Wichtiger Hinweis: Wenn Ihr Managed Server oder Ihr Webhosting-Paket wieder online ist, läuft es mit einer gepatchten und abgesicherten PHP-Version. Auch wenn die Ihnen angezeigte PHP-Version unverändert ist, handelt es sich in jedem Fall um eine von uns gepatchte Version. Auf unseren Managed Servern und Webhosting-Paketen ist keine ungepatchte (CVE-2026-109618 und CVE-2026-109619) PHP-Version online.
Important note: If your Managed Server or Webhosting package is back online, it is running a patched and secured PHP version. Even if the PHP version displayed to you is unchanged, it is in any case a version patched by us. No unpatched (CVE-2026-109618 and CVE-2026-109619) PHP version is online on our Managed Servers and Webhosting packages.
Update 23:45 CEST: Alle Webhosting-Pakete (inklusive Reseller) und alle Managed Server sind gepatcht, abgesichert und online. Einzig das Webhosting Control Panel (WCP) bleibt vorsorglich noch offline: Bei der abschließenden Verifizierung hat sich gezeigt, dass dafür ein weiterer Patch des Herstellers Plesk erforderlich ist, der noch nicht vorliegt. Ihre Webseiten und E-Mails sind davon nicht betroffen. Lediglich die Verwaltung über das WCP ist vorübergehend nicht möglich. Nachdem Plesk den Patch bereitstellt, spielen wir ihn ein und schalten das WCP wieder online. Vielen Dank für Ihre Geduld.
Update 23:45 CEST: All Webhosting packages (including Reseller) and all Managed Servers have been patched and secured and are online. Only the Webhosting Control Panel (WCP) remains offline as a precaution: the final verification showed that an additional patch from the vendor Plesk is required, which has not yet been released. Your websites and emails are not affected. Only management via the WCP is temporarily unavailable. Once Plesk provides the patch, we will apply it and bring the WCP back online. Thank you for your patience.
Update 22:51 CEST: Der Rollout der Sicherheitsupdates ist abgeschlossen. Alle Webhosting-Pakete (inklusive Reseller) sowie alle Managed Server sind gepatcht, abgesichert und wieder online. Das Update des Webhosting Control Panels (WCP) ist fertig und wird nach einer letzten Verifizierung in Kürze online geschaltet. Einige wenige Spezialfälle bei Webhosting und Managed Servern werden derzeit noch manuell nachgearbeitet.
Update 22:51 CEST: The rollout of the security updates is complete. All Webhosting packages (including Reseller) as well as all Managed Servers have been patched and secured and are back online. The update of the Webhosting Control Panel (WCP) is complete and will be brought online shortly after a final verification. A small number of special cases in Webhosting and Managed Servers are currently being finalised manually.
Update 22:02 CEST: Beim Webhosting sind rund 85% der Webseiten wieder online. Die Plesk-Updates für das Webhosting Control Panel (WCP) sind zu rund 90% fertig und werden gesammelt online geschaltet. Bei den Managed Servern laufen für wenige einzelne Systeme noch letzte Nacharbeiten, die wir Schritt für Schritt abschließen.
Update 22:02 CEST: For Webhosting, around 85% of websites are back online. The Plesk updates for the Webhosting Control Panel (WCP) are around 90% complete and will be brought online together. For Managed Servers, a few individual systems still require some final adjustments, which we are completing step by step.
Update 21:02 CEST: Der Rollout auf die Managed Server ist abgeschlossen. Alle Managed Server sind mit allen verfügbaren PHP-Versionen gepatcht, abgesichert und wieder online. Beim Webhosting sind rund 60% der Webseiten bereits gepatcht, abgesichert und wieder online.
Update 21:02 CEST: The rollout to the Managed Servers is complete. All Managed Servers have been patched and secured with all available PHP versions and are back online. For Webhosting, around 60% of websites have already been patched and secured and are back online.
Update 20:54 CEST: Das Webmail ist gepatcht, abgesichert und wieder online.
Update 20:54 CEST: Webmail has been patched and secured and is back online.
Update 20:47 CEST: Der Rollout steht bei den Webhosting-Servern bei rund 45% und bei den Managed Servern bei rund 85%. Für das Webhosting Control Panel (WCP) hat Plesk Updates bereitgestellt, die gerade ausgerollt werden.
Update 20:47 CEST: The rollout is at around 45% for Webhosting servers and around 85% for Managed Servers. Plesk has provided updates for the Webhosting Control Panel (WCP), which are currently being rolled out.
