Kurz erklärt: PHP2Shell ist der Sammelname für zwei kritische Sicherheitslücken in PHP, der Programmiersprache hinter WordPress, Shopware, Joomla und vielen anderen Websites. Laut BSI und der PHP Foundation lässt sich damit aus der Ferne Code auf dem Server ausführen, ein Login ist dafür nicht nötig. Das PHP-Projekt hat am 21. Oktober 2026 Notfall-Updates veröffentlicht. Was Webhosting-Kunden tun müssen: Bei Shared und Managed Hosting kümmern sich die meisten Anbieter selbst um die Updates; Sie sollten aber Statusseite und E-Mails Ihres Hosters im Blick behalten. Wer einen eigenen Server betreibt (VPS, Root, Cloud), muss PHP selbst auf eine gepatchte Version bringen (8.5.12, 8.4.27, 8.3.36 oder 8.2.35) oder die Updates seiner Distribution einspielen. Was die einzelnen Hoster dazu öffentlich sagen, steht weiter unten.
Hinweis: Die Lage ändert sich laufend, teils minütlich. Wir prüfen die Angaben in diesem Artikel alle 30 Minuten und aktualisieren sie. Änderungen vermerken wir mit Uhrzeit im Änderungsprotokoll am Ende des Artikels. Letzter Stand: 24.10.2026, 14:21 Uhr MESZ.
Am 21. Oktober 2026 hat das PHP-Projekt Notfall-Patches für zwei kritische Sicherheitslücken veröffentlicht, die unter dem Namen PHP2Shell bekannt geworden sind. Weil fast jede klassische Website mit WordPress, Shopware oder Joomla auf PHP läuft, betrifft das praktisch jeden Webhoster. Ich habe mir angesehen, wie deutsche und im deutschen Markt aktive Hoster öffentlich darauf reagiert haben, und wer sich bislang nicht geäußert hat. Grundlage sind die öffentlichen Statusseiten, Blogbeiträge und Hilfeartikel der Anbieter.
Was ist PHP2Shell?
PHP2Shell ist der Sammelname für zwei Schwachstellen:
- CVE-2026-109618: Speicherbeschädigung, wenn PHP wegen Speichermangels (Out-of-Memory) eine Anfrage abbricht. Darüber lässt sich Code ausführen.
- CVE-2026-109619: Ein Use-after-free durch veralteten globalen Zustand. Auch das erlaubt Codeausführung.
Beide Fehler haben dieselbe Ursache. Wenn eine Anfrage nicht normal endet, kann PHP seinen Speicher in einem beschädigten Zustand zurücklassen. Die Lücken sind mit CVSS 9.2 (CVSS v4.0) bewertet. Ein Angreifer braucht keinen Login: Eine präparierte Webanfrage genügt, um Code mit den Rechten des Web-Workers auszuführen.
Betroffen sind alle PHP-Installationen, die Webanfragen verarbeiten: mod_php, PHP-FPM, php-cgi, FrankenPHP und LiteSpeed. Am höchsten ist das Risiko bei mod_php, weil der Angriff dort schon greift, bevor überhaupt Anwendungscode läuft. Laut BSI sind alle bekannten Versionen bis mindestens PHP 5 betroffen, laut dem Sicherheitsunternehmen Sansec PHP ab Version 5.4.
Patches gibt es seit dem 21.10.2026 (gegen 15:35 MESZ): PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 7.4, 8.0 und 8.1 hat das PHP-Team nur minimale Source-Backports bereitgestellt. Ursprünglich sollten die Updates erst am 22.10. kommen. Weil Details vorab bekannt wurden, erschienen sie früher. Am 20.10. gab es eine Vorwarnung. Laut Datadog berichtet AWS von Ausnutzungsversuchen ab dem 17.10.; ein Proof of Concept und ein Exploit-Tool sind öffentlich verfügbar.
Wer einen eigenen Server betreibt, sollte also sofort aktualisieren. Workarounds verringern das Risiko nur, sie schließen die Lücke nicht.
Weiterführend: PHP Foundation, BSI-Pressemitteilung, BSI-Cybersicherheitswarnung (PDF), CISA, Canadian Centre for Cyber Security, Datadog Security Labs, Tenable, BleepingComputer, heise online.
Diese 30 Hoster haben sich geäußert
Alle Uhrzeiten in MESZ.
IONOS
IONOS meldet auf seiner Statusseite eine „Sicherheitswartung: Kurze Unterbrechungen bei PHP-basierten Diensten möglich“. Das Update wird nach eigener Aussage „auf allen unseren Systemen“ eingespielt, der Abschluss war innerhalb von 24 Stunden geplant (Updates am 21.10. um 17:44, 18:02 und 22:59 Uhr). Kunden mit VPS oder Bare-Metal-Servern sollen selbst patchen. Zudem wurden laut Statusseite Nextcloud-Instanzen vorsorglich deaktiviert (14:26 Uhr); laut unicorn-factory.net war das um 22:55 Uhr gelöst. Am 22.10. um 06:53 Uhr meldete IONOS: „Wir arbeiten weiterhin an der Fehlerbehebung.“ Um 09:15 Uhr meldete IONOS, dass Website-Baukasten und Control Panel wieder stabil laufen und alle Dienste wie gewohnt funktionieren; Control-Center und Baukasten-Systeme stehen auf der Statusseite wieder auf „Operational“. Der Eintrag zur Sicherheitswartung blieb zunächst offen, und die Hosting-Dienste (Web Hosting, Webhosting Windows, WordPress Hosting, WordPress Pro) führte die Statusseite zu diesem Zeitpunkt als „Partial Outage“. (aktualisiert 09:20 Uhr) Um 10:02 Uhr setzte IONOS den Eintrag auf „Monitoring“: „Die Systeme laufen wieder stabil und alle Dienste funktionieren wieder normal.“ Alle Komponenten der Statusseite, auch die Hosting-Dienste, stehen wieder auf „Operational“. In einer Mitteilung im Newsroom schreibt IONOS, das offizielle Update sei auf allen Plattformen eingespielt, die das Unternehmen selbst betreibt; Kunden müssten nicht selbst tätig werden. Schon vor Erscheinen der Updates seien auf den Hosting-Plattformen angepasste PHP-Konfigurationen und Firewall-Regeln aktiv gewesen. Außerdem warnt IONOS vor Phishing-Mails, die sich auf die PHP-Lücke berufen. (aktualisiert 10:25 Uhr) Am 22.10. um 13:03 Uhr hat IONOS den Eintrag zur Sicherheitswartung auf der Statusseite als gelöst („Resolved“) markiert, mit dem Satz „Websites und Hosting bei IONOS sind geschützt.“ und dem Text der Newsroom-Mitteilung; die Statusseite zeigt wieder „All Systems Operational“. (aktualisiert 13:16 Uhr)
Hetzner
Hetzner führt einen Incident „PHP Sicherheitslücken CVE-2026-109618 und CVE-2026-109619“ (Start 21.10., 13:04 Uhr). Hetzner hat die vorgeschlagenen Mitigations ausgerollt und konsoleH, Managed Server, Storage Share, phpMyAdmin und Webmail gepatcht. Bis 19:50 Uhr waren PHP 7.4 und 8.0 bis 8.5 auf allen Webhosting- und Managed-Servern aktualisiert. Am 22.10. um 06:32 Uhr meldete Hetzner, dass nun auch die verbleibenden Versionen PHP 5.6 und 7.3 auf allen Webhosting- und Managed-Servern gepatcht sind. Kunden mit Dedicated- und Cloud-Servern informiert Hetzner nach eigener Aussage gesondert. Am Nachmittag des 23.10. hat Hetzner den Incident von „Warnung“ auf „Information“ herabgestuft, der Status lautet jetzt „Überwachen“ statt „Untersuchen“. Ein neues Textupdate gibt es dazu nicht, die letzte Meldung bleibt die vom 22.10. um 06:32 Uhr. (aktualisiert 17:25 Uhr)
netcup
netcup hat einen Info-Beitrag für Kunden und eine Störungsmeldung auf der Statusseite veröffentlicht. Webhosting und Managed Server wurden vorsorglich vom Netz genommen und waren ab 22:51 Uhr wieder online. Das Webhosting Control Panel (WCP) blieb vorsorglich offline, bis Plesk einen Patch lieferte; die Websites liefen in der Zeit bereits auf gepatchtem PHP. Am 22.10. um 04:09 Uhr meldete netcup: Plesk hat eine aktualisierte Version bereitgestellt, sie ist auf allen Systemen ausgerollt und validiert, und das WCP ist wieder freigegeben.
Mittwald
Mittwald meldete „Vorsorgliche Einschränkungen aufgrund der aktuellen PHP-Sicherheitslücke“. Um 14:16 Uhr wurden Uploads und multipart/form-data deaktiviert. Um 16:17 Uhr hat Mittwald alle Systeme heruntergefahren und eingehenden Traffic gesperrt. Kundencenter und mStudio waren ab 21:54 Uhr wieder erreichbar, die Websites ab 22:52 Uhr. Am 22.10. um 0:28 Uhr galt der Vorfall als gelöst. Laut der letzten Meldung ist die Lücke für nahezu alle betroffenen PHP-Versionen behoben. Ausgenommen sind derzeit noch Versionen unterhalb von PHP 5.6; daran arbeitet Mittwald nach eigener Aussage weiter.
