PHP2Shell · CVE-2026-109618 / CVE-2026-109619

Hat mein Hoster schon gepatcht?

Stand , laut Statusseiten und Mitteilungen der Hoster. 11 von 15 Hostern in dieser Übersicht melden das Update als eingespielt, bei 4 läuft es noch oder es gibt keine öffentliche Meldung. Wir aktualisieren die Liste, solange sich etwas ändert.

HosterStandShared und Managed HostingEigene Server
IONOS Gepatcht Offizielle PHP-Updates auf allen eigenen Plattformen eingespielt, Kunden müssen nichts tun (Statusseite, 22.10., 13:03 Uhr: „Websites und Hosting bei IONOS sind geschützt.“) Eigene Server: VPS und Bare Metal: selbst aktualisieren
STRATO Gepatcht Laut aktualisiertem Hinweis auf strato.de geschützt: Update auf allen selbst betriebenen Plattformen eingespielt, Kunden müssen nichts tun (zitiert von severint.net; der Hinweis trägt weiter das Datum 21.10., 14 Uhr) Eigene Server: –
ALL-INKL.COM Gepatcht Alle angebotenen PHP-Versionen gepatcht, auch ältere (Hinweis auf all-inkl.com), abgeschlossen erst am 22.10. Kundenmenü und Webmail waren zeitweise eingeschränkt. ALL-INKL rät, Websites auf ungewöhnliche Änderungen zu prüfen Eigene Server: –
Hetzner Gepatcht Webhosting und Managed Server: PHP 7.4 und 8.0 bis 8.5 am 21.10. gepatcht, 5.6 und 7.3 am 22.10. Eigene Server: Dedicated und Cloud: selbst aktualisieren
netcup Gepatcht Webhosting und Managed Server gepatcht, alle seit 21.10., 22:51 Uhr wieder online Eigene Server: –
Mittwald Gepatcht Fast alle PHP-Versionen gepatcht, seit 22.10., 00:28 Uhr gelöst. Für PHP unter 5.6 gibt es laut Statusseite noch keine Korrektur Eigene Server: –
Host Europe Gepatcht Alle Systeme gepatcht (FAQ, 22.10., 15:30 Uhr) Eigene Server: VPS: selbst aktualisieren
domainfactory Gepatcht Alle erforderlichen Sicherheitspatches eingespielt (22.10., 13:16 Uhr), in Managed- und Reseller-Tarifen auch für PHP unter 8.2 Eigene Server: VPS: selbst aktualisieren
Hostinger Gepatcht Alle Hosting-Server gepatcht, PHP 5.2 bis 8.5 Eigene Server: VPS: selbst aktualisieren
easyname (Österreich) Gepatcht Behebung abgeschlossen, keine Aktion nötig; die eingestellte PHP-Version bleibt unverändert Eigene Server: Selbst verwaltete Server: selbst aktualisieren
World4You (Österreich) Keine Meldung Keine öffentliche Meldung gefunden. Ein Kunde berichtete am 22.10., seine Hosting-Pakete seien noch nicht aktualisiert Eigene Server: –
METANET (Schweiz) Gepatcht Shared Hosting, Managed und Reseller Server gepatcht, abgeschlossen am 22.10., 12:50 Uhr Eigene Server: VPS und Root Server: selbst aktualisieren
Hostpoint (Schweiz) Keine Meldung Keine öffentliche Meldung gefunden; die Statusseite zeigt keine Meldung Eigene Server: –
cyon (Schweiz) Keine Meldung Keine öffentliche Meldung gefunden Eigene Server: –
Infomaniak (Schweiz) Läuft noch Schutzmaßnahmen aktiv, Korrekturen „sobald verfügbar“; Dateiversand auf einigen Diensten vorübergehend eingeschränkt (Statusseite, zuletzt 22.10., 21:05 Uhr). Eine Abschlussmeldung für das Webhosting haben wir nicht gefunden Eigene Server: –

„Keine Meldung“ heißt nicht, dass dort nicht gepatcht wurde. Fragen Sie im Zweifel bei Ihrem Hoster nach; eine Vorlage für die Anfrage steht in unserer Anleitung.

Was Sie jetzt tun können

  1. PHP-Version Ihrer Website ansehen: Unser kostenloser PHP-Check zeigt in etwa 10 Sekunden, welche Version Ihre Website von außen meldet.
  2. Hoster oben nachschlagen: Meldet er das Update als eingespielt, sind Sie ab diesem Zeitpunkt geschützt, auch wenn die Versionsnummer gleich bleibt.
  3. War Ihre Website länger ungeschützt? Dann lohnt sich ein Blick auf mögliche Spuren eines Angriffs.

Website jetzt prüfen Zur vollständigen Anleitung

Quellen