Was Hetzner sagt
Hetzner-Statusmeldung 'PHP security issues CVE-2026-109618 and CVE-2026-109619' (eröffnet am 21. Okt. 2026 um 11:04 UTC; der Status lautet weiterhin 'Investigating'). Die von PHP empfohlenen Gegenmaßnahmen waren schon vor dem Fix aktiv. Gepatchte Builds von PHP 7.4 und 8.0–8.5 liefen bis 17:50 UTC am 21. Okt. auf allen Webhosting- und Managed Servern, die übrigen Versionen 5.6 und 7.3 bis 04:32 UTC am 22. Okt. Das Update umfasste auch konsoleH, Storage Share (Nextcloud), phpMyAdmin und Webmail. Kunden mit Dedicated- und Cloud-Servern werden per E-Mail informiert und müssen ihr PHP selbst aktualisieren.
We deployed patches for the remaining PHP versions 5.6 and 7.3 on all Webhosting- and Managed-Servers.We deployed patches for the PHP versions 7.4 and 8.0-8.5 on all Webhosting- and Managed-Servers.carefully monitor your systems for suspicious activity and possible signs of an attack.PHP security issues CVE-2026-109618 and CVE-2026-109619Was Sie tun müssen
Webhosting (konsoleH) und Managed Server: Hetzner hat jede PHP-Version gepatcht, die es betreibt; Sie müssen nichts installieren. Entfernen Sie FcgidWrapper-Einträge in .htaccess-Dateien, die einzelne Verzeichnisse auf altes PHP festlegen, und wechseln Sie weg von Versionen am Lebensende, sobald Sie können. Kunden mit Dedicated Root Server und Cloud Server müssen PHP- und Betriebssystempakete selbst aktualisieren.
Prüfen, welches PHP Ihre Website nutzt
konsoleH > Hosting auswählen > Einstellungen > PHP-Konfiguration (CLI: /usr/bin/php nutzt die in konsoleH eingestellte Version)
In WordPress steht die PHP-Version unter Werkzeuge › Website-Zustand › Bericht › Server. Fügen Sie sie in die Versionsprüfung ein, dann sehen Sie, ob sie den Fix enthält.
Auf eine unterstützte Version wechseln
konsoleH > Einstellungen > PHP-Konfiguration > Version wählen > Speichern; pro Verzeichnis abweichend per FcgidWrapper in der .htaccess
Angebotene Versionen: 5.6, 7.3, 7.4, 8.0, 8.1, 8.2, 8.3, 8.4, 8.5.
Nehmen Sie wenn möglich PHP 8.4. Die Version ist behoben, wird bis 31. Dezember 2028 unterstützt und läuft mit fast allen aktuellen Plugins. Mehr dazu unter Welche Version Sie wählen sollten.
Alte PHP-Versionen
Bezahlten Support für alte PHP-Versionen haben wir bei Hetzner nicht gefunden.
Hetzner direkt fragen
Kopieren Sie diesen Text in ein Support-Ticket und füllen Sie die Teile in eckigen Klammern aus.
Hallo Support-Team von Hetzner,
PHP hat am 21. Oktober 2026 Fixes für CVE-2026-109618 und CVE-2026-109619 (CVSS 9.2) veröffentlicht: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Mein Konto: [Kunden- oder Vertragsnummer]
Meine Website: [Domain]
PHP-Version laut Kundenmenü: [Version]
Bitte bestätigen Sie mir:
1. Ob das PHP, das meine Website ausliefert, auf eines der behobenen Releases oder auf einen Build mit zurückportiertem Fix aktualisiert wurde, und welche Version genau.
2. Ob die PHP-Prozesse meiner Website seit dem Update neu gestartet wurden.
3. Falls das noch aussteht, wann Sie voraussichtlich fertig sind.
4. Falls meine Version 8.1 oder älter ist, auf welche unterstützte Version ich umstellen sollte.
Vielen Dank.