manitu
manitu kündigte ab 8:50 Uhr eine Wartung „Sicherheitslücke in PHP – kurz- und mittelfristige Wartungsmaßnahmen“ an. Ab 12:10 Uhr waren keine Formular-Uploads mit Anhängen mehr möglich, auch nicht außerhalb von PHP. Bis 20:05 Uhr wurde auf korrigierte Versionen aktualisiert, die Upload-Beschränkungen bleiben laut Update von 20:33 Uhr bestehen, bis manitu „mit größtmöglicher Sicherheit“ sagen kann, dass die Patches sicher sind. Bemerkenswert ist der Hinweis: „Wir bitten Sie eindringlich, von Rückfragen abzusehen.“ Am 22.10. um 08:34 Uhr ergänzte manitu, „da uns hierzu vermehrt Rückfragen erreichen“: Nutzer der Webhosting-Pakete müssen bei den PHP-Updates nicht tätig werden, das habe manitu übernommen. Wer einen Root- oder vServer nutzt, soll umgehend alle verfügbaren Updates seiner Distribution einspielen, auch für Container-Umgebungen, die PHP ausliefern. (aktualisiert 08:56 Uhr) Am 22.10. um 14:45 Uhr meldete manitu: „Die Einschränkungen bei der Nutzung von Formularen und Datei-Uploads bestehen nicht mehr.“ Die Wartungsarbeiten seien allgemein abgeschlossen, manitu beobachte die Situation aber weiter aktiv. (aktualisiert 15:20 Uhr) Um 15:22 Uhr setzte manitu die Wartung auf der Statusseite auf „beendet“ (Dauer laut manitu: 1 Tag und 6 Stunden). (aktualisiert 15:50 Uhr)
Uberspace
Uberspace hat auf Mastodon angekündigt, „um ca. 15:45 alle PHP-Services auf uberspace [zu] deaktivieren“, und ergänzt: „Ihr müsst nichts dazu tun.“ Dazu gab es eine Anleitung, wie Nutzer PHP schon vorher selbst sperren können. Laut der Uberspace-Statusseite sind auf U8 alle verfügbaren PHP-Versionen aktualisiert und die PHP-Dienste wieder aktiviert; auf U7 laufen alle PHP-Versionen (8.2 bis 8.5) in gepatchten Fassungen. Eine zwischenzeitliche Sperre von multipart/form-data-POST-Anfragen wurde wieder entfernt. Nutzer, die noch die EOL-Version 8.1 verwendeten, wurden zwangsweise auf 8.2 aktualisiert.
Hostinger
Hostinger hat sich in einem globalen Blogbeitrag geäußert, also nicht speziell für den deutschen Markt: „We blocked the exploit attempts already circulating, and we’re rolling out PHP’s update.“ Hostinger hat Firewall- und WAF-Regeln gesetzt und spielt das PHP-Update auf allen Managed-Plänen ein. VPS-Kunden sollen selbst patchen; als Notlösung empfiehlt Hostinger session.upload_progress.enabled=Off. In einem Update vom 22.10., 09:20 Uhr MESZ, schreibt Hostinger, die Korrektur sei nun auf allen Hosting-Servern installiert, mit Ausnahme der VPS, die Kunden selbst verwalten. Eine Zunahme von Malware-Infektionen oder ungewöhnlicher Aktivität im Managed Hosting habe Hostinger seit Bekanntwerden der Lücken nicht festgestellt. (aktualisiert 10:50 Uhr) Inzwischen nennt Hostinger auch einen Zeitpunkt: Die neuen PHP-Versionen seien am 22.10. um 06:44 Uhr UTC (08:44 Uhr MESZ) auf der ganzen Plattform ausgerollt gewesen. Im Managed Hosting stecke die Korrektur in der PHP-Version, die eine Website ohnehin nutzt, die Versionsnummer könne sich deshalb nicht ändern. Ob eine Seite geschützt ist, lässt sich laut Hostinger im Dashboard unter „PHP Info“ prüfen: Ein Build-Datum vom 21. Oktober 2026 oder später zeigt die Korrektur an. (aktualisiert 12:55 Uhr) In einem weiteren Update vom 23.10., 13:25 Uhr UTC (15:25 Uhr MESZ), geht Hostinger auf eine dritte vom PHP-Projekt gemeldete Schwachstelle ein (CVE-2026-115560): Alle Hosting-Pläne außer VPS seien durch die Änderungen vom 21. Oktober bereits vollständig geschützt, Kunden müssten nichts tun. Die Korrektur des PHP-Projekts soll mit dem nächsten regulären Release kommen, Hostinger will sie im Rahmen der normalen Wartung einspielen. VPS-Kunden sollen session.upload_progress.enabled auf Off setzen und alle PHP-Prozesse neu starten; wer das bereits am 21. Oktober getan hat, ist laut Hostinger schon abgesichert. (aktualisiert 15:51 Uhr)
HostPress
Hinweis: Für HostPress liegt mir nur ein Beleg über den Drittanbieter StatusGator vor, der Statusseiten spiegelt. Eine Primärquelle von HostPress selbst habe ich nicht gefunden. Laut StatusGator gab es am 21.10. um 13:48 Uhr (Zeitzone bei StatusGator unklar) einen Status-Incident „PHP Sicherheitslücken (CVE-2026-109618 & CVE-2026-109619, CVSS 9.2)“ mit einer Dauer von drei Minuten. Welche Maßnahmen HostPress ergriffen hat, ist nicht bekannt.
creoline
creoline hat am 21.10. um 19:04 Uhr einen Hilfeartikel „PHP – CVE-2026-109618“ veröffentlicht. Managed-Server sind auf PHP 8.2 bis 8.5 gepatcht. Außerdem betreibt creoline einen eigenen APT-Mirror mit den Fixes. Kunden mit Unmanaged-Servern sollen selbst patchen. Inzwischen empfiehlt creoline dort zusätzlich, die eingesetzte PHP-Version nicht über die HTTP-Response-Header preiszugeben, und beschreibt, wie man das per curl prüft und mit expose_php = off in der php.ini abschaltet. (aktualisiert 11:51 Uhr)
prepaid-hoster
prepaid-hoster meldete um 15:11 Uhr einen Status-Incident „Wartungsarbeiten/Sicherheitsupdates (kritische PHP-Schwachstelle)“. Der Rollout erfolgte gestaffelt; die wichtigsten Systeme waren bis 17:15 Uhr aktualisiert und gehärtet, die Plesk-Hosts ebenfalls aktualisiert. Am 22.10. um 08:18 Uhr meldete prepaid-hoster: „Das Problem wurde behoben und ist nun unter Beobachtung.“ (aktualisiert 08:27 Uhr) Am 23.10. um 14:34 Uhr setzte prepaid-hoster den Eintrag auf „Behoben“: „Das Problem wurde vollständig behoben.“ (aktualisiert 14:55 Uhr) prepaid-hoster weist darauf hin, dass PHP 5 und 7 nicht zum offiziellen Update gehören und Versionen unter 8.2 nicht mehr eingesetzt werden sollten.
XONIC
Der Shop-Hoster XONIC hat um 19:30 Uhr einen News-Beitrag veröffentlicht: eine Schutzmaßnahme auf allen Servern, dazu Updates für PHP 8.2 bis 8.5 noch am selben Abend.
Contabo
Contabo hat auf seiner Statusseite am 21.10. ab 13:00 Uhr das Shared Hosting (cPanel) ausgesetzt, bis es gepatcht ist. Um 22:57 Uhr meldete Contabo: Alle Webhosting-Dienste sind vollständig gepatcht und wieder verfügbar. Das alte Kundenpanel wurde vorsorglich abgeschaltet (die Statusseite datiert das auf den 13.10., vermutlich ein Tippfehler); am 21.10. um 21:31 Uhr war es laut Statusseite gepatcht und wieder online. Zwischenzeitlich hatte Contabo ab 15:05 Uhr auch die Steuerung der Dedicated Server abgeschaltet sowie von 15:21 bis 17:38 Uhr den Blog und das Monitoring. (aktualisiert 08:27 Uhr) In einem Hilfeartikel weist Contabo darauf hin, dass Kunden PHP auf ihren eigenen Servern selbst patchen müssen. Das ist wichtig, weil Contabo überwiegend unmanaged VPS verkauft. Konfigurations-Workarounds seien laut Statusseite unwirksam. Am 22.10. um 12:53 Uhr meldete Contabo auf der Statusseite: „All patches are 100% done.“ Man arbeite noch daran, den letzten ausgefallenen VPS-Host (18343) wieder in Betrieb zu nehmen. Der verlinkte Hilfeartikel war beim Abruf um 12:53 Uhr nicht mehr erreichbar (Fehlerseite 404). (aktualisiert 12:55 Uhr) Um 12:55 Uhr folgte auf der Statusseite: „All services are patched and online again.“ (aktualisiert 13:16 Uhr) Am 23.10. um 14:00 Uhr hat Contabo auf der Statusseite eine neue Meldung veröffentlicht: Das PHP-Projekt habe in einem informativen Hinweis auf eine weitere Schwachstelle aufmerksam gemacht (CVE-2026-115560), einen möglichen Weg zur Ausführung von Schadcode über die Session-Verarbeitung von PHP. Das PHP-Projekt hält einen Angriff in der Praxis laut Contabo für unwahrscheinlich, weil dafür eine ungewöhnliche Kombination aus Konfiguration und Anwendungscode nötig ist. Contabo prüft nach eigenen Angaben noch, ob die eigenen Produkte und Kunden betroffen sind, und empfiehlt vorsorglich die vom PHP-Projekt genannte Gegenmaßnahme: session.upload_progress.enabled=0 in der PHP-Konfiguration setzen und PHP neu starten. Wer das schon nach dem Hinweis vom 21.10. zu CVE-2026-109619 erledigt hat, muss nichts weiter tun. Eine vollständige Korrektur soll mit dem nächsten regulären PHP-Release folgen. (aktualisiert 14:55 Uhr) Am 23.10. um 16:31 Uhr ergänzte Contabo auf der Statusseite, die Gegenmaßnahme (session.upload_progress.enabled=0) sei auf allen eigenen Webspace-Systemen umgesetzt. (aktualisiert 16:52 Uhr)
df.eu (domainfactory)
