WordPress hat sich zuerst nur in seinem Community-Forum geäußert, nicht in einer offiziellen Mitteilung. Ein Mitarbeiter nannte dort eine vorübergehende Konfigurationsänderung und zusätzliche Cloudflare-Regeln. Der Patch folge nach der Prüfung, Kunden müssten nichts tun. Inzwischen gibt es eine eigene Statusseite, auf die Kinsta im Forum am 22.10. um 01:16 Uhr hinwies. Dort meldete Kinsta am 22.10. um 10:26 Uhr den Abschluss: Alle Sites seien geschützt, die PHP-Updates für 7.4 bis 8.5 auf der ganzen Plattform ausgerollt, und es gebe keine Hinweise auf Einbrüche über die Lücke. (aktualisiert 10:38 Uhr)
Cloudways
Cloudways gehört zu DigitalOcean und bietet Managed Cloud Hosting an. Laut Statusseite (22.10., 03:02 und 06:07 Uhr) ist das Produkt Autonomous gepatcht. Bei Flexible läuft der Rollout, die Zwischenschutzmaßnahmen bleiben aktiv. Am 22.10. um 09:03 Uhr meldete Cloudways, der Rollout sei in der Endphase und die meisten Server gepatcht; abgeschlossen sein soll er bis 11:00 Uhr. Bis dahin bleiben die Zwischenschutzmaßnahmen aktiv, Kunden müssen nichts tun. (aktualisiert 10:38 Uhr) Um 12:11 Uhr meldete Cloudways den Abschluss: Der Rollout sei fertig, alle aktiven Server seien aktualisiert. Eine kleine Gruppe von Kunden, deren Umgebungen zusätzliche Hilfe brauchen, spricht der Support von sich aus an. (aktualisiert 12:39 Uhr) Am 23.10. um 11:44 Uhr eröffnete Cloudways auf der Statusseite eine neue Meldung zu Berichten über Regressionen in einigen der neuen offiziellen PHP-Sicherheitspatches. Cloudways nennt zwei Punkte: eine vorgeführte, konfigurationsabhängige Codeausführung, die PHP 8.5.12 unter bestimmten Einstellungen betreffe und womöglich auch ältere Versionen; diese Angriffskette werde durch eigene Schutzmaßnahmen unterbrochen. Außerdem einen bestätigten Fehlerbericht über ein mögliches Double-Free in PHP 8.4.27 und 8.5.12, das unter bestimmten Bedingungen Abstürze auslösen könne; Cloudways stuft das als Stabilitätsproblem ein, nicht als kritische Sicherheitslücke. Eine offizielle Stellungnahme oder neue Patches der PHP-Entwickler gebe es dazu laut Cloudways noch nicht. Kunden müssen nichts tun. (aktualisiert 12:42 Uhr)
Automattic (WordPress.com, VIP, Pressable)
Automattic betreibt mit WordPress.com eine der größten WordPress-Plattformen. Die Statusseite von Pressable meldet am 21.10. um 17:04 Uhr, dass alle angebotenen PHP-Versionen geschützt sind. Für WordPress.com und VIP ist die Aussage „already protected“ nur über die Sammelseite von TJ Robertson belegt.
Liquid Web und Nexcess
Die beiden US-Managed-Hoster gehören zusammen. Nexcess meldete am 21.10. um 18:06 Uhr auf seiner Statusseite, die Lage werde noch bewertet. Liquid Web verteilt laut Statusseite gepatchte Builds für cPanel (PHP 7.4 bis 8.5) und Plesk. Seit dem 22.10., 04:09 Uhr, verteilen die Teams laut dieser Statusseite die gepatchten Builds auf der Hosting-Infrastruktur. (aktualisiert 10:38 Uhr) Am 22.10. um 16:42 Uhr meldete Nexcess, die meisten betroffenen Hosts seien gepatcht und auf den übrigen laufe das Patchen in Stufen. (aktualisiert 18:38 Uhr) Um 21:28 Uhr schrieben Liquid Web und Nexcess gleichlautend auf beiden Statusseiten, die Updates würden weiter in Stufen eingespielt und geprüft; die übrigen Umgebungen würden noch bewertet. (aktualisiert 22:36 Uhr) Gegen 23:00 Uhr hat Nexcess seine Meldung von 16:42 Uhr ergänzt und nennt jetzt die bisher als repariert bestätigten PHP-Builds, darunter 8.5.11-2, 8.5.12, 8.4.26-2, 8.4.27, 8.3.35-2, 8.3.36, 8.2.34-2 und 8.2.35 sowie Builds für PHP 5.2 bis 8.1. Welcher Build auf der eigenen Website läuft, zeigt laut Nexcess eine phpinfo-Datei. (aktualisiert 00:37 Uhr) Am 23.10. um 10:33 und 10:35 Uhr meldeten Nexcess und Liquid Web erneut gleichlautend, die übrigen Hosting-Umgebungen würden weiter geprüft und die Verteilung der Updates kontrolliert; der Rollout laufe weiter in Stufen. Beide wiederholen dabei ihre Listen der gepatchten PHP-Builds. (aktualisiert 10:42 Uhr)
