Im PHP-Kern sind gestern zwei kritische Sicherheitslücken bekannt geworden, über die Angreifer eigenen Code auf einer Website ausführen und so auf Kundendaten zugreifen könnten. Betroffen sind PHP-Installationen weltweit, unabhängig vom Hosting-Anbieter. Das PHP-Projekt hat am 21. Oktober 2026 Sicherheitsupdates veröffentlicht, die diese Sicherheitslücken schließen.
Bei united-domains nutzen unter anderem Webhosting, Managed WordPress, Homepage Baukasten, Managed Nextcloud sowie HiDrive Next PHP. united-domains hat bereits mit der Installation der offiziellen Sicherheitsupdates auf den eigenen Hosting-Plattformen begonnen. Die Aktualisierungen werden schrittweise auf allen betroffenen Systemen durchgeführt.
Kundinnen und Kunden müssen nicht selbst tätig werden. Wer PHP selbst betreibt, etwa auf einem VPS oder Dedicated Server, sollte das Update mit der aktuellen PHP-Version umgehend einspielen.
united-domains hat schon vor Erscheinen der Updates zusätzliche Schutzmaßnahmen umgesetzt. Auf den Hosting-Plattformen des Unternehmens sind angepasste PHP-Konfigurationen sowie Firewall-Regeln aktiv, die verdächtige Anfragen blockieren und das Risiko senken. Nur das offizielle Update schließt jedoch dauerhaft die Sicherheitslücke.
Vorsicht vor Phishing: Betrüger nutzen solche Lücken vermehrt für Phishing – sie verschicken gefälschte E-Mails, um an Zugangsdaten zu geraten. united-domains rät, keine Links in unbekannten oder verdächtigen E-Mails anzuklicken, die sich auf die PHP-Lücke berufen, und keine Zugangsdaten einzugeben.