21. Okt 2026, 14:50 – 17:00
Betroffene Dienste: Webserver limeBASIC / limePRO / limeDEDICATED
Aufgrund der angekündigten kritischen PHP-Sicherheitsupdates (vgl. Upcoming Critical PHP Security Release), die heute um 16:00 Uhr CEST veröffentlicht werden, haben wir vorsorglich Geo-Fencing aktiviert, bis sämtliche PHP-Versionen gepatcht und unsere Systeme entsprechend aktualisiert sind.
Aktuell ist der Zugriff auf unsere Webserver nur aus der Schweiz (CH), Liechtenstein (LI) und Österreich (AT) möglich. Zugriffe aus allen anderen Ländern werden vorübergehend blockiert.
Diese Massnahme dient ausschliesslich der Vorsorge. Nach unserem aktuellen Kenntnisstand sind noch keine Exploits für die betreffenden Sicherheitslücken bekannt.
Am 23. Oktober 2026 hat das PHP-Projekt ein ergänzendes Advisory zu Session Upload Progress veröffentlicht: Unter einer seltenen Kombination von Konfiguration und Anwendungscode besteht noch ein weiterer, unwahrscheinlicher Angriffsweg (CVE-2026-115560), der erst mit dem nächsten regulären PHP-Release behoben wird. Bis dahin empfiehlt php.net, die Option session.upload_progress.enabled zu deaktivieren.
Wir haben diese Empfehlung heute auf sämtlichen Webservern umgesetzt. Dafür war lediglich ein kurzer Neustart der PHP-Dienste nötig.
Für unsere Kunden ändert sich praktisch nichts: Datei-Uploads funktionieren wie gewohnt. Einzig eine serverseitige Fortschrittsanzeige für laufende Uploads über diese PHP-Funktion steht vorübergehend nicht zur Verfügung. Aktuelle Anwendungen wie WordPress, Nextcloud oder TYPO3 zeigen den Upload-Fortschritt ohnehin direkt im Browser an und sind davon nicht betroffen. Sobald das nächste PHP-Release mit der endgültigen Korrektur verfügbar ist, aktivieren wir die Option wieder.
Wir haben heute sämtliche Webserver zusätzlich einem umfassenden Incident Review unterzogen. Dabei haben wir sämtliche verfügbaren Logfiles rückwirkend bis zum 17. Oktober auf verdächtigen Scanner-Traffic und Exploit-Versuche untersucht. Obwohl wir entsprechende Aktivitäten feststellen konnten, fanden wir keinerlei Hinweise auf eine erfolgreiche Ausnutzung der PHP-Sicherheitslücken auf unseren Webservern.
Für alle, die sich für die technischen Hintergründe von PHP2Shell und den genauen Ablauf unserer Schutzmassnahmen und Sicherheitsupdates interessieren, haben wir einen ausführlicheren Rückblick veröffentlicht:
PHP2Shell: Kritische PHP-Sicherheitsupdates erfolgreich eingespielt
Darin erläutern wir die Sicherheitslücken, unsere vorsorglichen Massnahmen und wie wir sämtliche Webserver innerhalb kürzester Zeit aktualisieren und wieder online bringen konnten.
Um mögliche Sicherheitsrisiken bis zur Veröffentlichung der Updates auszuschliessen, haben wir heute um 16:00 Uhr sämtliche Webserver vorsorglich vorübergehend offline genommen. Zahlreiche andere Hosting-Unternehmen und grössere Online-Dienstleister haben ähnliche Schutzmassnahmen ergriffen.
Die neuen PHP-Versionen wurden von php.net pünktlich um 16:00 Uhr CEST veröffentlicht. Bereits kurz darauf standen auch die entsprechenden Debian-Pakete von DEB.SURY.ORG zur Verfügung. Zwischen 16:20 und 16:40 Uhr konnten wir sämtliche Webserver erfolgreich auf die neuen PHP-Versionen aktualisieren:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Seit 16:46 Uhr sind sämtliche Webserver wieder uneingeschränkt erreichbar. Gleichzeitig wurden auch die zuvor aktivierten Geo-Fencing-Einschränkungen vollständig aufgehoben.
Vielen Dank für euer Verständnis!