Pantheon und Rocket.net
Zwei Nischenanbieter für Drupal und WordPress. Pantheon hat bis zum 22.10. um 04:08 Uhr seine Live-, LTS- und Pre-Production-Umgebungen gepatcht; Free- und Sandbox-Umgebungen sollen innerhalb von 24 bis 48 Stunden folgen. Nach eigenen Angaben hat Pantheon über 60.000 verdächtige Anfragen blockiert. Am 22.10. um 18:36 Uhr schloss Pantheon die Meldung: Die aktualisierten PHP-Images, auch für LTS-Versionen, seien seit dem 22.10., 02:00 Uhr, in allen Kundenumgebungen ausgerollt; weiterhin gebe es begrenzte Angriffsversuche, die blockiert würden. (aktualisiert 18:38 Uhr) Rocket.net spielte die Patches seit dem 22.10., 00:06 Uhr, in Wellen ein. Am 22.10. um 09:17 Uhr meldete Rocket.net, die gepatchten Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 stünden für die Server bereit. Für PHP 8.1 und älter gebe es keinen offiziellen Patch, und wer einen nicht verwalteten Server hat, muss selbst patchen. (aktualisiert 10:38 Uhr) Diese Meldung ist unter ihrer bisherigen Adresse nicht mehr abrufbar. In einer neuen Statusmeldung schreibt Rocket.net seit dem 22.10., 11:17 Uhr, alle PHP-Versionen von 5.2 bis 8.5 bekämen Patches. Der Hersteller des Server-Betriebssystems habe die Fixes in die bestehenden Versionen zurückportiert, deshalb könne die Versionsnummer gleich bleiben; ein Build-Datum ab dem 21. Oktober in phpinfo() zeigt den Fix an. Rocket.net empfiehlt trotzdem den Wechsel auf PHP 8.2 oder neuer. Zusätzlich schützt die Cloudflare-Enterprise-WAF alle Websites bei Rocket.net. Um 12:36 Uhr setzte Rocket.net die Meldung auf „Resolved“. (aktualisiert 12:39 Uhr)
A2 Hosting / hosting.com
Auf der Statusseite von hosting.com, die auch Server von A2 Hosting führt, stand am 22.10. um 09:17 Uhr wortgleich dieselbe Meldung wie bei Rocket.net: Die gepatchten Versionen 8.2.35 bis 8.5.12 stehen für die Server bereit, für PHP 8.1 und älter gibt es keinen offiziellen Patch, und Kunden mit nicht verwalteten Servern patchen selbst. (aktualisiert 10:38 Uhr) Um 11:09 Uhr ersetzte hosting.com diese Meldung durch eine neue: Auf dem Shared Hosting mit cPanel oder Plesk und auf verwalteten cPanel- und Plesk-Servern spielt das Team Patches für alle PHP-Versionen ab 5.2 ein, Kunden müssen nichts tun. Auf der Plattform Enhance sind die Patches für alle Versionen ab PHP 7.4 installiert. Wer einen eigenen VPS betreibt, muss die Updates der Hersteller selbst einspielen. Weil Hersteller die Fixes teils in die bestehenden Versionen zurückportiert haben, kann die Versionsnummer gleich bleiben; ein Build-Datum vom 21. Oktober in phpinfo() zeigt dann den Patch an. Ob die Patches schon auf allen Shared-Servern eingespielt sind, steht dort weiterhin nicht. (aktualisiert 12:39 Uhr) Am 23.10. um 01:02 Uhr setzte hosting.com die Meldung auf „Resolved“: Das PHP-Update sei erfolgreich abgeschlossen, die Wartung beendet, und die Dienste liefen normal. (aktualisiert 02:39 Uhr)
Cloud- und CDN-Anbieter
Cloudflare wird laut W3Techs von 27,7 Prozent aller Websites genutzt. Seit dem 21.10. um 05:02 Uhr greifen laut Cloudflare-Blog automatisch WAF-Regeln, auch im Free-Tarif. Cloudflare hat Angriffe beobachtet und betont, dass Patchen trotzdem Pflicht bleibt.