df.eu hat auf seiner Statusseite im Eintrag „Wartung des Hostings“ am 21.10. um 20:48 Uhr mitgeteilt, man habe Schutzmaßnahmen getroffen und aktualisiere aktiv die Dienste, darunter ManagedHosting, ManagedCloud-Server, Reseller-Hosting, Reseller Cloud Server, Webhosting und Webhosting Plus. Wer einen eigenen VPS verwaltet, muss das PHP-Update selbst installieren; dazu will df.eu noch Informationen bereitstellen. Am 22.10. um 10:04 Uhr ergänzte df.eu im selben Eintrag: In Managed Hosting, Reseller Hosting, Managed Cloud Server und Reseller Server wurden sofort die vorgeschlagenen Mitigations aktiviert; die Patches werden derzeit auf allen betreffenden Systemen ausgerollt, PHP-Versionen unterhalb von 8.2 erhalten die Korrekturen per Backport. In den cPanel-Tarifen Webhosting und Webhosting Plus begann der Rollout gegen 03:30 Uhr, die Managed-WordPress-Tarife sind bereits vollständig gepatcht. Für VPS mit cPanel/WHM verweist df.eu auf die korrigierten PHP-Pakete in EasyApache 4 (unter anderem ea-php82 in Version 8.2.35, Backports auch für 7.4, 8.0 und 8.1). (aktualisiert 10:25 Uhr) Am 22.10. um 13:16 Uhr meldete df.eu im selben Eintrag: „Stand 22.10.2026, 12:45 Uhr haben wir alle erforderlichen Sicherheitspatches erfolgreich eingespielt.“ VPS-Kunden müssen ihre PHP-Versionen weiterhin selbst aktualisieren. (aktualisiert 13:54 Uhr) Inzwischen hat df.eu diesen Eintrag ergänzt: Auch in den cPanel-Tarifen Webhosting und Webhosting Plus seien „Stand 22.10.2026, 15:30 Uhr“ alle erforderlichen Sicherheitspatches erfolgreich eingespielt. (aktualisiert 16:18 Uhr) Am 22.10. um 17:07 Uhr hat df.eu den Statuseintrag als erledigt markiert („This maintenance has been completed.“). (aktualisiert 17:24 Uhr)
dogado
dogado meldete auf seiner Statusseite am 21.10. um 10:56 Uhr, man beobachte die Lage und arbeite an einer Strategie für die Aktualisierung. Um 16:08 Uhr folgte: Die Installation der Updates werde „mit höchster Priorität“ vorbereitet. Dabei kann es zu kurzen, nicht einzeln angekündigten Neustarts kommen. Webspace-Kunden müssen nichts tun; Kunden mit eigenem vServer oder Root-Server sollen selbst patchen. Einen Abschluss meldete dogado bis zum letzten Abruf noch nicht. Am 22.10. um 08:30 Uhr begannen Wartungsarbeiten: dogado spielt die Sicherheitsupdates auf seinen Hosting-Servern ein. Für den Abschluss ist ein Neustart nötig, Websites und E-Mail können kurz nicht erreichbar sein; E-Mails gehen laut dogado nicht verloren, Kunden müssen nichts tun. Für Cloud-Server-Kunden meldete dogado um 08:51 Uhr, dass Plesk die Sicherheitsupdates bereitgestellt hat; sie kamen mit dem regulären täglichen Update in der Nacht. Abgesichert sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 sowie Pakete für PHP 7.4, 8.0 und 8.1 mit Build-Datum ab 21.10.2026 (die Versionsnummern bleiben dort unverändert). (aktualisiert 08:56 Uhr) Am 22.10. um 12:06 Uhr (Wartung der Hosting-Server) und 12:08 Uhr (ursprünglicher Eintrag) meldete dogado, die Wartungsarbeiten dauerten weiterhin an; wegen der „Größe und Komplexität unserer Infrastruktur“ brauchten die Maßnahmen mehr Zeit. Einen Abschluss gibt es damit weiterhin nicht. (aktualisiert 12:20 Uhr) In einem Hilfeartikel vom 22.10. (13:04 Uhr), auf den die Statusmeldungen inzwischen verweisen, schreibt dogado, die Sicherheitsaktualisierungen seien noch nicht vollständig abgeschlossen; der Abschluss sei für den Abend des 22. Oktober vorgesehen. Bis dahin könne für betroffene PHP-Installationen weiterhin ein Sicherheitsrisiko bestehen. Die eingestellte PHP-Version müssen Kunden dafür nicht ändern; wer einen selbst verwalteten Server betreibt, muss selbst patchen. (aktualisiert 14:47 Uhr) Inzwischen erklärt der Hilfeartikel zudem, dass die bisherige PHP-Version beibehalten wird und die angezeigte Versionsnummer wegen Backporting gleich bleibt; das bedeute auf bereits aktualisierten Systemen nicht, dass Updates fehlen. Abgeschlossen seien die Aktualisierungen aber noch nicht auf allen betroffenen Systemen. (aktualisiert 15:20 Uhr) Um 19:56 Uhr setzte dogado den Statuseintrag zur Wartung der Hosting-Server auf „Gelöst“: Die Sicherheitslücken seien auf den Servern geschlossen, das Update für alle PHP-Versionen eingespielt. Die angezeigte PHP-Versionsnummer habe sich dabei nicht geändert, weil der Fix direkt in die bestehenden Versionen eingebaut wurde; Kunden müssen nichts tun. Mittelfristig empfiehlt dogado den Wechsel auf PHP 8.2 oder neuer. Auch der Hilfeartikel meldet inzwischen mit Stand 22. Oktober, 19:50 Uhr, dass die Sicherheitsaktualisierungen vollständig abgeschlossen sind. (aktualisiert 20:22 Uhr) Am 23.10. gegen 16:27 Uhr hat dogado den Hilfeartikel um einen Prüftipp ergänzt: Eine gepatchte PHP-Version erkenne man in einer phpinfo-Datei am Build Date 21.10.2026 direkt unter der PHP-Version. (aktualisiert 16:52 Uhr)
checkdomain
checkdomain gehört zur dogado-Gruppe und hat auf seiner Statusseite gleichlautend informiert (21.10., 15:45 und 16:09 Uhr). Auch hier gilt: Webspace-Kunden müssen nichts tun, Server-Kunden sollen selbst patchen. Einen Abschluss meldete checkdomain bis zum letzten Abruf noch nicht. Am 22.10. um 08:27 Uhr meldete checkdomain im selben Eintrag, dass die Sicherheitsupdates derzeit auf den Hosting-Servern eingespielt werden; für den Abschluss ist ein Neustart nötig, Websites und E-Mail können kurz nicht erreichbar sein, Kunden müssen nichts tun. (aktualisiert 10:25 Uhr) Laut einer weiteren Meldung vom 22.10., 07:00 Uhr, sind Wartungsarbeiten am Kundenbereich abgeschlossen; Kundenbereich und Website sind seit 21.10., ca. 23:30 Uhr, wieder erreichbar. Einen Zusammenhang mit PHP2Shell nennt die Meldung nicht ausdrücklich. (aktualisiert 08:27 Uhr) Ein gleichlautender Hilfeartikel von checkdomain (22.10., 13:03 Uhr), auf den die Statusmeldung inzwischen verweist, nennt denselben Stand: Die Aktualisierungen seien noch nicht vollständig abgeschlossen, der Abschluss sei für den Abend des 22. Oktober vorgesehen, und bis dahin könne für betroffene PHP-Installationen ein Sicherheitsrisiko bestehen. (aktualisiert 14:47 Uhr) Auch dieser Hilfeartikel ergänzt inzwischen die Erklärung zur gleichbleibenden PHP-Versionsnummer (Backporting) und weist darauf hin, dass die Aktualisierungen noch nicht auf allen betroffenen Systemen abgeschlossen sind. (aktualisiert 15:20 Uhr) Um 15:21 Uhr setzte checkdomain den Statuseintrag auf „Gelöst“: Die Sicherheitslücken seien auf den Servern geschlossen, das Update für alle verfügbaren PHP-Versionen eingespielt. Die angezeigte Versionsnummer habe sich teilweise nicht geändert, weil der Fix direkt in die bestehenden Versionen eingebaut wurde; Kunden müssen nichts tun. Unabhängig davon empfiehlt checkdomain, mittelfristig auf PHP 8.2 oder neuer zu wechseln. (aktualisiert 15:50 Uhr) Inzwischen hat checkdomain auch den Hilfeartikel angepasst: Mit Stand 22. Oktober 2026, 16:45 Uhr, seien die Sicherheitsaktualisierungen vollständig abgeschlossen, die Arbeiten seit dem Nachmittag beendet; Kunden auf den Webhosting- und Managed-Systemen müssen weiterhin nichts tun. (aktualisiert 18:50 Uhr) Am 23.10. gegen 16:24 Uhr hat checkdomain den Hilfeartikel um denselben Prüftipp wie dogado ergänzt: Eine gepatchte PHP-Version erkenne man in einer phpinfo-Datei am Build Date 21.10.2026 direkt unter der PHP-Version. (aktualisiert 16:52 Uhr)
Alfahosting
