PHP-Sicherheitsupdate auf der Loxonet-Plattform eingespielt
Am 21. Oktober 2026 hat das PHP-Projekt Sicherheitsupdates zu zwei Schwachstellen veröffentlicht, CVE-2026-109618 und CVE-2026-109619. PHP gehört zu den weltweit am häufigsten eingesetzten Programmiersprachen für Webanwendungen und steckt in zahlreichen bekannten Systemen, von Content-Management-Systemen bis zu Cloud-Speichern. Entsprechend groß war die Aufmerksamkeit. Viele Organisationen, darunter Behörden und Hosting-Anbieter, haben ihre Systeme vorübergehend vom Netz genommen, bis die Updates eingespielt waren (siehe Tagesschau). Mit diesem Beitrag bringen wir Sie auf den aktuellen Stand.
Die Einordnung durch das BSI
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 21. Oktober 2026 einen IT-Sicherheitshinweis veröffentlicht (BITS-H Nr. 2026-297981-1032). Beide Schwachstellen sind darin mit einem CVSS-Wert von 9.2 von 10 bewertet, die Kritikalität ist mit Stufe 3 (Orange) angegeben. Diese Stufe bedeutet nach Definition des BSI, dass Maßnahmen unverzüglich zu ergreifen sind. Entsprechend lautete die Empfehlung an alle Betreiber von PHP-Anwendungen, die bereitgestellten Updates ohne Verzögerung einzuspielen.
Die Einordnung durch das PHP-Projekt
Das PHP-Projekt hat am selben Tag korrigierte Versionen für alle unterstützten Versionsstränge bereitgestellt (PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35). Nach Einschätzung der PHP-Entwickler betrafen die Schwachstellen in erster Linie Installationen mit Apache und mod_php.
Wie Loxonet reagiert hat
Wir haben die Schwachstellen unmittelbar nach Bekanntwerden bewertet, die betroffenen Komponenten unserer Infrastruktur geprüft und das Update eingespielt, sobald es verfügbar war. Dabei haben wir die Gelegenheit genutzt, die Plattform direkt auf PHP 8.4 zu heben. Dieser Versionsstrang wird vom PHP-Projekt noch mehrere Jahre mit Sicherheitsupdates versorgt.
So ist die Loxonet-Plattform aufgestellt
Die Loxonet-Plattform wird in der T Cloud der Deutschen Telekom in Deutschland betrieben. Sie läuft auf einer aktuellen Version von PHP 8.4, die beide Schwachstellen schließt. Als Webserver setzen wir Nginx mit PHP-FPM ein.
Was das für Sie bedeutet
Für Sie besteht kein Handlungsbedarf. Die Plattform und die Loxonet-App funktionieren wie gewohnt.
Unser Umgang mit Sicherheitsthemen
Sicherheitsthemen kommunizieren wir offen und für alle Kunden gleich. Unsere Plattform wird durch externe Penetrationstests geprüft. Sollten sich zu diesem Thema neue Erkenntnisse ergeben, aktualisieren wir diesen Beitrag.
Bei Rückfragen erreichen Sie uns jederzeit über den Support-Chat oder per E-Mail an support@loxonet.com.
Stand: 22. Oktober 2026, 07:00 Uhr