Bei den Hyperscalern gilt meist: Was der Anbieter selbst betreibt, patcht er. Was der Kunde baut, muss er selbst aktualisieren. AWS hat ein Security Bulletin und einen Blogbeitrag zu WAF-Regeln veröffentlicht. Den Blogbeitrag hat AWS am 22.10. ergänzt: Version 2.3 der verwalteten AWS-WAF-Regelgruppe für PHP enthält die Regel PHP2Shell_BODY gegen CVE-2026-109619 und ist jetzt die Standardversion. Wer die Regelgruppe in der Standardversion nutzt, hat die Regel damit automatisch aktiv; wer eine feste ältere Version eingestellt hat, muss auf 2.3 wechseln. Auch AWS betont, dass die WAF-Regeln das PHP-Update nicht ersetzen. (aktualisiert 20:40 Uhr) Zu AWS Lightsail steht im Bulletin (zuletzt aktualisiert am 22.10. um 05:30 Uhr), dass AWS laufende Instanzen nicht selbst aktualisieren kann; Kunden sollen neue Instanzen aus den aktualisierten Blueprints anlegen und ihre Anwendungen umziehen. (aktualisiert 10:38 Uhr) Am 22.10. um 23:00 Uhr hat AWS das Bulletin erneut aktualisiert: Die neuen Lightsail-Blueprints sind jetzt in allen Regionen verfügbar; laufende Instanzen aktualisiert AWS weiterhin nicht selbst. Für Elastic Beanstalk gibt es aktualisierte Plattformversionen für PHP 8.2 bis 8.5 mit dem offiziellen Fix; wer verwaltete Plattform-Updates aktiviert hat, bekommt sie im nächsten Wartungsfenster automatisch. AWS Lambda bietet keine verwaltete PHP-Laufzeit, wer PHP dort als eigene Laufzeit oder im Container-Image betreibt, muss selbst aktualisieren und neu deployen. (aktualisiert 00:37 Uhr) Microsoft Azure hat die PHP-Images für App Service unter Linux aktualisiert. Inzwischen ergänzt Microsoft dort einen Hinweis zu App Service unter Windows: Die eingebauten PHP-Laufzeiten seien dort End-of-Life, ein Sicherheitspatch dafür sei derzeit nicht geplant. Kunden sollen möglichst zu App Service unter Linux wechseln oder eine eigene, gepatchte PHP-Laufzeit mitbringen, die sie dann selbst pflegen müssen. (aktualisiert 22:36 Uhr) Bei Google Cloud ist App Engine Standard laut Google automatisch gepatcht; bei Cloud Run, GKE und App Engine Flex müssen Kunden neu bauen und deployen. Am 22.10. um 18:25 Uhr überarbeitete Google die Hinweise zu Cloud Armor: Empfohlen werden jetzt die stabilen Regeln im Enforce-Modus. Cloud Armor sei nur eine Übergangsmaßnahme; die eigentliche Lösung sei ein Update auf PHP 8.2 oder neuer und ein neues Deployment. (aktualisiert 18:38 Uhr) Diesen Satz hat Google inzwischen umformuliert: Nötig seien ein Update auf eine reparierte PHP-Version und ein neues Deployment; PHP 8.2 nennt Google an dieser Stelle nicht mehr. (aktualisiert 20:40 Uhr) Am 23.10. um 01:07 Uhr ergänzte Google Hinweise zum Security Command Center: Dessen Dienst External Exposure soll von außen erreichbare, betroffene PHP-Workloads auf Compute Engine, GKE und Cloud Run aufspüren. (aktualisiert 02:39 Uhr) DigitalOcean hat in einem Blogbeitrag eine Übersicht je Produkt veröffentlicht: Die PHP-Laufzeiten von Functions und das PHP-Buildpack der App Platform sind gepatcht, Kunden müssen ihre Anwendungen aber neu deployen. Betroffene 1-Click-Images im Marketplace hat DigitalOcean bis zum Patch zurückgezogen; bereits installierte Instanzen müssen Kunden selbst aktualisieren. Droplets enthalten standardmäßig kein PHP, wer es selbst installiert hat, muss es auch selbst patchen. (aktualisiert 10:38 Uhr) Für Akamai/Linode hatte ich zunächst nur einen Status-Spiegel eines Drittanbieters gefunden. Die Angaben bestätigt inzwischen die offizielle Statusseite: Laut den Meldungen vom 21.10. (16:44 und 19:41 Uhr) prüft Akamai die Auswirkungen auf seine Plattform, und Kunden sollen PHP auf ihren Linode-Instanzen selbst patchen. (aktualisiert 10:38 Uhr) In einer neuen Meldung vom 22.10. um 20:19 Uhr schreibt Akamai, die Untersuchung laufe weiter; im Zuge der Schutzmaßnahmen seien die Speed Tests der Cloud-Infrastruktur vorerst nicht verfügbar. (aktualisiert 20:40 Uhr)
