Am 20. Oktober 2026 wurden Details zu zwei kritischen Sicherheitslücken in der Programmiersprache PHP vorzeitig öffentlich bekannt (CVE-2026-109618 und CVE-2026-109619, bekannt als „PHP2Shell“). Beide Lücken sind mit dem höchsten Schweregrad „kritisch“ eingestuft. Sie erlauben es Angreifern, ohne Anmeldung Schadcode auf Webservern auszuführen und unter Umständen vertrauliche Daten wie Passwörter oder Zugangsschlüssel auszulesen.

Betroffen ist praktisch jeder Webserver mit PHP, unabhängig von der darauf laufenden Anwendung, also etwa WordPress, Joomla, Nextcloud, Shopsysteme oder Webmail. Erste Angriffe wurden bereits beobachtet, eine breite Ausnutzung der Lücke ist zu erwarten.

Was wir tun

Zum Schutz unserer Kundinnen und Kunden sowie unserer Infrastruktur haben wir umgehend Maßnahmen ergriffen:

• Wir aktualisieren alle von uns betreuten Systeme auf die abgesicherten PHP-Versionen.
• Einzelne Dienste können wir bis zum Abschluss der Prüfungen vorübergehend nicht anbieten.
• Kundensysteme, die nicht sofort abgesichert werden können, insbesondere Systeme mit veralteten PHP-Versionen ohne offizielles Sicherheitsupdate, nehmen wir vorübergehend oder, falls nötig, dauerhaft vom Netz.

Sind Sie betroffen?

Wenn Ihr System betroffen ist, informieren wir Sie direkt und stimmen das weitere Vorgehen mit Ihnen ab. Sie müssen nicht selbst aktiv werden.

Betreiben Sie eigene Server mit PHP, empfehlen wir dringend, PHP sofort auf Version 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 zu aktualisieren. Für PHP 8.1 und ältere Versionen gibt es keine offiziellen Updates mehr.

Wir bitten um Verständnis für die Einschränkungen. Die Sicherheit Ihrer Systeme und Daten hat für uns oberste Priorität. Bei Fragen erreichen Sie unseren Support unter 0800 700 155 bzw. support@citynet.at / business@citynet.at .

Stand: 22. Oktober 2026. Wir aktualisieren diese Meldung laufend.