Am 20.10.2026 wurden zwei kritische Sicherheitslücken in PHP veröffentlicht (CVE-2026-109618 / CVE-2026-109619).
Die PHP Foundation hat daraufhin informiert, am 21.10.2026 Sicherheitsupdates zu veröffentlichen und nachgelagert am 21.10. einige Details und Mitigierungsoptionen genannt, die serverseitig getroffen werden können, bis etwaige Updates implementiert sind.
Am Nachmittag des 21.10. wurden Updates von der PHP Foundation bereitgestellt, die jedoch sowohl von Linux Distributionen als auch Drittherstellern im Anschluss in eigene Updates paketiert werden mussten.
Unsere Services wurden umgehend auf Anfälligkeit geprüft, Sicherheitsupdates direkt nach Veröffentlichung installiert und wo nötig Mitigierungen implementiert oder Zugriffe von extern unterbunden.
Status der Services
vDatacenter: Die IaaS Platform ist nicht betroffen. VM Templates von betroffenen Produkten (z.B. pfsense, opnsense etc.) wurden bereits aktualisiert.
Hosted Exchange: Die Hosted Exchange Platform ist nicht betroffen.
Mailcleaner: Der Aufruf der Quarantäne ist betroffen. Aktuell ist noch kein Update verfügbar. Der Zugriff wurde daher deaktiviert. Siehe hierzu Statusmeldung "Sicherheitsmaßnahme: Quarantäne-Zugang deaktiviert"
Mailarchive für Hosted Exchange: Der Service war betroffen, die Sicherheitsupdates wurden bereits installiert.
Octoarchive: Der Service war betroffen, die Sicherheitsupdates wurden bereits installiert.
Veeam Services: Die Services sind nicht betroffen.
Acronis: Der Service ist nicht betroffen.
Datacore S3: Der Service ist nicht betroffen.
Filecloud: Der Service war betroffen. Am gestrigen Nachmittag wurden Mitigierungen implementiert. Am heutigen Vormittag waren Updates verfügbar und wurden installiert.
Bitte prüfe auch bei deinen eigenständig betriebenen Services, ob sie von den Sicherheitslücken betroffen sind und leite entsprechende Maßnahmen ein.