# Kritische Sicherheitslücken (CVSS 9.2.) in PHP: Release heute 16:00 Uhr **URL:** \ **Category:** Shopware 6 (German)\ **Created:** [21. Oktober 2026 um 04:18 UTC](https://forum.shopware.com/t/kritische-sicherheitsluecken-cvss-9-2-in-php-release-heute-16-00-uhr/109751 "2026-10-21T04:18:45Z")\ **Posts on this page:** 15\ **Page:** 2
**Author:** ![raymond-de](https://avatars.discourse-cdn.com/v4/letter/r/7feea3/32.png) [@raymond-de](https://forum.shopware.com/u/raymond-de)\ **Post date:** [21. Oktober 2026 um 19:47 UTC](https://forum.shopware.com/t/kritische-sicherheitsluecken-cvss-9-2-in-php-release-heute-16-00-uhr/109751/22 "2026-10-21T19:47:34Z")
Webseite offline nehmen um auf Nummer sicher zu gehen. ---
**Author:** ![MichaelF](https://avatars.discourse-cdn.com/v4/letter/m/ecc23a/32.png) [@MichaelF](https://forum.shopware.com/u/MichaelF)\ **Post date:** [21. Oktober 2026 um 19:48 UTC](https://forum.shopware.com/t/kritische-sicherheitsluecken-cvss-9-2-in-php-release-heute-16-00-uhr/109751/23 "2026-10-21T19:48:22Z")
Hi ChriMaLuxe, wenn das KAS langsam wieder erreichbar gemacht wird, geh ich davon aus, dass sie es schon gepacht haben. Zum Shop selbst, würde an deiner Stelle vorab die PHP Version prüfen. Ziel wäre, dass keine Anfrage an den Server an einen Dienst mit veralteter PHP Version gelangt. Meine Zeit mit all-inkl liegt schon länger zurück und auch kenne ich die Einstellungmöglichkeiten bei deinem Hosting Tarif nicht. Prinzipiell könntest du aber solche Zugriffe per htaccess unterbinden. php\_flag engine off als ein Beispiel oder per Require all denied und deine IP ausnehmen. Würde im KAS versuchen sie offline zu nehmen, wenn der Seitenaufbau nicht abbricht. ---
**Author:** ![ChriMaLuxe](https://avatars.discourse-cdn.com/v4/letter/c/6a8cbe/32.png) [@ChriMaLuxe](https://forum.shopware.com/u/ChriMaLuxe)\ **Post date:** [21. Oktober 2026 um 19:53 UTC](https://forum.shopware.com/t/kritische-sicherheitsluecken-cvss-9-2-in-php-release-heute-16-00-uhr/109751/24 "2026-10-21T19:53:24Z")
Wenn ich im Backend des Shops nach der php Version schaue, ist das noch 8.4.24, also wohl nicht gepatcht. Zumindest gehe ich davon aus, dass die Anzeige korrekt ist. Im KAS komme ich nicht weiter, die Domain auf inaktiv zu setzen, das endet immer im Timeout. Von daher wohl aktuell am besten, per htaccess die Seite erst mal zu sperren, bis es was Neues gibt und wenn man auf Nummer sicher gehen will. ---
**Author:** ![ChriMaLuxe](https://avatars.discourse-cdn.com/v4/letter/c/6a8cbe/32.png) [@ChriMaLuxe](https://forum.shopware.com/u/ChriMaLuxe)\ **Post date:** [21. Oktober 2026 um 20:12 UTC](https://forum.shopware.com/t/kritische-sicherheitsluecken-cvss-9-2-in-php-release-heute-16-00-uhr/109751/25 "2026-10-21T20:12:30Z")
Sieht so aus, als wären sie gerade am patchen, zumindest gibt es folgende Meldung im KAS, wenn ich irgendwas an Einstellungen ändern will: ![Fehler](https://europe1.discourse-cdn.com/flex013/uploads/shopware/optimized/3X/c/d/cde0164ec99a4083f7998d199fe667c30c8963bd_2_689x40.jpeg) ---
**Author:** ![ChriMaLuxe](https://avatars.discourse-cdn.com/v4/letter/c/6a8cbe/32.png) [@ChriMaLuxe](https://forum.shopware.com/u/ChriMaLuxe)\ **Post date:** [21. Oktober 2026 um 20:28 UTC](https://forum.shopware.com/t/kritische-sicherheitsluecken-cvss-9-2-in-php-release-heute-16-00-uhr/109751/26 "2026-10-21T20:28:20Z")
In einem anderen Forum hat jetzt jemand geschrieben, dass all inkl. die Kundenserver bis morgen früh alle fertig patchen wollen. Ich habe es jetzt geschafft, nach einigen Versuchen im KAS die Domain zu sperren. Jetzt kommt nur noch ein 423 - Locked. So lasse ich das jetzt erst mal bis morgen früh stehen und schaue dann im KAS nochmal nach. Wobei etwas seltsam, jetzt komme ich auf einmal nicht mehr ins KAS. Ok, erst mal abwarten und morgen früh weiterschauen. Also an alle anderen all inkl User, versucht es ein paar Mal im KAS, dann könnt ihr die Domain auf inaktiv setzen. ---
