Webseite offline nehmen um auf Nummer sicher zu gehen.
Hi ChriMaLuxe, wenn das KAS langsam wieder erreichbar gemacht wird, geh ich davon aus, dass sie es schon gepacht haben. Zum Shop selbst, würde an deiner Stelle vorab die PHP Version prüfen. Ziel wäre, dass keine Anfrage an den Server an einen Dienst mit veralteter PHP Version gelangt. Meine Zeit mit all-inkl liegt schon länger zurück und auch kenne ich die Einstellungmöglichkeiten bei deinem Hosting Tarif nicht. Prinzipiell könntest du aber solche Zugriffe per htaccess unterbinden. php_flag engine off als ein Beispiel oder per Require all denied und deine IP ausnehmen. Würde im KAS versuchen sie offline zu nehmen, wenn der Seitenaufbau nicht abbricht.
Wenn ich im Backend des Shops nach der php Version schaue, ist das noch 8.4.24, also wohl nicht gepatcht. Zumindest gehe ich davon aus, dass die Anzeige korrekt ist.
Im KAS komme ich nicht weiter, die Domain auf inaktiv zu setzen, das endet immer im Timeout. Von daher wohl aktuell am besten, per htaccess die Seite erst mal zu sperren, bis es was Neues gibt und wenn man auf Nummer sicher gehen will.
Sieht so aus, als wären sie gerade am patchen, zumindest gibt es folgende Meldung im KAS, wenn ich irgendwas an Einstellungen ändern will:
In einem anderen Forum hat jetzt jemand geschrieben, dass all inkl. die Kundenserver bis morgen früh alle fertig patchen wollen.
Ich habe es jetzt geschafft, nach einigen Versuchen im KAS die Domain zu sperren. Jetzt kommt nur noch ein 423 - Locked. So lasse ich das jetzt erst mal bis morgen früh stehen und schaue dann im KAS nochmal nach.
Wobei etwas seltsam, jetzt komme ich auf einmal nicht mehr ins KAS. Ok, erst mal abwarten und morgen früh weiterschauen.
Also an alle anderen all inkl User, versucht es ein paar Mal im KAS, dann könnt ihr die Domain auf inaktiv setzen.
Bei uns läuft auch wieder alles und alle PHP Versionen sind aktualisiert. Props an Timme Hosting, dass sogar die uralten Versionen einen Patch bekommen haben.
Wenn ich das hier so lese, habe ich mit Timme als Hoster wohl die richtige Entscheidung getroffen. Die haben alles selbst in die Hand genommen und vorsorglich alle PHP-Seiten offline genommen bis es gepatcht war, was im Nachhinein wohl die sicherste Variante war. Nach rund 3 Stunden lief bei uns alles wieder ohne das ich was tun musste. Wenn ich sehe, dass andere Shops heute offenbar noch mit ungepatchten PHP-Versionen online sind, würde ich nach dem Update mal genauer prüfen, ob da nicht schon jemand die Sicherheitslücke schon ausgenutzt hat.
Profihost hatte gestern erst 20:20 Uhr die Versionen 8.2, 8.3, 8.4 und 8.5 gefixt.
Am Backport der Versionen 5.6 bis 8.1 sind diese noch dran.
Wir sind auch wieder online seit heute Morgen und ich sehe die Version 8.4.27 im Backend, das passt schon mal. Allerdings wird mir hier momentan ein Memory-Limit von 0 angezeigt. Das muss ich noch klären, wo das herkommen kann. Der Shop läuft auf jeden Fall wieder stabil.
Was ich jetzt auch noch gefunden habe, war folgende Info von all inkl. in einem anderen Forum:
Das PHP-Entwicklerteam hat für heute Nachmittag (ca. 16:00 Uhr MEZ) ein kritisches Sicherheitsupdate bezüglich der Lücken CVE-2026-109618 und CVE-2026-109619 angekündigt.
Nach aktuellem Kenntnisstand betrifft eine der Schwachstellen die Funktion zur Upload-Fortschrittsanzeige (upload_progress.enabled), über die potenziell Schadcode ausgeführt werden könnte.Unsere Schutzmaßnahme:
Um Ihre Systeme bereits jetzt so weit wie möglich schützen, deaktivieren wir diese Funktion vorsorglich für alle PHP-Versionen serverseitig.
Abgesehen von einer eventuell fehlenden Anzeige beim Datei-Upload sollten kaum Einschränkungen für Ihre Webanwendungen zu erwarten sein.Hinweis zu den PHP-Updates:
Die offiziellen Patches werden wir nach der Veröffentlichung zeitnah einspielen und die Funktion anschließend wieder aktivieren.
Dann haben sie wohl vorsorglich reagiert und die Kundenseiten konnten oben bleiben. Hauptsache, jetzt ist alles gepatched und läuft wieder.
Die Hoster haben das memory_limit vermehrt auf -1 gesetzt, damit die Sicherheitslücke nicht ausgenutzt werden kann.
Nach dem PHP-Update werden die Hoster das gewiss wieder Schritt für Schritt zurückrollen, auf die im Tarif vereinbarten memory_limits bzw. in der individuellen Konfiguration festgelegten Limits.
Hallo,
nur mal so am Rande … Google empfiehlt ausdrücklich den HTTP-Statuscode 503 („Service Unavailable“), wenn eine Website wegen Wartungsarbeiten für ein bis zwei Tage abgeschaltet wird. Hatte bis eben auch noch 200 -
Leider nimmt sich unser (sonst super) Hoster noch Zeit… mit dem PHP Update
Da wir selber Hosting machen, konnte wir schon am Abend alle aktuellen PHP-Versionen einspielen womit also niemand Offline gehen musste 
Also wann genau die was gemacht haben kann ich nicht sagen.
Aber laut PHP info ist IONOS heute Morgen halb 7 bei uns schon auf 8.4.27 gewesen. (Managed) und als all inkl sich (sehr langsam) zum öffnen bewegen ließ die auch.
All inkl. gerade eingeloggt in den Webseiten (WordPress und Joomla): PHP 8.5.12
Es wurde somit heute irgendwann gepatcht.
puhhh der wahsinn ist durch!!!