Update 20:33 CEST: Der Rollout steht bei den Webhosting-Servern bei rund 15% und bei den Managed Servern bei rund 30%. Alle Webseiten, die bereits wieder online sind, sind gepatcht und abgesichert.
Update 20:33 CEST: The rollout is at around 15% for Webhosting servers and around 30% for Managed Servers. All websites that are already back online are patched and secured.
Update 19:59 CEST: Unser Forum ist gepatcht, abgesichert und wieder online. Der Rollout auf die Webhosting-Pakete läuft sehr erfolgreich, zahlreiche Webseiten sind bereits wieder online, gepatcht und abgesichert.
Update 19:59 CEST: Our forum has been patched and secured and is back online. The rollout to the Webhosting packages is progressing very well, and numerous websites are already back online, patched and secured.
Update 19:45 CEST: Der Rollout läuft. Die Webhosting-Pakete kommen nun Schritt für Schritt mit der gepatchten und abgesicherten PHP-Version wieder online.
Update 19:45 CEST: The rollout is in progress. Webhosting packages are now coming back online step by step with the patched and secured PHP version.
Update 18:49 CEST: Die Tests der gepatchten PHP-Versionen waren erfolgreich. Wir beginnen jetzt mit dem Rollout auf allen Webhosting-Nodes.
Update 18:49 CEST: The tests of the patched PHP versions were successful. We are now starting the rollout on all Webhosting nodes.
Update 18:07 CEST: Der Bau der gepatchten PHP-Versionen ist abgeschlossen. Wir beginnen jetzt mit dem Testen der neuen Versionen, unmittelbar danach startet der Rollout auf alle betroffenen Systeme.
Update 18:07 CEST: The build of the patched PHP versions is complete. We are now starting to test the new versions, and the rollout to all affected systems will begin immediately afterwards.
Update 17:44 CEST: Das Customer Control Panel (CCP) und die CloudDNS API sind gepatcht, abgesichert und stehen wieder allen Kunden zur Verfügung. Die gepatchten PHP-Versionen für die übrigen Systeme sind zu rund 75% fertig gebaut.
Update 17:44 CEST: The Customer Control Panel (CCP) and the CloudDNS API have been patched and secured and are available to all customers again. Around 75% of the patched PHP versions for the remaining systems have been built.
Update 17:35 CEST: Rund 60% der gepatchten PHP-Versionen sind bereits fertig gebaut. Im Anschluss testen wir die neuen Versionen und beginnen unmittelbar danach mit dem Rollout auf alle betroffenen Systeme.
Update 17:35 CEST: Around 60% of the patched PHP versions have already been built. We will then test the new versions and start the rollout to all affected systems immediately afterwards.
Update 16:59 CEST: Wir rollen derzeit bereits die ersten Patches aus. Die PHP-Versionen für unsere Webhosting-Pakete werden gerade gebaut.
Update 16:59 CEST: We are already rolling out the first patches. The PHP versions for our web hosting packages are currently being built.
Update 16:25 CEST: Die PHP-Updates sind veröffentlicht, wir sind gerade dabei, die Systeme zu patchen.
Update 16:25 CEST: The PHP updates have been released and we are currently patching our systems.
Liebe Kundinnen und Kunden,
in PHP, einer Software, mit der ein Großteil aller Webseiten weltweit betrieben wird, gibt es eine sehr kritische Sicherheitslücke. Um Sie und Ihre Daten zu schützen, haben wir alle potenziell gefährdeten Systeme vorsorglich vom Internet getrennt. Das ist eine reine Vorsichtsmaßnahme. Ihre Daten bleiben vollständig erhalten und sind nicht gefährdet.
Was ist gerade nicht erreichbar?
Derzeit stehen Ihnen unter anderem folgende Systeme nicht zur Verfügung:
- Alle Webhosting-Pakete und Managed Server, einschließlich der darauf betriebenen Webseiten
- Customer Control Panel (CCP)
- Webhosting Control Panel (WCP)
- Webmail
- Forum
- CloudDNS API
Weiterhin erreichbar ist das Server Control Panel (SCP). Root Server, VPS und Managed Cloud Cluster laufen normal weiter.
Warum dieser Schritt?
