Auf die Bereitstellung der restlichen Upstream-Patches für die noch ausstehenden Versionen warten wir weiterhin.

Bei den angekündigten Schutzmaßnahmen haben wir Fortschritte erzielt: Der Rollout der Mitigationen läuft aktuell aktiv auf allen betroffenen Kundensystemen.

Auswirkung der Schutzmaßnahme:
Eingehende Requests mit dem HTTP-Header Content-Type: multipart/form-data werden serverseitig blockiert, um potenzielle Angriffe wirksam zu verhindern.

Wir beobachten die Upstream-Repositories weiterhin fortlaufend und informieren hier unmittelbar, sobald neue Patches eintreffen oder die nächsten Schritte zur Freischaltung zur Verfügung stehen.

Seit unserem letzten Update gibt es keine neuen Änderungen.

Wir warten weiterhin auf die Bereitstellung der restlichen Upstream-Patches. Die Arbeiten an den angekündigten Mitigationsmaßnahmen laufen parallel unverändert weiter.

Wir beobachten die Repositories fortlaufend und informieren hier unmittelbar, sobald neue Updates eintreffen oder die Mitigationsoption freigeschaltet wird.

Die Systeme mit PHP 8.3 unter Ubuntu 20.04 wurden erfolgreich aktualisiert und sind ab sofort wieder online.

Auf die Bereitstellung der Patches für die verbleibenden Versionen warten wir weiterhin und prüfen die Repositories fortlaufend.

Parallel arbeiten wir weiter an potenziellen Mitigationsmaßnahmen: Damit erhalten Sie die Möglichkeit, eigenverantwortlich zu entscheiden und Ihre Dienste bei Bedarf selbstständig wieder online zu schalten. Wir informieren unverzüglich betroffene Kunden per Mail über die Details und Freischaltung dieser Option, sobald wir weitere Informationen haben.

Für PHP 8.3 unter Ubuntu 20.04 stehen die entsprechenden Patches nun bereit. Wir haben mit dem Rollout begonnen und spielen die Updates derzeit aktiv auf den betroffenen Systemen ein.

Für die übrigen PHP-Versionen im Extended-Support-Zeitraum stehen die Upstream-Patches weiterhin aus. Wir beobachten die Repositories fortlaufend und informieren hier über den weiteren Fortschritt.

Unser Partner hat mitgeteilt, dass die Bereitstellung der noch ausstehenden Pakete (insbesondere für den Extended Support unter Ubuntu 18.04 und 20.04 – dies betrifft auch die Versionen PHP 8.1 bis 8.4) voraussichtlich 24 bis 48 Stunden in Anspruch nehmen kann.

Mitigationen: Wir rollen parallel weitere Schutzmaßnahmen auf den Systemen aus, um die Sicherheit zu erhöhen.

Weiteres Vorgehen: In Kürze informieren wir darüber, wie sie – unter Berücksichtigung des Restrisikos – selbst entscheiden können, ihren Shop wieder online zu nehmen.

Wir warten weiterhin auf die Veröffentlichung der entsprechenden Patches für alle PHP-Versionen im Extended-Support-Zeitraum.

Für Ubuntu 18.04 und Ubuntu 20.04 stehen seitens der Upstream-Maintainer bislang noch keine Patches zur Verfügung – dies betrifft auch die Versionen PHP 8.1 bis 8.4.

Wir beobachten die Repositories kontinuierlich und spielen die Updates unverzüglich ein, sobald diese freigegeben sind.

Alle Cluster unter allen PHP Versionen auf Ubuntu 22.04 sind wieder online.

Das Einspielen der Updates für Ubuntu 22.04 ist fast abgeschlossen. Nach Abschluss unserer Tests starten wir anschließend die betroffenen Cluster wieder. Wir rechnen mit einem Abschluss für diese Cluster in etwa 15 Minuten.

Über das weitere Vorgehen soweit den Umgang mit den PHP Extended Versionen halten wir sie hier auf dem Laufenden.

Die Updates für alle PHP Versionen unter Ubuntu 22.04 werden weiterhin eingespielt und anschließend getestet. Wir informieren Sie hier sofort, sobald die betroffenen Cluster wieder online sind.

Für ältere PHP-Versionen über unseren PHP Extended Support (PHP 5.6 bis 8.0) unter Ubuntu 20.04 & Ubuntu 18.04 verzögert sich die Bereitstellung noch. Deshalb prüfen wir aktuell weitere Mitigationsstrategien, um auch diese Systeme abzusichern.

Wir verlängern die Wartung bis voraussichtlich 18:00 Uhr.