**Author:** ![MBDealer](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/mbdealer/32/27217_2.png) [@MBDealer](https://forum.shopware.com/u/MBDealer)\ **Post date:** [22. Oktober 2026 um 05:30 UTC](https://forum.shopware.com/t/kritische-sicherheitsluecken-cvss-9-2-in-php-release-heute-16-00-uhr/109751/27 "2026-10-22T05:30:04Z")
Bei uns läuft auch wieder alles und alle PHP Versionen sind aktualisiert. Props an Timme Hosting, dass sogar die uralten Versionen einen Patch bekommen haben. ---
**Author:** ![Seller2017](https://avatars.discourse-cdn.com/v4/letter/s/cab0a1/32.png) [@Seller2017](https://forum.shopware.com/u/Seller2017)\ **Post date:** [22. Oktober 2026 um 06:52 UTC](https://forum.shopware.com/t/kritische-sicherheitsluecken-cvss-9-2-in-php-release-heute-16-00-uhr/109751/28 "2026-10-22T06:52:13Z")
Wenn ich das hier so lese, habe ich mit Timme als Hoster wohl die richtige Entscheidung getroffen. Die haben alles selbst in die Hand genommen und vorsorglich alle PHP-Seiten offline genommen bis es gepatcht war, was im Nachhinein wohl die sicherste Variante war. Nach rund 3 Stunden lief bei uns alles wieder ohne das ich was tun musste. Wenn ich sehe, dass andere Shops heute offenbar noch mit ungepatchten PHP-Versionen online sind, würde ich nach dem Update mal genauer prüfen, ob da nicht schon jemand die Sicherheitslücke schon ausgenutzt hat. ---
**Author:** ![raymond-de](https://avatars.discourse-cdn.com/v4/letter/r/7feea3/32.png) [@raymond-de](https://forum.shopware.com/u/raymond-de)\ **Post date:** [22. Oktober 2026 um 07:22 UTC](https://forum.shopware.com/t/kritische-sicherheitsluecken-cvss-9-2-in-php-release-heute-16-00-uhr/109751/29 "2026-10-22T07:22:22Z")
Profihost hatte gestern erst 20:20 Uhr die Versionen 8.2, 8.3, 8.4 und 8.5 gefixt. Am Backport der Versionen 5.6 bis 8.1 sind diese noch dran. > **[Statusseite - Profihost](https://www.profihost-status.com)** > > Überprüfen Sie den Echtzeit- und historischer Status von Profihost. ---
**Author:** ![ChriMaLuxe](https://avatars.discourse-cdn.com/v4/letter/c/6a8cbe/32.png) [@ChriMaLuxe](https://forum.shopware.com/u/ChriMaLuxe)\ **Post date:** [22. Oktober 2026 um 09:19 UTC](https://forum.shopware.com/t/kritische-sicherheitsluecken-cvss-9-2-in-php-release-heute-16-00-uhr/109751/30 "2026-10-22T09:19:00Z")
Wir sind auch wieder online seit heute Morgen und ich sehe die Version 8.4.27 im Backend, das passt schon mal. Allerdings wird mir hier momentan ein Memory-Limit von 0 angezeigt. Das muss ich noch klären, wo das herkommen kann. Der Shop läuft auf jeden Fall wieder stabil. Was ich jetzt auch noch gefunden habe, war folgende Info von all inkl. in einem anderen Forum: > Das PHP-Entwicklerteam hat für heute Nachmittag (ca. 16:00 Uhr MEZ) ein kritisches Sicherheitsupdate bezüglich der Lücken CVE-2026-109618 und CVE-2026-109619 angekündigt. > Nach aktuellem Kenntnisstand betrifft eine der Schwachstellen die Funktion zur Upload-Fortschrittsanzeige (upload\_progress.enabled), über die potenziell Schadcode ausgeführt werden könnte. > > Unsere Schutzmaßnahme: > Um Ihre Systeme bereits jetzt so weit wie möglich schützen, deaktivieren wir diese Funktion vorsorglich für alle PHP-Versionen serverseitig. > Abgesehen von einer eventuell fehlenden Anzeige beim Datei-Upload sollten kaum Einschränkungen für Ihre Webanwendungen zu erwarten sein. > > Hinweis zu den PHP-Updates: > Die offiziellen Patches werden wir nach der Veröffentlichung zeitnah einspielen und die Funktion anschließend wieder aktivieren. Dann haben sie wohl vorsorglich reagiert und die Kundenseiten konnten oben bleiben. Hauptsache, jetzt ist alles gepatched und läuft wieder. ---