Auch Alfahosting (dogado-Gruppe) hat auf seiner Statusseite am 21.10. um 15:34 und 16:07 Uhr gleichlautend informiert. Am 22.10. um 07:15 Uhr begannen Wartungsarbeiten: Die Sicherheitsupdates werden auf allen Servern webX.alfahosting-server.de eingespielt. Für den Neustart können Websites und E-Mail kurz nicht erreichbar sein; E-Mails gehen laut Alfahosting nicht verloren. Kunden müssen nichts tun. Zusätzlich meldete die Statusseite, dass wegen der Wartungsarbeiten der Login in das CloudPit gestört ist; am 22.10. um 07:02 Uhr meldete Alfahosting, dass der Login wieder funktioniert. Um 09:17 Uhr setzte Alfahosting die Wartung auf den webX-Servern auf „Gelöst“: Die Lücken seien geschlossen, das Update für alle verfügbaren PHP-Versionen eingespielt. Die angezeigte PHP-Versionsnummer habe sich teilweise nicht geändert, weil der Fix direkt in die bestehenden Versionen eingebaut wurde; Kunden müssen nichts tun. Mittelfristig empfiehlt Alfahosting den Wechsel auf PHP 8.2 oder neuer. (aktualisiert 10:25 Uhr) Am 22.10. um 07:02 Uhr meldete Alfahosting zudem, dass Kundenbereich und Website seit 21.10., ca. 23:30 Uhr, wieder uneingeschränkt erreichbar sind; einen Zusammenhang mit PHP2Shell nennt die Meldung nicht ausdrücklich. (aktualisiert 08:27 Uhr) Seit 22.10., 08:37 Uhr, laufen die Sicherheitsupdates auch auf den Hosting-Servern hostX.alfahosting-server.de, ebenfalls mit Neustart und kurzer Nichterreichbarkeit von Websites und E-Mail. (aktualisiert 08:56 Uhr) In einem Hilfeartikel (zuletzt aktualisiert am 22.10. um 14:42 Uhr) meldet Alfahosting: „Die Behebung der Sicherheitslücken ist abgeschlossen.“ Die Updates seien auf den betroffenen Webhosting- und Managed-Systemen serverseitig eingespielt, die eingestellte PHP-Version sei dabei nicht verändert worden, und Kunden müssten nichts tun; selbst verwaltete Server müssen Kunden selbst aktualisieren. Der Statuseintrag zu den hostX-Servern stand beim letzten Abruf allerdings noch auf „Wartungsarbeiten“. (aktualisiert 14:47 Uhr) Um 15:17 Uhr setzte Alfahosting auch den Statuseintrag zu den hostX-Servern auf „Gelöst“: Die Lücken seien auf den Servern geschlossen, das Update für alle verfügbaren PHP-Versionen eingespielt; die angezeigte Versionsnummer habe sich teilweise nicht geändert, weil der Fix in die bestehenden Versionen eingebaut wurde (sogenanntes Backporting, wie der Hilfeartikel inzwischen erklärt). Kunden müssen nichts tun. (aktualisiert 15:20 Uhr) Um 16:51 Uhr hat Alfahosting diese Meldung allerdings korrigiert und den Eintrag wieder auf „Problem identifiziert“ gesetzt: Auf den Servern hostX.alfahosting-server.de ist derzeit nur PHP 8.5 gepatcht, die Updates für die übrigen PHP-Versionen sind dort noch nicht vollständig eingespielt. Die restlichen Patches sollen im Laufe des Abends installiert werden; Kunden müssen dafür nichts tun. Wer seine Website sofort absichern möchte, kann laut Alfahosting schon jetzt auf PHP 8.5 umstellen. Alfahosting bittet, „die missverständliche Meldung zu entschuldigen“. Der Hilfeartikel spricht beim letzten Abruf weiterhin von abgeschlossener Behebung. (aktualisiert 16:54 Uhr) Inzwischen hat Alfahosting auch den Hilfeartikel angepasst: Die Behebung der Sicherheitslücken sei noch nicht vollständig abgeschlossen, auf einem Teil der Hosting-Systeme dauerten die Wartungsarbeiten noch an; für den aktuellen Stand verweist Alfahosting auf seine Statusseite. (aktualisiert 20:22 Uhr) Am 23.10. um 12:44 Uhr hat Alfahosting den Statuseintrag zu den hostX-Servern wieder auf „Gelöst“ gesetzt: Die Sicherheitsupdates für alle PHP-Versionen seien seit dem Abend des 22.10., gegen 23:00 Uhr, auf allen betroffenen Servern vollständig eingespielt. Die Meldung erscheine wegen eines Problems beim Erstellen erst jetzt. Die angezeigte PHP-Versionsnummer habe sich teilweise nicht geändert, weil der Fix in die bestehenden Versionen eingebaut wurde; Kunden müssen nichts tun. (aktualisiert 12:48 Uhr) Mit Stand 23.10., 13:19 Uhr, hat Alfahosting den Hilfeartikel erneut angepasst und schränkt die Entwarnung ein: Abgeschlossen seien die Sicherheitsaktualisierungen auf den regulären Webhosting-Systemen. Auf den Reseller-Systemen dauerten sie noch an; bis zum Abschluss könne auf betroffenen Systemen weiterhin ein Sicherheitsrisiko bestehen. Auch diese Arbeiten führe Alfahosting selbst durch, manuelle Updates seien nicht nötig; für den Fortschritt verweist Alfahosting auf seine Statusseite. (aktualisiert 13:23 Uhr) Am 23.10. gegen 16:41 Uhr hat Alfahosting den Hilfeartikel noch einmal überarbeitet: Auf den Webhosting-Systemen seien die Updates für alle verfügbaren PHP-Versionen eingespielt, für alle Multi-, Business-, Shop- und WordPress-Tarife aller Generationen sei die Sicherheit damit wieder gewährleistet. Der Hinweis, dass die Arbeiten auf den Reseller-Systemen noch andauern, steht weiterhin im Artikel. Wer prüfen will, ob seine PHP-Version gepatcht ist, soll laut Alfahosting in einer phpinfo-Datei direkt unter der PHP-Version auf das Build Date 21.10.2026 achten. (aktualisiert 16:52 Uhr) Am Abend des 23.10. hat Alfahosting den Hilfeartikel erneut aktualisiert: Laut einem Update von 21:30 Uhr sind die Sicherheitsupdates nun auch auf allen Reseller-Systemen eingespielt. Damit sind die Arbeiten nach Angabe von Alfahosting auf den regulären Webhosting- sowie den Reseller-Systemen abgeschlossen. (aktualisiert 22:19 Uhr) Auf der Statusseite bestätigte Alfahosting um 22:20 Uhr, dass auch auf allen Reseller-Systemen die PHP-Sicherheitsupdates eingespielt sind; eine Funktionsstörung beim Menüpunkt „Servereinstellungen“ im Reseller-Bereich wird laut Statusseite weiterhin untersucht. Im Hilfeartikel ist der Satz, Alfahosting arbeite an der vollständigen Behebung, inzwischen entfallen. (aktualisiert 22:47 Uhr)
all-inkl.com
all-inkl.com hat am 22.10.2026 um 08:20 Uhr auf unsere Presseanfrage eine nach eigener Angabe automatisch versendete Statusmeldung geschickt. Eine individuelle Stellungnahme ist das bis jetzt nicht, eine persönliche Antwort steht noch aus. In der Statusmeldung heißt es: „Unsere Techniker haben inzwischen einen Großteil unserer Kundenserver mit den notwendigen Updates gegen die beiden kritischen PHP-Sicherheitslücken versorgt. Die Arbeiten an den verbleibenden Servern laufen weiterhin mit hoher Priorität. Zusätzlich haben wir weitere Sicherheitsvorkehrungen zum Schutz unserer Systeme und Ihrer Daten getroffen. Unsere Webseite, das KAS und die Members Area sind inzwischen wieder online und erreichbar.“ (aktualisiert 08:58 Uhr)
Inzwischen hat all-inkl.com auch öffentlich Stellung genommen, mit einem Hinweis auf der Website unter „Wichtig zu wissen“ (FAQ, Rubrik „News – Status“) („Kritische Sicherheitslücken in PHP – Sicherheitsupdates eingespielt“). Demnach hatte all-inkl.com schon vor Veröffentlichung der Sicherheitsupdates zusätzliche Schutzmaßnahmen auf den Servern aktiviert. Inzwischen seien „sämtliche bei uns angebotenen PHP-Versionen“ mit den Sicherheitskorrekturen versehen, auch ältere Versionen, die das PHP-Projekt nicht mehr unterstützt. Einige eigene Dienste hat all-inkl.com vorsorglich vorübergehend abgeschaltet; die Webseiten der Kunden seien davon nicht betroffen gewesen. Konkrete Hinweise auf eine erfolgreiche Ausnutzung gebe es bislang nicht, eine Ausnutzung vor Installation der Updates lasse sich aber „nicht grundsätzlich ausschließen“. all-inkl.com empfiehlt deshalb, Webseiten und Anwendungen auf unbekannte Dateien, unerwartete Änderungen oder neu angelegte Benutzerkonten zu prüfen. (aktualisiert 12:55 Uhr) Laut dem aktuellen Status auf derselben Seite sind die Lücken „auf allen Webhosting- und Managed Servern durch Einspielung der Patches behoben“; vorübergehend nicht erreichbar sind derzeit noch WebMail und WebFTP. (aktualisiert 13:06 Uhr) Inzwischen meldet all-inkl.com dort, die eigenen Dienste wie KAS, WebMail und Members Area seien alle wieder erreichbar. (aktualisiert 15:51 Uhr)
Webhosting Franken
Webhosting Franken aus Bamberg hat am 22.10.2026 um 08:29 Uhr auf unsere Presseanfrage geantwortet (Holger Häring, Support). Demnach wurden die abgesicherten PHP-Versionen am 21.10. kurz nach 16:00 Uhr auf den regulären Shared-Hosting- und Managed-Systemen eingespielt; diese sind damit aktuell. Wegen der zeitnahen Aktualisierung seien keine längerfristigen Übergangsmaßnahmen oder Abschaltungen nötig gewesen. Bei vollständig verwalteten Systemen übernimmt der Hoster das Update; Kunden mit selbst administrierten Servern oder VPS müssen die Updates selbst installieren und die Dienste neu starten. Kunden mit Classic-PHP und älteren PHP-Versionen werden gesondert behandelt und informiert. Hinweise auf erfolgreiche Angriffe oder kompromittierte Kundensysteme liegen laut Webhosting Franken bislang nicht vor. Seit dem 21.10. steht zudem ein Hinweis auf der Website: „Reguläre Systeme gepatcht – kein Handlungsbedarf für Kunden“. (aktualisiert 09:04 Uhr) In einer weiteren Mail vom 22.10., 10:36 Uhr, schreibt Holger Häring: „Bei uns ging das recht geordnet und ohne Ausfälle innerhalb weniger Minuten über die Bühne.“ (aktualisiert 11:16 Uhr)
Profihost