Die Hersteller im Hintergrund
Viele Shared-Hoster hängen von Panel- und Betriebssystem-Herstellern ab. CloudLinux ist die Basis vieler Shared-Hoster, darunter nach eigenen Angaben Namecheap und InMotion. Laut CloudLinux-Statusseite waren die alt-php-Pakete 5.2 bis 8.5 erst am 22.10. um 02:07 Uhr im Stable-Repository. Der Fix für PHP 7.3 auf CloudLinux 8 fehlte noch. Am 22.10. um 11:21 Uhr korrigierte CloudLinux seine Angaben zu den nativen PHP-Paketen des Betriebssystems (nicht alt-php oder ea-php): Im Stable-Repository sind nur PHP 8.2 und 8.3 auf CloudLinux 9 sowie PHP 8.2 auf CloudLinux 8. Die übrigen nativen Builds liegen erst im Beta-Kanal und haben im schrittweisen Rollout bisher rund 0,2 Prozent der Server erreicht. (aktualisiert 12:39 Uhr) Am Nachmittag ergänzte CloudLinux zwei Hinweise: Findet das PHP-Update nichts zu installieren, ist oft das Paket cloudlinux-release veraltet und muss zuerst aktualisiert werden (15:17 Uhr). Und die reparierten alt-php- und ea-php-Pakete tragen eine ältere Versionsnummer, weil der Fix zurückportiert wurde; das gepatchte alt-php85 heißt zum Beispiel 8.5.11-5. Meldungen, PHP 8.5.11 sei verwundbar, beziehen sich laut CloudLinux auf die Originalversion von PHP.net, nicht auf diese Pakete (16:31 Uhr). (aktualisiert 16:35 Uhr) Am 22.10. um 21:50 Uhr meldete CloudLinux, die reparierten nativen PHP-Pakete des Betriebssystems seien jetzt für alle betroffenen Versionen im Stable-Kanal: auf CloudLinux 10 für PHP 8.3, auf CloudLinux 9 für PHP 8.0 bis 8.3, auf CloudLinux 8 für PHP 7.2, 7.3, 7.4, 8.0 und 8.2 und auf CloudLinux 7 für PHP 5.4 (über TuxCare ELS). Ein normales Paket-Update installiert sie. (aktualisiert 22:36 Uhr) Am 23.10. um 02:08 Uhr folgten für CloudLinux 8 und 9 alt-php-Pakete mit den Versionsnummern von PHP.net (8.2.35, 8.3.36, 8.4.27 und 8.5.12). Wer die reparierten Pakete schon installiert hat, etwa alt-php85 in Version 8.5.11-5, ist laut CloudLinux bereits geschützt; das neue Update gleicht nur die Versionsnummern an. (aktualisiert 02:39 Uhr) Das erklärt, warum manche Shared-Hoster langsamer waren. cPanel und Plesk, zwei weit verbreitete Hosting-Panels, haben nach ihren Hilfeartikeln gepatchte PHP-Builds veröffentlicht, auch für die EOL-Versionen 7.4 bis 8.1. Beide Artikel waren bei meiner letzten Prüfung für automatische Abrufe gesperrt, deshalb verlinke ich sie hier nicht.
Keine öffentliche Stellungnahme gefunden
Von folgendem Anbieter habe ich bis Redaktionsschluss keine öffentliche Stellungnahme gefunden:
- Vultr (die Statusseite ließ sich nicht abrufen)
Ob Vultr seine Kunden direkt informiert hat, etwa per E-Mail oder im Kundenkonto, ist offen. Zu A2 Hosting/hosting.com, DigitalOcean, AWS Lightsail und dem Shared Hosting von GoDaddy gibt es inzwischen Angaben; sie stehen weiter oben im Text. (aktualisiert 10:38 Uhr)
Einordnung
- Shared- und Managed-Hoster sagen fast überall, dass Kunden nichts tun müssen. Wer einen VPS oder eine Cloud-Instanz selbst verwaltet, muss dagegen selbst patchen, zum Beispiel bei GoDaddy, Hostinger, Namecheap, Linode oder Google Cloud.
- Früh dran waren SiteGround, Cloudflare und InMotion, die schon vor dem Release Schutzmaßnahmen hatten.
- Engpässe waren die CloudLinux-Pakete und die alten PHP-Versionen bis 8.1.