**Author:** ![Max\_Shop](https://avatars.discourse-cdn.com/v4/letter/m/58f4c7/32.png) [@Max\_Shop](https://forum.shopware.com/u/Max_Shop)\ **Post date:** [22. Oktober 2026 um 09:45 UTC](https://forum.shopware.com/t/kritische-sicherheitsluecken-cvss-9-2-in-php-release-heute-16-00-uhr/109751/31 "2026-10-22T09:45:49Z")
Die Hoster haben das memory\_limit vermehrt auf -1 gesetzt, damit die Sicherheitslücke nicht ausgenutzt werden kann. Nach dem PHP-Update werden die Hoster das gewiss wieder Schritt für Schritt zurückrollen, auf die im Tarif vereinbarten memory\_limits bzw. in der individuellen Konfiguration festgelegten Limits. ---
**Author:** ![msg20](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/msg20/32/14162_2.png) [@msg20](https://forum.shopware.com/u/msg20)\ **Post date:** [22. Oktober 2026 um 10:46 UTC](https://forum.shopware.com/t/kritische-sicherheitsluecken-cvss-9-2-in-php-release-heute-16-00-uhr/109751/32 "2026-10-22T10:46:19Z")
Hallo, nur mal so am Rande … Google empfiehlt ausdrücklich den HTTP-Statuscode 503 („Service Unavailable“), wenn eine Website wegen Wartungsarbeiten für ein bis zwei Tage abgeschaltet wird. Hatte bis eben auch noch 200 - [Website vorübergehend pausieren oder Website deaktivieren | Google Search Central | Documentation | Google for Developers](https://developers.google.com/search/docs/crawling-indexing/pause-online-business?hl=de) Leider nimmt sich unser (sonst super) Hoster noch Zeit… mit dem PHP Update ---
**Author:** ![R4M](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/r4m/32/9983_2.png) [@R4M](https://forum.shopware.com/u/R4M)\ **Post date:** [22. Oktober 2026 um 11:33 UTC](https://forum.shopware.com/t/kritische-sicherheitsluecken-cvss-9-2-in-php-release-heute-16-00-uhr/109751/33 "2026-10-22T11:33:43Z")
Da wir selber Hosting machen, konnte wir schon am Abend alle aktuellen PHP-Versionen einspielen womit also niemand Offline gehen musste 🙂 ---
**Author:** ![stan\_o](https://avatars.discourse-cdn.com/v4/letter/s/6de8d8/32.png) [@stan\_o](https://forum.shopware.com/u/stan_o)\ **Post date:** [22. Oktober 2026 um 12:09 UTC](https://forum.shopware.com/t/kritische-sicherheitsluecken-cvss-9-2-in-php-release-heute-16-00-uhr/109751/34 "2026-10-22T12:09:07Z")
Also wann genau die was gemacht haben kann ich nicht sagen. Aber laut PHP info ist IONOS heute Morgen halb 7 bei uns schon auf 8.4.27 gewesen. (Managed) und als all inkl sich (sehr langsam) zum öffnen bewegen ließ die auch. ---
**Author:** ![raymond-de](https://avatars.discourse-cdn.com/v4/letter/r/7feea3/32.png) [@raymond-de](https://forum.shopware.com/u/raymond-de)\ **Post date:** [22. Oktober 2026 um 16:19 UTC](https://forum.shopware.com/t/kritische-sicherheitsluecken-cvss-9-2-in-php-release-heute-16-00-uhr/109751/35 "2026-10-22T16:19:46Z")
All inkl. gerade eingeloggt in den Webseiten (WordPress und Joomla): PHP 8.5.12 Es wurde somit heute irgendwann gepatcht. ---
**Author:** ![DannyBO](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/dannybo/32/27919_2.png) [@DannyBO](https://forum.shopware.com/u/DannyBO)\ **Post date:** [23. Oktober 2026 um 05:30 UTC](https://forum.shopware.com/t/kritische-sicherheitsluecken-cvss-9-2-in-php-release-heute-16-00-uhr/109751/36 "2026-10-23T05:30:18Z")
puhhh der wahsinn ist durch!!! [Vorherige Seite](https://forum.shopware.com/t/kritische-sicherheitsluecken-cvss-9-2-in-php-release-heute-16-00-uhr/109751.md?page=1)