Profihost informiert auf seiner Statusseite im Eintrag „Kritische PHP Sicherheitslücke“ seit dem 21.10. um 10:36 Uhr. Als Workaround hat Profihost um 12:30 Uhr auf allen global verwalteten PHP-Versionen session.upload_progress.enabled = 0 und session.use_strict_mode = 1 aktiviert; wer eigene php.ini-Dateien nutzt, soll die Werte selbst übernehmen. Um 20:20 Uhr meldete Profihost: „Die PHP-Versionen 8.2, 8.3, 8.4 und 8.5 wurden auf der gesamten Profihost-Infrastruktur aktualisiert.“ Am 22.10. um 08:49 Uhr folgte: PHP 7.4 bis 8.1 sind in der Testphase und werden danach aktualisiert, PHP 5.6 bis 7.3 werden noch angepasst und gehen anschließend ebenfalls in die Testphase. Um 09:48 Uhr meldete Profihost, dass PHP 5.6 bis 8.1 erfolgreich getestet sind und bereits auf den Systemen aktualisiert werden; das kann laut Profihost wegen des Update-Prozesses noch etwa eine Stunde dauern. (aktualisiert 09:57 Uhr) Um 11:41 Uhr meldete Profihost den Abschluss: „Der Update-Prozess der PHP Versionen 5.6 bis 8.2 ist nun erfolgreich durchgeführt worden und alle Systemen wurden aktualisiert.“ (aktualisiert 11:51 Uhr) Auf der Website und im Blog weist ein Banner auf die Lücke hin: „Wir ergreifen alle erforderliche Maßnahmen, erste Updates sind bereits eingespielt.“ (aktualisiert 09:24 Uhr) Inzwischen lautet der Hinweis auf der Startseite: „Wir haben bereits am Do 22.10. den Update-Prozess erfolgreich durchgeführt und alle Systeme aktualisiert.“ (aktualisiert 15:21 Uhr)
Kyberio
Der Hannoveraner Rechenzentrumsbetreiber kyberio hat am 21.10. um 15:00 Uhr eine Informationsseite für Kunden veröffentlicht und laufend aktualisiert. Um 15:45 Uhr nahm kyberio die Shared-Hosting-Systeme vorsorglich offline, ab 16:30 Uhr wurden die betroffenen Systeme gepatcht; an einzelnen Systemen stand währenddessen eine Wartungsseite. Um 21:14 Uhr waren laut kyberio „rund 90 Prozent der betroffenen Systeme“ gepatcht, um 21:47 Uhr war auch das Shared-Hosting-System web04 wieder online. Kunden der übrigen Systeme will kyberio gesondert informieren, sobald die Arbeiten abgeschlossen sind. Die letzte Aktualisierung der Seite stammt von 21:47 Uhr. (aktualisiert 09:27 Uhr) Am 22.10. um 12:46 Uhr hat kyberio die Seite erneut aktualisiert und die Notfallarbeiten für abgeschlossen erklärt: Alle Systeme, die sich aktualisieren ließen, seien gepatcht, auch das Shared Hosting sei gepatcht, geprüft und wieder in Betrieb. Offen seien nur noch Einzelfälle, bei denen ein Update nicht ohne Weiteres möglich war; mit diesen Kunden stehe kyberio direkt im Austausch. Wer keine gesonderte Nachricht bekommen hat, muss laut kyberio nichts tun. (aktualisiert 12:55 Uhr)
timmehosting
timmehosting informiert auf seiner Statusseite im Eintrag „Sicherheitshinweis: Kritische PHP-Schwachstellen (CVE-2026-109618 und CVE-2026-109619)“. Die Statusseite nennt die Zeiten in UTC; hier umgerechnet in MESZ. Nach einer ersten Information am 21.10. um 9:00 Uhr meldete timmehosting um 15:31 Uhr, man sei „gezwungen, vorübergehend alle Websites auf unseren Servern sowie die ISPConfig-Oberflächen zu deaktivieren“. Um 19:24 Uhr waren die Updates für PHP 8.2 bis 8.5 ausgerollt und die Sperren aufgehoben; Websites mit älteren, noch verwundbaren PHP-Versionen blieben im ISPConfig-Wartungsmodus. Für Seiten ab PHP 8.2 dauerte die Abschaltung damit knapp vier Stunden. Um 21:53 Uhr waren alle Versionen von PHP 8.5 bis 5.6 gepatcht, um 22:20 Uhr meldete timmehosting, dass Websites und ISPConfig-Oberflächen wieder wie gewohnt erreichbar sind. Selbst vorgenommene Schutzmaßnahmen wie eigene Wartungsmodi oder Firewall-Regeln müssen Kunden selbst zurücknehmen. (aktualisiert 09:47 Uhr)
Am 22.10.2026 um 11:19 Uhr hat Timme Hosting auf unsere Presseanfrage geantwortet (Nico Götze, Leitung Marketing). Demnach sind alle Shared-Hosting- und Managed-Systeme vollständig aktualisiert, seit dem 21.10. gegen 22 Uhr laufen alle Systeme wieder im Normalbetrieb. Schon am Morgen des 21.10., vor den offiziellen Patches, habe man Kunden eine Anleitung gegeben, wie sie ihre Systeme per ISPConfig-Firewall oder Wartungsmodus selbst isolieren können. Die vollständige Abschaltung zwischen 15 und 16 Uhr begründet Timme Hosting so: „Wir haben uns bewusst für eine vollständige Abschaltung statt für WAF-Regeln entschieden, da die Angriffsfläche zu diesem Zeitpunkt nicht abschließend bewertbar war.“ Wer sich mit eigenen Schutzmaßnahmen ausgesperrt hat, bekommt Hilfe über ein kostenfreies Notfallticket. Hinweise auf erfolgreiche Angriffe oder kompromittierte Kundensysteme liegen laut der Antwort bislang nicht vor. (aktualisiert 12:20 Uhr) Auf der Statusseite meldete timmehosting am 22.10. um 13:16 Uhr: „Seit dem Einspielen der Patches laufen alle Server und Webseiten stabil.“ Man beobachte die Lage aber weiter und informiere, falls weitere Maßnahmen nötig werden. (aktualisiert 13:54 Uhr)
Host Europe
Host Europe hat am 22.10.2026 um 10:05 Uhr auf unsere Presseanfrage geantwortet (Christian Groß, Supervisor). Darin heißt es: „Gerne bestätigen wir dass die von uns verwalteten Systeme (Classic Hosting, cPanel, Managed WordPress) rechtzeitig abgesichert und nach Veröffentlichung der offiziellen Patches auch entsprechend aktualisiert wurden. Von Ihrer Seite sind keine Maßnahmen notwendig.“ Die Mail verweist auf einen FAQ-Eintrag „Informationen zur PHP-Sicherheitslücke“. Dort schreibt Host Europe, dass für Classic Hosting (z. B. WebHosting und Webserver), cPanel und Managed WordPress sofort nach Bekanntwerden Gegenmaßnahmen aktiviert wurden. Mit dem Einspielen des Updates wurde noch am 21.10. begonnen, inzwischen ist es auf allen von Host Europe verwalteten Systemen abgeschlossen. Kunden dieser Produkte müssen nichts tun; wer selbst verwaltete Systeme wie einen Virtual Server betreibt, ist dort selbst für das Update verantwortlich. (aktualisiert 10:18 Uhr) Inzwischen ergänzt Host Europe dort: Der Schutz gilt auch, wenn Kunden die offiziell sicheren PHP-Versionen in den Tools und Oberflächen von Host Europe noch nicht angezeigt werden; in diesen Fällen wurden die unsicheren PHP-Funktionen serverseitig deaktiviert. (aktualisiert 11:51 Uhr) Später hat Host Europe den FAQ-Eintrag erneut geändert und schreibt nun nicht mehr, das Update sei auf allen verwalteten Systemen abgeschlossen, sondern: „Die Installation läuft für einige Systeme noch.“ Die Gegenmaßnahmen seien schon vor Bereitstellung der offiziellen Patches aktiviert worden, die Systeme seien „bereits geschützt – unabhängig davon, ob das Update bereits installiert ist“; nach Abschluss will Host Europe die Information aktualisieren. (aktualisiert 13:54 Uhr) Inzwischen steht im FAQ-Eintrag: „Update 22.10.2026, 15:30 Uhr: Alle Systeme wurden nun erfolgreich gepatcht.“ Neu ist dort außerdem eine Erklärung, warum in cPanel manche Versionsnummern von denen auf php.net abweichen: Host Europe nutzt dort CloudLinux alt-php, in das die Korrekturen eingebaut wurden. So könne etwa PHP 8.4.26 installiert sein, obwohl php.net 8.4.27 als korrigierte Version nennt; die Sicherheitskorrekturen seien trotzdem enthalten. (aktualisiert 16:54 Uhr)
Am 23.10.2026 um 11:30 Uhr hat Host Europe per Mail erneut geantwortet (Christian Groß, Supervisor im Kundenservice). Die verwalteten Systeme (Classic Hosting, cPanel, Managed WordPress) seien rechtzeitig abgesichert worden und laut Host Europe „zu keiner Zeit gefährdet“ gewesen. Inzwischen seien alle Systeme gepatcht. Weil die Korrekturen per Backport eingespielt wurden, ändere sich die angezeigte PHP-Versionsnummer nicht, obwohl der Patchstand aktuell sei. Für Details verweist Host Europe wieder auf den oben genannten FAQ-Eintrag. Auf unsere Frage, warum es im Kundenportal KIS keinen Hinweis auf die Sicherheitslücken gab, geht die Antwort nicht ein. (aktualisiert 12:12 Uhr)
Auf der Statusseite ergänzte Host Europe am 22.10. um 10:00 Uhr den Eintrag „Wartung des Hostings“: Für Classic Hosting werden seit 21.10., 18:00 Uhr, die Patches auf allen betroffenen Systemen ausgerollt und aktiviert, in den cPanel-Tarifen Webhosting und Webhosting Plus begann der Rollout gegen 03:30 Uhr, Managed WordPress ist bereits vollständig gepatcht. VPS-Kunden müssen selbst aktualisieren; für VPS mit cPanel/WHM stehen die korrigierten Pakete in EasyApache 4 bereit. (aktualisiert 10:25 Uhr) Inzwischen hat Host Europe den VPS-Abschnitt dort gekürzt: VPS-Kunden seien bereits am Abend des 21. Oktober per E-Mail informiert worden; die Seite verweist dazu auf den FAQ-Artikel für Serverkunden. (aktualisiert 11:16 Uhr) Am 22.10. um 17:07 Uhr hat Host Europe den Statuseintrag als erledigt markiert („This maintenance has been completed.“). (aktualisiert 17:24 Uhr)