Wer eine eigene PHP-Installation betreibt, sollte nicht auf den Hoster warten, sondern sofort aktualisieren.
Änderungsprotokoll
- 23.10.2026, 12:42 Uhr MESZ: Neue Meldung bei Cloudways zu gemeldeten Regressionen in den PHP-Patches (8.5.12, 8.4.27).
- 23.10.2026, 10:42 Uhr MESZ: Neue Meldungen bei Liquid Web und Nexcess (übrige Umgebungen werden weiter geprüft, Rollout in Stufen).
- 23.10.2026, 04:35 Uhr MESZ: Neue Meldungen bei Bluehost und HostGator (Statusseiten jetzt abrufbar, meiste Plattformen gepatcht) und InMotion Hosting (CWP-Update wird eingespielt, Hinweis zur angezeigten Versionsnummer).
- 23.10.2026, 02:39 Uhr MESZ: Neue Meldungen bei A2 Hosting/hosting.com (PHP-Update abgeschlossen), Namecheap (Erklärung zur angezeigten Versionsnummer), CloudLinux (alt-php mit PHP.net-Versionsnummern) und Google Cloud (Hinweise zum Security Command Center).
- 23.10.2026, 00:37 Uhr MESZ: Neue Meldungen bei AWS (Lightsail-Blueprints in allen Regionen, Elastic Beanstalk und Lambda), GoDaddy (neue Statusmeldung) und Nexcess (Liste der reparierten PHP-Builds).
- 22.10.2026, 22:36 Uhr MESZ: Neue Meldungen bei Microsoft Azure (kein Patch für die eingebauten PHP-Laufzeiten unter Windows), CloudLinux (native PHP-Pakete jetzt für alle betroffenen Versionen stabil) sowie Liquid Web und Nexcess (Rollout läuft weiter in Stufen).
- 22.10.2026, 20:40 Uhr MESZ: Neue Meldungen bei GoDaddy (Hinweis zu Versionsnummer und Build-Datum), Namecheap (Wartung beendet), DreamHost (Updates im gesamten Netzwerk), AWS (neue verwaltete WAF-Regel), Google Cloud (Empfehlung umformuliert) und Akamai/Linode (neue Statusmeldung).
- 22.10.2026, 18:38 Uhr MESZ: Neue Meldungen bei GoDaddy (Statusmeldung abgeschlossen), Namecheap (nur noch drei Server offen), SiteGround (offizielle Fixes eingespielt), InMotion Hosting (Patch-Stand jetzt auf der eigenen Seite bestätigt), Nexcess (meiste Hosts gepatcht), Pantheon (Meldung geschlossen) und Google Cloud (überarbeitete Cloud-Armor-Hinweise).
- 22.10.2026, 16:35 Uhr MESZ: Neue Meldungen bei GoDaddy (Web Hosting jetzt vollständig gepatcht), Namecheap (nur noch vier Server offen), OVHcloud (Wartung verlängert bis 26.10.) und CloudLinux (Hinweise zu cloudlinux-release und zu den Versionsnummern der gepatchten Pakete).
- 22.10.2026, 14:37 Uhr MESZ: Neue Meldungen bei Namecheap (Reseller-Server fertig, kürzere Restliste) und DreamHost (Updates auf dem Großteil des Netzwerks); InMotion Hosting um einen Stand ergänzt, der nur über Sammelseiten belegt ist.
- 22.10.2026, 12:39 Uhr MESZ: Neue Meldungen bei Cloudways (Rollout abgeschlossen), Namecheap (kürzere Restliste), Rocket.net (neue Statusmeldung, alle PHP-Versionen ab 5.2, Meldung erledigt; Link aktualisiert), hosting.com/A2 Hosting (neue Meldung mit Stand je Plattform), Hostinger (Abschlusszeit des Rollouts) und CloudLinux (Korrektur zu den nativen PHP-Paketen).
- 22.10.2026, 10:38 Uhr MESZ: Neue Meldungen bei GoDaddy (Patch-Status je Tarif und Statusseite), Hostinger, Namecheap, Kinsta (eigene Statusseite, Rollout abgeschlossen), Cloudways, Rocket.net und hosting.com (neuer Abschnitt A2 Hosting / hosting.com). Liquid Web und Linode jetzt über die offiziellen Statusseiten belegt. DigitalOcean und AWS Lightsail ergänzt. A2 Hosting/hosting.com, DigitalOcean, AWS Lightsail und GoDaddy Shared Hosting aus der Liste ohne Stellungnahme gestrichen.
- 22.10.2026, 08:31 Uhr MESZ: Erstveröffentlichung.
Stand: 23.10.2026, 12:42 Uhr MESZ