Die Lücke erlaubt es Angreifern, fremden Code auf betroffenen Systemen auszuführen. Ein Sicherheitsupdate gibt es noch nicht. Solange es fehlt, ist jedes System mit PHP potenziell angreifbar, sobald es aus dem Internet erreichbar ist. Deshalb haben wir uns entschieden, auch alle Webhosting-Pakete und Managed Server vorübergehend abzuschalten. Uns ist bewusst, dass das ein drastischer Schritt ist. Wir sind aber überzeugt, dass eine kurze Unterbrechung besser ist als ein erfolgreicher Angriff auf Ihre Webseite oder Ihre Daten. Zahlreiche Unternehmen und Behörden weltweit gehen derzeit genauso vor.
Wann sind die Systeme wieder erreichbar?
Das Sicherheitsupdate des PHP-Projekts ist für heute Nachmittag angekündigt (21.10.2026, voraussichtlich 16:00 Uhr). Unsere Teams stehen bereit und spielen das Update unmittelbar nach Veröffentlichung auf allen Systemen ein. Wir rechnen damit, dass die Systeme etwa 3 bis 5 Stunden nach Veröffentlichung des Updates wieder erreichbar sind, also voraussichtlich im Laufe des heutigen Abends. Als Webhosting- oder Managed-Server-Kunde müssen Sie selbst nichts tun.
Hinweis für Kunden mit Root Server, VPS oder Managed Cloud Cluster
Ihre Server sind von der Abschaltung nicht betroffen. Da Sie diese Systeme selbst verwalten, liegt auch das Einspielen des Sicherheitsupdates in Ihrer Verantwortung, sofern Sie darauf PHP einsetzen. Wir empfehlen dringend, das Update unmittelbar nach Veröffentlichung zu installieren. Die Verwaltung Ihrer Server über das Server Control Panel (SCP) ist weiterhin möglich. Weitere Hinweise dazu finden Sie auf www.netcup-status.de.
Wo erfahre ich den aktuellen Stand?
Alle Neuigkeiten veröffentlichen wir laufend auf unserer Statusseite: www.netcup-status.de
Technische Details
Es handelt sich um die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 (Schweregrad: kritisch, CVSS 9.2). Betroffen sind potenziell alle Webseiten und Anwendungen, die PHP nutzen. Die offizielle Vorankündigung des PHP-Projekts finden Sie hier: https://www.php.net/archive/2026.php#2026-10-20-1
Vielen Dank für Ihr Verständnis.
Ihr netcup Team
Dear customers,
A very critical security vulnerability has been found in PHP, a software that powers a large share of all websites worldwide. To protect you and your data, we have disconnected all potentially affected systems from the internet as a precaution. This is purely a preventive measure. Your data remains fully intact and is not at risk.
What is currently unavailable?
At the moment, the following systems, among others, are not available:
- All Webhosting packages and Managed Servers, including the websites hosted on them
- Customer Control Panel (CCP)
- Webhosting Control Panel (WCP)
- Webmail
- Forum
- CloudDNS API
The Server Control Panel (SCP) remains available. Root Servers, VPS and Managed Cloud Clusters continue to operate normally.
Why did we take this step?
The vulnerability allows attackers to execute malicious code on affected systems. A security update is not yet available. Until it is, every system running PHP is potentially vulnerable as soon as it can be reached from the internet. This is why we decided to also take all Webhosting packages and Managed Servers offline temporarily. We are aware that this is a drastic step. However, we are convinced that a short interruption is better than a successful attack on your website or your data. Numerous companies and public authorities worldwide are currently taking the same approach.
When will the systems be available again?
The PHP project has announced the security update for this afternoon (21 October 2026, expected at 16:00 CEST). Our teams are ready and will apply the update on all systems immediately after its release. We expect the systems to be available again approximately 3 to 5 hours after the update is released, so most likely over the course of this evening. As a Webhosting or Managed Server customer, you do not need to do anything.
Notice for customers with Root Servers, VPS or Managed Cloud Clusters
Your servers are not affected by the shutdown. Since you manage these systems yourself, applying the security update is also your responsibility if you run PHP on them. We strongly recommend installing the update immediately after its release. You can continue to manage your servers via the Server Control Panel (SCP). Further information is available at www.netcup-status.de.
Where can I find the current status?
We will continuously publish all updates on our status page: www.netcup-status.de
Technical details
The vulnerabilities are tracked as CVE-2026-109618 and CVE-2026-109619 (severity: critical, CVSS 9.2). Potentially affected are all websites and applications that use PHP. The official advance notice from the PHP project is available here: https://www.php.net/archive/2026.php#2026-10-20-1
Thank you for your understanding.
Your netcup team