Daneben gibt es einen FAQ-Artikel für Serverkunden (zunächst mit Stand 22.10.2026, 06:25 Uhr). Er empfiehlt, verfügbare Updates „so bald wie möglich einzuspielen“ oder den Webserver bis dahin notfalls vom Netz zu nehmen, listet den Update-Stand bei Plesk, Ubuntu, Debian, CentOS, AlmaLinux und cPanel und bietet an, Updates kostenpflichtig einzuspielen. Host Europe wies dort zudem auf eine ungewöhnlich hohe Auslastung des Supports hin. Am 23.10. hat Host Europe den Artikel überarbeitet (Stand 07:36 Uhr): Der Hinweis auf die Support-Auslastung ist entfallen. Neu ist ein Abschnitt zu Windows-Servern: Windows Server enthalte standardmäßig kein PHP, PHP werde auch nicht über Windows Update aktualisiert, wer etwa unter IIS oder mit Plesk für Windows PHP betreibe, müsse diese Installationen selbst prüfen. Außerdem nennt der Artikel jetzt korrigierte Pakete für Debian sid sowie für CentOS Stream 9 (8.0.30-9) und CentOS Stream 10 (8.3.36-1). Das Einspielen der Updates durch Host Europe kostet laut FAQ 25 Euro und wird über das Kundeninformationssystem KIS beauftragt. (aktualisiert 07:47 Uhr)
webgo
webgo informiert in einem Blogbeitrag vom 21.10. (inzwischen mit dem Titel „Kritische PHP-Sicherheitslücken: Sicherheitsupdates abgeschlossen“) und mit einem Hinweis auf der Startseite. Laut der Updateinfo vom 22.10., 02:06 Uhr, sind die Sicherheitsupdates auf der gesamten Webhosting-Plattform und für die Dedicated Server eingespielt. Auch der Großteil der vServer ist aktualisiert, die restlichen Updates stehen kurz vor dem Abschluss. Bei Webhosting und Managed Servern übernimmt webgo die Updates, Kunden müssen nichts tun; während der Aktualisierung kann die Erreichbarkeit von Websites kurz beeinträchtigt sein. Wer einen selbst verwalteten Root-Server betreibt, muss die PHP-Updates selbst einspielen. Für ältere PHP-Versionen verweist webgo auf seinen PHP Extended Support: Dort arbeite CloudLinux derzeit an Sicherheitsupdates. (aktualisiert 09:57 Uhr) Inzwischen meldet webgo auf der Startseite und über dem Blogbeitrag einen neuen Stand: „Webhosting, managed NVMe vServer und managed Dedicated Server sind erfolgreich aktualisiert. Bei managed SSD vServern sind wir mit höchster Priorität dran. Sie müssen nichts unternehmen.“ Zeigt ein CMS weiterhin eine ältere PHP-Versionsnummer an, sei das unbedenklich, weil CloudLinux die Sicherheitskorrekturen direkt in die bestehenden PHP-Versionen übernimmt. (aktualisiert 10:25 Uhr) In einer Updateinfo im Blogbeitrag vom 22.10., 10:13 Uhr, bestätigt webgo den Abschluss für alle Webhosting-Server, managed NVMe vServer und managed Dedicated Server; damit seien die Lücken in den dort eingesetzten PHP-Versionen geschlossen, auch in den älteren Versionen aus dem PHP Extended Support. An den managed SSD vServern wird weiter gearbeitet. (aktualisiert 10:50 Uhr) Mit einer Updateinfo vom 22.10., 23:24 Uhr, meldet webgo den vollständigen Abschluss: Auch die zuletzt noch laufende Aktualisierung der managed HDD- und SSD-vServer ist fertig. Damit seien CVE-2026-109618 und CVE-2026-109619 auf allen genannten Systemen geschlossen, einschließlich der älteren PHP-Versionen aus dem PHP Extended Support; Kunden müssen nichts unternehmen. Auch der Hinweis auf der Startseite lautet jetzt „PHP-Sicherheitsupdates vollständig abgeschlossen“. (aktualisiert 09:50 Uhr)
Am 23.10.2026 um 17:05 Uhr hat webgo ausführlich auf unsere Presseanfrage geantwortet (Marketing-Team). Laut webgo war am 22.10. um 23:24 Uhr der letzte verwaltete vServer aktualisiert; auch die älteren PHP-Versionen bis einschließlich 5.6 aus dem PHP Extended Support seien per Backport gepatcht, erkennbar am „Build Date“ 21.10.2026 oder später in phpinfo(). Eine vorsorgliche Abschaltung habe webgo geprüft, sich aber für den Weiterbetrieb unter engmaschiger Beobachtung entschieden; bestätigte Kompromittierungen seien derzeit nicht bekannt. Die ganze Stellungnahme mit Chronik steht in einem eigenen Artikel über webgo. (aktualisiert 17:12 Uhr)
Netclusive
Netclusive weist auf seiner Startseite und auf der Seite „Aktuelle Störungen und Wartungen“ (zuletzt aktualisiert am 22.10.2026) auf die kritische Sicherheitslücke in PHP hin: Man müsse kurzfristig Schutzmaßnahmen ergreifen, dabei könne es zu Einschränkungen der Erreichbarkeit oder zu einer vorübergehenden Abschaltung von Webanwendungen kommen. Unter „Störungen“ heißt es: „Nichterreichbarkeiten durch kurzfristig sehr dringende Wartungsarbeiten möglich.“ Inzwischen nennt Netclusive dort Details: Die Patches für die aktuellen PHP-Versionen (8.2 und neuer) wurden am 21.10. kurz nach 16 Uhr bei Hostingpaketen sowie bei Managed Servern und Systemen mit Patchmanagement installiert. Weitere Patches folgten in der Nacht, sodass laut Netclusive alle verfügbaren PHP-Patches installiert sind, wo dies möglich war. Nur extrem alte Systeme können die Patches aus technischen Gründen nicht mehr erhalten. Inhaber von Root-Systemen sollen selbst kurzfristig aktiv werden, sofern PHP im Einsatz ist. (aktualisiert 11:16 Uhr)
webhoster.de
Eine öffentliche Stellungnahme der webhoster.de AG haben wir bis jetzt nicht gefunden, weder auf der Website noch im Blog oder im Hilfebereich; eine öffentliche Statusseite haben wir nicht gefunden. Laut einem Kunden informierte webhoster.de seine Kunden am 22.10. um 08:05 Uhr per Mail, dass die „PHP Aktualisierungen abgeschlossen“ sind. Die Mail liegt uns nicht selbst vor. (aktualisiert 10:10 Uhr)
hosting.de
hosting.de hat am 22.10. einen Blogbeitrag „Sicherheitsupdate PHP2SHELL: Alle Server sind gepatcht“ veröffentlicht. Demnach hatte hosting.de am 21.10. bis 10:00 Uhr auf allen Servern php.ini-Werte gesetzt, die eine der beiden Lücken entschärfen. Nach Veröffentlichung der Patches waren „spätestens um 18:00 Uhr“ alle Server für Webhosting und Managed Server auf PHP 8.2 bis 8.5 gepatcht, die Managed-Nextcloud-Server bereits um 17:00 Uhr. Ab 18:00 Uhr folgten die älteren Versionen, der Rollout war gegen 22:00 Uhr abgeschlossen: Für PHP 7.4 bis 8.1 wurde der offizielle Patch zurückportiert, für PHP 5.3 bis 7.3 hat hosting.de eigene Patches entwickelt, die den PHP-Prozess bei einem Angriffsversuch beenden. Kunden empfiehlt hosting.de, ihr CMS aktuell zu halten und auf unterstützte PHP-Versionen umzusteigen. (aktualisiert 13:06 Uhr)
STRATO
STRATO zeigt auf seiner FAQ-Seite oben einen „aktuellen Hinweis“ mit dem Titel „Sicherheitswartung: Kurze Unterbrechungen bei PHP-basierten Diensten möglich“, datiert auf den 21.10.2026, 14:00 Uhr. Der Hinweis wird per JavaScript nachgeladen. Darin schreibt STRATO: „Um Sie und Ihre Daten zu schützen, installieren wir das Sicherheitsupdate derzeit auf allen unseren Systemen.“ Die Arbeiten sollten innerhalb von 24 Stunden abgeschlossen sein; währenddessen könnten Websites und Dienste langsam reagieren oder kurz nicht erreichbar sein. Wer eine selbstverwaltete Anwendung etwa auf einem VPS oder Bare-Metal-Server betreibt, soll das PHP-Update selbst so schnell wie möglich installieren. Denselben Hinweis zeigt STRATO auch im Kundenbereich. (aktualisiert 13:06 Uhr) Inzwischen hat STRATO den Hinweis ersetzt. Er heißt jetzt „PHP-Sicherheitslücke: Websites und Hosting bei Strato sind geschützt“ (weiterhin datiert auf den 21.10.2026, 14:00 Uhr). Darin schreibt STRATO, man habe das offizielle Update „bereits auf allen Plattformen eingespielt, die das Unternehmen selbst betreibt“, darunter Webhosting, Managed WordPress und MyWebsite; Kunden müssten nicht selbst tätig werden. Schon vor Erscheinen der Updates seien angepasste PHP-Konfigurationen und Firewall-Regeln aktiv gewesen, die verdächtige Anfragen blockieren. Wer PHP selbst betreibt, etwa auf einem VPS oder Dedicated Server, soll das Update umgehend einspielen. Außerdem warnt STRATO vor Phishing-Mails, die sich auf die PHP-Lücke berufen. (aktualisiert 17:24 Uhr) Inzwischen verweist der Hinweis auf einen eigenen FAQ-Artikel. Darin schreibt STRATO, die Sicherheitsupdates seien auch für ältere, von der PHP-Community nicht mehr unterstützte Versionen im „PHP Extended Support“ eingespielt; Kunden von Webhosting, Managed WordPress und SmartWebsite müssten nichts tun. Alle vorübergehenden Einschränkungen, die STRATO vorsorglich eingerichtet hatte, seien aufgehoben, Datei-Uploads funktionierten wieder wie gewohnt. Zur Auswahl stehen im Kunden-Login laut STRATO derzeit die PHP-Versionen 8.2 bis 8.5. (aktualisiert 15:51 Uhr)
1blu