Alle Cluster unter allen PHP Versionen auf Ubuntu 24.04 sind wieder online. Wir arbeiten nun, wie geplant, an der Verteilung und Installation der Sicherheitsupdates für Ubuntu 22.04.

Die Paketupdates dauern aktuell länger als gewöhnlich, da derzeit sehr viele Clients gleichzeitig versuchen, die Updates herunterzuladen.

Die Sicherheitsupdates für Ubuntu 24.04 sind nun installiert. Wir starten in Kürze PHP auf den betroffenen Clustern.

Als Nächstes folgt Ubuntu 22.04. Die ersten Tests laufen bereits. Alle Cluster, die noch nicht abgesichert sind, bleiben weiterhin bis zur Installation der Updates und unserer Prüfung offline. Einen genauen Zeitpunkt für den Abschluss können wir bislang nicht nennen.

Wir spielen nun die Sicherheitsupdates für alle PHP Versionen auf Ubuntu 24.04 ein und werden anschließend die betroffenen Cluster wieder online nehmen.

Alle übrigen Cluster bleiben vorerst offline. Unser Partner Sansec beobachtet bereits erste aktive Angriffe auf die Sicherheitslücken. Deswegen halten wir die noch nicht abgesicherten Cluster bewusst vom Netz, bis die Updates für die weiteren PHP-Versionen und Distributionen installiert sind.

Für PHP 8.5 unter Ubuntu 26.04 sind die Sicherheitsupdates jetzt eingespielt. Wir haben die betroffenen Cluster wieder online genommen.

Kunden mit Ubuntu 26.04, die sich selbst schützen möchten, können alternativ eigenständig auf diese Version upgraden. Die Updates und Informationen für die weiteren PHP-Versionen und Distributionen folgen, sobald sie uns vorliegen.

Das Wartungsende verlängern wir bis voraussichtlich 17:30 Uhr. Wir halten Sie an dieser Stelle auf dem Laufenden.

Für einzelne Versionen liegen uns inzwischen erste Paketupdates vor, die wir aktuell prüfen. Um eine vollständige Abdeckung aller von uns eingesetzten Versionen zu ermöglichen, versuchen wir unsere Paketquellen zu wechseln.

Sobald der Wechsel und die Prüfung erfolgreich abgeschlossen ist, beginnen wir mit dem Einspielen auf den Kundensystemen, für die bereits Updates vorliegen. Die betroffenen Kundensysteme bleiben bis zum Abschluss der Installation und unserer Sicherheitsprüfung nach wie vor offline.

Für die Pakete der von uns eingesetzten Distributionen stehen weiterhin nicht alle Sicherheitsupdates zur Verfügung. Die betroffenen Kundensysteme bleiben daher unverändert offline, um die Sicherheitslücken abzumildern.

Wir warten noch auf die Sicherheitsupdates für alle von uns eingesetzten Distributionen.

Das voraussichtliche Ende der Wartung verschiebt sich auf 16:30 Uhr. Bis dahin bleiben die vorübergehenden Schutzmaßnahmen bestehen, um die Sicherheitslücken abzumildern. Sobald die Updates veröffentlicht sind, installieren wir sie so schnell wie möglich und nehmen alle Cluster wieder online.

Die ersten Updates wurden released. Wir schalten jetzt PHP auf allen Kundencluster ab. Die Stage-Cluster sind bereits seit einigen Minuten offline.
Die Sicherheitslage betrifft nicht allein maxcluster. Auch andere Anbieter ergreifen angesichts der drohenden Angriffe weitreichende Schutzmaßnahmen.

Von Ihrer Seite ist keine Aktion erforderlich. Wir halten Sie an dieser Stelle auf dem Laufenden, sobald uns neue Informationen vorliegen.

Im Zusammenhang mit den kritischen PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 werden wir heute, 21.10.2026, ab 14:45 Uhr alle Onlineshops vorübergehend offline nehmen. Die entsprechenden Sicherheitsupdates werden derzeit für 15:00 Uhr erwartet.

Mit dieser vorsorglichen Maßnahme möchten wir die Shopumgebungen während der Installation der erforderlichen Updates bestmöglich schützen. Unser Team arbeitet mit Hochdruck daran, die Patches zu installieren und alle Shops so schnell und sicher wie möglich wieder online zu nehmen. Von Ihrer Seite ist keine Aktion erforderlich.

Wir rechnen damit, dass die Wartung bis ca. 15:45 Uhr dauert. Verzögern sich die offiziellen Updates oder benötigen wir mehr Zeit für die Installation, kann die Offline-Schaltung länger andauern. Das gilt insbesondere für PHP-Versionen, für die noch kein entsprechendes Update verfügbar ist.