1blu hat eine FAQ „PHP-Sicherheitslücken: Was ist PHP2Shell?“ veröffentlicht (Stand: 21. Oktober 2026). Sie richtet sich in erster Linie an Kunden mit vServer, StorageServer, RootServer oder DedicatedServer: Dort verwalten Kunden PHP selbst und sind auch für die Sicherheitsupdates verantwortlich. Die FAQ erklärt die Lücken und rät, das PHP-Update so schnell wie möglich einzuspielen und danach alle PHP-Prozesse neu zu starten. Ein Leser berichtet, dass 1blu Kunden am 21.10. um 15:30 Uhr per E-Mail informiert habe und im Kundenlogin inzwischen anzeige, die Updates für die (managed) Systeme seien eingespielt; eine öffentliche Bestätigung dafür habe ich noch nicht gefunden. (aktualisiert 15:51 Uhr)
Raidboxes
Raidboxes hat auf die Anfrage von severint.net mit einem Verweis auf seinen Helpcenter-Artikel „PHP Sicherheitslücke PHP2Shell“ geantwortet. Darin schreibt Raidboxes, man habe schon vor Veröffentlichung der offiziellen PHP-Updates gemeinsam mit team.blue serverseitige Schutzmaßnahmen ausgerollt. Nach Erscheinen der Patches am 21. Oktober seien diese zunächst für alle Boxen ab PHP 8.2 eingespielt worden, inzwischen auch per Backports für ältere Versionen; damit seien alle bei Raidboxes verfügbaren PHP-Versionen abgesichert, die Websites seien durchgehend erreichbar geblieben. Kunden müssen nichts tun. Hinweise auf kompromittierte Websites lägen nicht vor; Raidboxes beobachte die Lage weiter und empfiehlt grundsätzlich eine möglichst aktuelle PHP-Version. (aktualisiert 17:06 Uhr)
Domaintechnik
Der österreichische Hoster Domaintechnik (Ledl.net GmbH & Co. KG aus Straßwalchen) hat sich am 22.10.2026 um 19:11 Uhr von sich aus bei severint.net gemeldet (Fabian Ledl) und auf seine Neuigkeiten-Seite verwiesen. Dort hat Domaintechnik am 21.10. um 14:13 Uhr eine „Wichtige Sicherheitsinformation zu PHP“ veröffentlicht und angekündigt, mit Veröffentlichung der neuen Version „umgehend mit der Aktualisierung aller Server“ zu beginnen; wegen zusätzlicher Schutzmaßnahmen könne es vorübergehend zu Einschränkungen bei Datei-Uploads und bestimmten Formularfunktionen kommen. Nach Angaben von Domaintechnik wurden die Updates für PHP 8.2 bis 8.5 ab 16:20 Uhr verteilt und waren um 17:05 Uhr abgeschlossen. Für ältere Versionen aktivierte der Hoster Sicherheitsregeln, die sich durch Einschränkungen beim Datei-Upload mit PHP-Skripten bemerkbar machen konnten. Um 22:30 Uhr meldete Domaintechnik den Backport für PHP 8.1 als abgeschlossen, am 22.10. um 13:15 Uhr die Backports für PHP 5.6, 7.4 und 8.0 als „erfolgreich implementiert“. Kunden mit PHP 8.2 oder neuer müssen laut Domaintechnik nichts tun; wer PHP 8.1 oder älter nutzt, soll trotz der Backports im Control Panel auf PHP 8.2 oder neuer umstellen. (aktualisiert 08:10 Uhr)
Dieser 1 Hoster hat sich bislang nicht öffentlich geäußert
Bei folgendem Hoster habe ich bis jetzt keine öffentliche Stellungnahme zu PHP2Shell gefunden, weder auf Statusseiten noch in News-Beiträgen, auf Mastodon oder in der Presse:
Das ist ausdrücklich kein Vorwurf. Dass ich nichts gefunden habe, heißt nicht, dass nichts passiert ist. Unklar ist insbesondere, ob dieser Hoster seine Kunden direkt informiert hat, etwa per E-Mail oder im Kundenbereich, und ob er im Hintergrund längst gepatcht hat. Für goneo habe ich keine öffentliche Statusseite unter den naheliegenden Adressen gefunden.
Wir von severint.net schreiben diesen Hoster an und fragen nach, wie er mit PHP2Shell umgeht. Sobald Antworten eintreffen, ergänze ich diesen Artikel.
Sind Sie Kunde bei diesem Anbieter und haben eine Information erhalten? Dann freue ich mich über einen Hinweis.
Was Sie jetzt tun sollten
- Shared Hosting oder Managed Hosting: Prüfen Sie Statusseite und E-Mails Ihres Hosters. Bei den meisten Anbietern oben müssen Sie selbst nichts tun.
- Eigener Server (VPS, Root, Cloud): Spielen Sie sofort PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 ein bzw. die Updates Ihrer Distribution. Fast alle Hoster weisen darauf hin, dass sie Ihren Server nicht für Sie patchen.
Weiterlesen: Wie internationale Webhoster auf PHP2Shell reagieren.
Stand: 23.10.2026, 22:47 Uhr MESZ
Änderungsprotokoll
- 23.10.2026, 22:47 Uhr MESZ: Alfahosting ergänzt (Statusseite 22:20 Uhr: PHP-Sicherheitsupdates auf allen Reseller-Systemen bestätigt, Störung bei den Reseller-Servereinstellungen wird weiter untersucht; Hilfeartikel: Hinweis auf laufende Behebung entfallen).
- 23.10.2026, 22:19 Uhr MESZ: Alfahosting ergänzt (Hilfeartikel, Update vom 23.10., 21:30 Uhr: Sicherheitsupdates jetzt auch auf allen Reseller-Systemen eingespielt, Arbeiten auf regulären Webhosting- und Reseller-Systemen abgeschlossen).
- 23.10.2026, 17:25 Uhr MESZ: Hetzner ergänzt (Incident auf der Statusseite von „Warnung“ auf „Information“ herabgestuft, Status jetzt „Überwachen“).
- 23.10.2026, 17:12 Uhr MESZ: webgo ergänzt (Antwort auf unsere Presseanfrage von 17:05 Uhr: letzter verwalteter vServer am 22.10. um 23:24 Uhr aktualisiert, PHP bis 5.6 per Backport gepatcht, Prüfung über das Build Date, keine vorsorgliche Abschaltung, keine bestätigten Kompromittierungen) und auf den neuen Artikel zur Stellungnahme von webgo verlinkt.
- 23.10.2026, 16:52 Uhr MESZ: Contabo (16:31 Uhr: Gegenmaßnahme zu CVE-2026-115560 auf allen Webspace-Systemen umgesetzt), Alfahosting (Hilfeartikel: Multi-, Business-, Shop- und WordPress-Tarife wieder sicher, Reseller-Systeme weiter in Arbeit, Prüfung über das Build Date) sowie dogado und checkdomain (Hilfeartikel um Prüfung über das Build Date ergänzt) ergänzt.
- 23.10.2026, 15:51 Uhr MESZ: Hostinger (Update vom 23.10., 15:25 Uhr MESZ, zu CVE-2026-115560: alle Pläne außer VPS bereits geschützt, Hinweis für VPS-Kunden), STRATO (neuer FAQ-Artikel: auch Extended-Support-Versionen gepatcht, Einschränkungen aufgehoben) und all-inkl.com (KAS, WebMail und Members Area wieder erreichbar) ergänzt.
- 23.10.2026, 15:21 Uhr MESZ: Profihost (Hinweis auf der Startseite aktualisiert: Update-Prozess am 22.10. abgeschlossen, alle Systeme aktualisiert) ergänzt.
- 23.10.2026, 14:55 Uhr MESZ: Contabo (neue Statusmeldung vom 23.10., 14:00 Uhr zu einer weiteren PHP-Schwachstelle, CVE-2026-115560: Auswirkungen werden geprüft, Gegenmaßnahme
session.upload_progress.enabled=0 empfohlen) und prepaid-hoster (Statuseintrag am 23.10. um 14:34 Uhr auf „Behoben“) ergänzt.
- 23.10.2026, 13:23 Uhr MESZ: Alfahosting ergänzt (Hilfeartikel mit Stand 23.10., 13:19 Uhr: Updates auf den regulären Webhosting-Systemen abgeschlossen, auf den Reseller-Systemen noch nicht; dort kann bis zum Abschluss weiter ein Sicherheitsrisiko bestehen).
- 23.10.2026, 12:48 Uhr MESZ: Alfahosting ergänzt (Statuseintrag zu den hostX-Servern am 23.10. um 12:44 Uhr auf „Gelöst“: Updates für alle PHP-Versionen seit 22.10., gegen 23:00 Uhr, auf allen betroffenen Servern vollständig eingespielt).
- 23.10.2026, 12:12 Uhr MESZ: Host Europe ergänzt (weitere Antwort per Mail vom 23.10., 11:30 Uhr: verwaltete Systeme laut Host Europe „zu keiner Zeit gefährdet“, inzwischen alle gepatcht, angezeigte PHP-Versionsnummer wegen Backports unverändert; unsere Frage nach einem fehlenden Hinweis im KIS bleibt unbeantwortet).
- 23.10.2026, 09:50 Uhr MESZ: webgo ergänzt (Updateinfo vom 22.10., 23:24 Uhr: Aktualisierung vollständig abgeschlossen, auch für die managed HDD- und SSD-vServer; neuer Titel des Blogbeitrags und neuer Hinweis auf der Startseite).
- 23.10.2026, 08:10 Uhr MESZ: Domaintechnik neu aufgenommen (österreichischer Hoster, hat sich von sich aus bei uns gemeldet; laut Neuigkeiten-Seite PHP 8.2 bis 8.5 am 21.10. um 17:05 Uhr aktualisiert, Backport für PHP 8.1 um 22:30 Uhr, Backports für PHP 5.6, 7.4 und 8.0 am 22.10. um 13:15 Uhr). Damit 30 Hoster mit und 1 ohne öffentliche Äußerung.
- 23.10.2026, 07:47 Uhr MESZ: Host Europe ergänzt (FAQ-Artikel für Serverkunden mit Stand 23.10., 07:36 Uhr überarbeitet: neuer Abschnitt zu Windows-Servern, aktualisierte Paketstände für Debian und CentOS Stream, Preis von 25 Euro für das Einspielen durch Host Europe, Hinweis auf Support-Auslastung entfallen).
- 22.10.2026, 20:22 Uhr MESZ: dogado (Statuseintrag zur Hosting-Wartung um 19:56 Uhr auf „Gelöst“, Hilfeartikel meldet mit Stand 19:50 Uhr den vollständigen Abschluss) und Alfahosting (Hilfeartikel korrigiert: Behebung noch nicht vollständig abgeschlossen) ergänzt.
- 22.10.2026, 18:50 Uhr MESZ: checkdomain (Hilfeartikel meldet mit Stand 16:45 Uhr den vollständigen Abschluss der Sicherheitsaktualisierungen) ergänzt.
- 22.10.2026, 17:24 Uhr MESZ: STRATO (FAQ-Hinweis ersetzt: offizielles Update auf allen selbst betriebenen Plattformen eingespielt, kein Handlungsbedarf für Kunden), Host Europe und df.eu (Statuseinträge zur Hosting-Wartung um 17:07 Uhr als erledigt markiert) ergänzt.
- 22.10.2026, 17:06 Uhr MESZ: Raidboxes ergänzt (Antwort auf unsere Presseanfrage mit Verweis auf den Helpcenter-Artikel zu PHP2Shell: alle PHP-Versionen abgesichert, kein Handlungsbedarf) und zu den Hostern mit Stellungnahme verschoben.
- 22.10.2026, 16:54 Uhr MESZ: Alfahosting (16:51 Uhr: Korrektur, auf den hostX-Servern bisher nur PHP 8.5 gepatcht, Rest folgt am Abend) und Host Europe (FAQ: seit 15:30 Uhr alle Systeme gepatcht, Erklärung zu abweichenden cPanel-Versionsnummern) ergänzt.
- 22.10.2026, 16:18 Uhr MESZ: df.eu (domainfactory) ergänzt: Laut Statusseite sind seit 15:30 Uhr auch in den cPanel-Tarifen Webhosting und Webhosting Plus alle Sicherheitspatches eingespielt.
- 22.10.2026, 15:51 Uhr MESZ: 1blu ergänzt (FAQ zu PHP2Shell vom 21.10. für Server-Kunden; Leserhinweis auf Kunden-E-Mail und eingespielte Updates für managed Systeme) und zu den Hostern mit Stellungnahme verschoben.
- 22.10.2026, 15:50 Uhr MESZ: checkdomain (Statuseintrag um 15:21 Uhr auf „Gelöst“ gesetzt, Update für alle PHP-Versionen eingespielt) und manitu (Wartung um 15:22 Uhr offiziell beendet) ergänzt.
- 22.10.2026, 15:20 Uhr MESZ: Alfahosting (hostX-Server laut Statusseite um 15:17 Uhr gelöst), manitu (Upload-Einschränkungen aufgehoben, Wartung allgemein abgeschlossen) sowie dogado und checkdomain (Hilfeartikel: Erklärung zur gleichbleibenden PHP-Versionsnummer, weiterhin nicht überall abgeschlossen) ergänzt.
- 22.10.2026, 14:47 Uhr MESZ: Alfahosting (Hilfeartikel: Behebung abgeschlossen), dogado und checkdomain (Hilfeartikel: Updates noch nicht vollständig abgeschlossen, Abschluss für den Abend des 22.10. vorgesehen) ergänzt.
- 22.10.2026, 13:54 Uhr MESZ: df.eu (13:16 Uhr: alle Sicherheitspatches seit 12:45 Uhr eingespielt), Host Europe (FAQ geändert: Installation läuft für einige Systeme noch, Systeme laut Host Europe trotzdem geschützt) und timmehosting (13:16 Uhr: alle Server und Webseiten laufen stabil) ergänzt.
- 22.10.2026, 13:16 Uhr MESZ: IONOS (Sicherheitswartung auf der Statusseite um 13:03 Uhr als gelöst markiert) und Contabo (12:55 Uhr: alle Dienste gepatcht und wieder online) ergänzt.
- 22.10.2026, 13:06 Uhr MESZ: hosting.de neu aufgenommen (Blogbeitrag; Leserhinweis); STRATO zu den Hostern mit Äußerung verschoben (Hinweis auf der FAQ-Seite vom 21.10., 14:00 Uhr; Hinweis von Severin); all-inkl.com ergänzt (Seite „Wichtig zu wissen“; Leserhinweis). Damit 27 Hoster mit und 3 ohne öffentliche Äußerung.
- 22.10.2026, 12:55 Uhr MESZ: Neue Meldungen bei all-inkl.com (öffentlicher Hinweis auf der Website: alle PHP-Versionen gepatcht, Empfehlung zur Prüfung der eigenen Webseiten), kyberio (12:46 Uhr: Notfallarbeiten abgeschlossen), Contabo (12:53 Uhr: alle Patches eingespielt, ein VPS-Host noch ausgefallen; Hilfeartikel nicht mehr erreichbar) und Hostinger (Rollout am 22.10. um 08:44 Uhr MESZ abgeschlossen, Prüfung über das Build-Datum).
- 22.10.2026, 12:20 Uhr MESZ: timmehosting ergänzt (Antwort auf unsere Presseanfrage von 11:19 Uhr: alle Systeme aktualisiert, Begründung der Abschaltung, keine Hinweise auf Kompromittierungen) und dogado (12:06/12:08 Uhr: Wartungsarbeiten dauern weiter an).
- 22.10.2026, 11:51 Uhr MESZ: Neue Meldungen bei Profihost (11:41 Uhr: Update von PHP 5.6 bis 8.2 auf allen Systemen abgeschlossen), Host Europe (FAQ: unsichere PHP-Funktionen serverseitig deaktiviert, auch wenn sichere Versionen noch nicht angezeigt werden) und creoline (Hilfeartikel: zusätzlicher Härtungstipp
expose_php = off).
- 22.10.2026, 11:16 Uhr MESZ: Neue Meldungen bei Netclusive (Status-Seite vom 22.10.: Patches seit 21.10. nachmittags und in der Nacht installiert, nur sehr alte Systeme ausgenommen), Webhosting Franken (weitere Mail: Umstellung ohne Ausfälle) und Host Europe (Statusseite: VPS-Kunden per E-Mail informiert).
- 22.10.2026, 10:50 Uhr MESZ: Neue Meldungen bei Hostinger (Update von 09:20 Uhr: Korrektur auf allen Hosting-Servern außer VPS installiert) und webgo (Updateinfo von 10:13 Uhr: Abschluss für Webhosting, NVMe vServer und Dedicated Server, auch für ältere PHP-Versionen aus dem Extended Support).
- 22.10.2026, 10:25 Uhr MESZ: Neue Meldungen bei IONOS (10:02 Uhr: Systeme stabil, Eintrag auf „Monitoring“, Mitteilung im Newsroom), df.eu (10:04 Uhr: Stand je Tarif), Host Europe (Statusseite, 10:00 Uhr: Stand je Tarif), webgo (neuer Hinweis auf der Startseite), Alfahosting (webX-Server: gelöst, CloudPit-Login wieder möglich) und checkdomain (Updates auf den Hosting-Servern laufen).
- 22.10.2026, 10:18 Uhr MESZ: Host Europe ergänzt (Antwort auf unsere Presseanfrage von 10:05 Uhr und FAQ-Eintrag zu den verwalteten Hosting-Produkten).
- 22.10.2026, 10:10 Uhr MESZ: webhoster.de neu aufgenommen (Kundenmail laut Leserhinweis, keine öffentliche Quelle). Damit 25 Hoster mit und 4 ohne öffentliche Äußerung.
- 22.10.2026, 09:57 Uhr MESZ: webgo (Blogbeitrag mit Update von 02:06 Uhr, Hinweis auf der Startseite) und Netclusive (Hinweis auf Startseite und Status-Seite) aufgenommen; neue Statusmeldung bei Profihost (09:48 Uhr: PHP 5.6 bis 8.1 getestet, Aktualisierung läuft). Damit 24 Hoster mit und 4 ohne öffentliche Äußerung.
- 22.10.2026, 09:49 Uhr MESZ: Host Europe aufgenommen (FAQ-Artikel; Leserhinweis). Damit 22 Hoster mit und 6 ohne öffentliche Äußerung.
- 22.10.2026, 09:47 Uhr MESZ: timmehosting aufgenommen (Statusseite; Leserhinweis). Damit 21 Hoster mit und 7 ohne öffentliche Äußerung.
- 22.10.2026, 09:43 Uhr MESZ: Überschrift präzisiert: „Diese 20 Hoster haben sich geäußert“ (statt „öffentlich geäußert“), da einzelne Angaben aus Antworten auf unsere Presseanfragen stammen.
- 22.10.2026, 09:27 Uhr MESZ: Kyberio aufgenommen (Informationsseite für Kunden; Leserhinweis). Damit 20 Hoster mit und 8 ohne öffentliche Äußerung.
- 22.10.2026, 09:24 Uhr MESZ: Profihost aufgenommen (Statusseite und Hinweis auf der Website; Leserhinweis). Damit 19 Hoster mit und 8 ohne öffentliche Äußerung.
- 22.10.2026, 09:20 Uhr MESZ: Neue Statusmeldung bei IONOS (09:15 Uhr: Baukasten und Control Panel wieder stabil, Eintrag weiter offen, Hosting-Dienste weiter als Teilstörung geführt).
- 22.10.2026, 09:04 Uhr MESZ: Webhosting Franken aufgenommen (Antwort auf unsere Presseanfrage von 08:29 Uhr, Hinweis auf der Website). Damit 18 Hoster mit und 8 ohne öffentliche Äußerung.
- 22.10.2026, 08:58 Uhr MESZ: all-inkl.com aufgenommen (automatische Statusmeldung auf unsere Presseanfrage von 08:20 Uhr; persönliche Antwort steht aus). Damit 17 Hoster mit und 9 ohne öffentliche Äußerung.
- 22.10.2026, 08:56 Uhr MESZ: Neue Meldungen bei manitu (Klarstellung: Webhosting-Kunden müssen nichts tun), dogado (Updates auf den Hosting-Servern laufen, Plesk-Updates für Cloud Server) und Alfahosting (Updates jetzt auch auf den hostX-Servern).
- 22.10.2026, 08:36 Uhr MESZ: STRATO informiert Kunden im Kundenbereich (keine öffentliche Stellungnahme).
- 22.10.2026, 08:27 Uhr MESZ: Neue Statusmeldungen eingearbeitet bei IONOS (Update 06:53, weiter offen, Teilstörung Control-Center/Baukasten), prepaid-hoster (behoben, unter Beobachtung), Contabo (altes Kundenpanel wieder online, weitere vorsorgliche Abschaltungen), checkdomain und Alfahosting (Kundenbereich wieder erreichbar).
- 22.10.2026, 07:46 Uhr MESZ: Erstveröffentlichung.
