kurzerhand einen externen Dienstleister genutzt hat (Brevo/Sendinblue),
Ich bin gespannt, wann die ersten Beschwerden kommen, dass die doch nicht einfach die Daten an jemand Dritten weitergeben dürften... 
PHP5/6/7/8: CVE-2026-109618/109619 (Remote Code Execution/RCE) [Update #6]
-
m_ueberall -
20. Oktober 2026 um 21:30 -
Unerledigt
-
-
Dankeschön für den Einsatz Tag und Nacht. Jetzt bitte noch ermöglichen, dass man mit dem neuen Outlook seine E-Mail-Konten bei NetCup verknüpfen kann
-
Dankeschön für den Einsatz Tag und Nacht. Jetzt bitte noch ermöglichen, dass man mit dem neuen Outlook seine E-Mail-Konten bei NetCup verknüpfen kann
Woran hapert es denn da?
Via IMAP sollte man das doch eigentlich einbinden können.Ich kann es jedoch nicht testen, da ich kein Windows mehr habe.
Wie sieht es ansonsten mit Thunderbird als Mail Client aus - wäre das eine alternative für dich?
-
Thunderbird funktioniert, altes Outlook funktioniert, neues Outlook will nicht, und das ist nur bei netcup. Str*to, 1blu haben keine Probleme.
Upsi, ich wollte das Thema nicht hier in dem Thread aufmachen. Schreibt mir deswegen gerne direkt, wenn ihr Lösungsvorschläge habt.
PS: Strat* wird tatsächlich als Schimpfwort moniert
-
Die armen Jungs und Mädels von netcup - an Schlaf ist derzeit nicht zu denken…
tja was soll ich sagen. Die Kollegen aus dem Marketing die unsere Goodie Bags für das Community Event designed haben sind halt Hellseher!
-
Wenn euer Managed Server oder euer Webhosting-Paket wieder online ist, läuft es mit einer gepatchten und abgesicherten PHP-Version. Auch wenn die euch angezeigte PHP-Version unverändert aussieht, handelt es sich in jedem Fall um eine von uns gepatchte Version.
Wieso ist das denn so? Nicht, dass die angezeigte Versionsnummer wichtig wäre, solange das gleiche Level an Sicherheit gegeben ist. Ich frage nur, weil es mich interessiert.
Danke in jedem Fall für den Einsatz! Klar ist das einerseits der Job eines Hosters. Aber das macht es für die beteiligten Personen ja nicht weniger stressig. Die Ausfallzeit war zwar relativ lange, aber da vertraue ich der Entscheidung, dass es das Richtige war. Eine komplette Abschaltung entscheidet man als Hoster ja auch nicht leichtfertig.
-
Wieso ist das denn so? Nicht, dass die angezeigte Versionsnummer wichtig wäre, solange das gleiche Level an Sicherheit gegeben ist. Ich frage nur, weil es mich interessiert.
PHP hat eine hand voll Versionszweige wo offizielle patches für released worden. dadurch kam dann ein neues release mit neuer Versionsnummer zu Stande. Aber gerade bei älteren PHP versionen gibt es keine offiziellen Patch von PHP, weswegen der Patch von neuen PHP Versionen auf die alten Versionen zurück portiert werden mussten. Da wird dann eben die letzte Version aus den alte Versionszweigen genommen, der patch dort hin portiert und neu kompiliert. Dadurch haben die Versionen in alten branches eben keine neue Versionsnummer. Es bekommt maximal ne neue angehängte build Nummer oder so.
-
Als kurze Rückfrage, sind die anderen PHP Versionen vor 8.2 auch Nutzbar von Netcup?
Hab noch einige Seiten die 7.3 und 7.4 verwenden. Ggf. auch eine mit 5.6. -
Als kurze Rückfrage, sind die anderen PHP Versionen vor 8.2 auch Nutzbar von Netcup?
Hab noch einige Seiten die 7.3 und 7.4 verwenden. Ggf. auch eine mit 5.6.Laut Email Benachrichtigung von Netcup:
Was wir getan haben:
Das PHP-Projekt hat heute Nachmittag das angekündigte Sicherheitsupdate für die kritischen Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 veröffentlicht. Wir haben das Update unmittelbar danach auf allen Webhosting-Systemen und Managed Servern eingespielt. Das gilt auch für ältere PHP-Versionen, für die kein offizielles Update mehr erscheint: Hier haben wir die offiziellen Patches selbst auf die älteren Versionen übertragen und eingespielt. Erst nachdem alle Systeme gepatcht und überprüft waren, haben wir sie wieder mit dem Internet verbunden.Heißt für mich, dass selber Backports für alle anderen angebotenen php Versionen gemacht wurden, würde die Frage also mit "Ja" beantwortet.
-
Als kurze Rückfrage, sind die anderen PHP Versionen vor 8.2 auch Nutzbar von Netcup?
Hab noch einige Seiten die 7.3 und 7.4 verwenden. Ggf. auch eine mit 5.6.ja. wir haben derzeit im Webhosting folgende PHP Versionen zur Auswahl:
5.6.40
7.0.33
7.1.33
7.2.34
7.3.33
7.4.33
8.0.30
8.1.33
8.2.35
8.3.36
8.4.27
8.5.12Man muss aber sagen: wenn es irgendwann eine Sicherheitslücke gibt die man auf alten Versionen nicht mehr gepatched bekommt, fliegen die Versionen irgendwann raus.
-
Dankeschön für den Einsatz Tag und Nacht. Jetzt bitte noch ermöglichen, dass man mit dem neuen Outlook seine E-Mail-Konten bei NetCup verknüpfen kann
Vorsicht bei Verwendung des Neuen Outlooks (OWA), welches ja die Passwörter nicht mehr lokal speichert, sondern im Klartext an Microsoft übermittelt. Selbst wenn man persönlich Microsoft, seiner Sicherheit sowie dem Versprechen, dass die Daten nicht mit der NSA geteilt werde,n glaubt, ist die Verwendung dennoch ein Verstoß gegen die Netcup AGBs. Hier steht klar unter (5): "Der Kunde hat die ihm übermittelten Zugangsdaten [...] vor Dritten geheimzuhalten."
-
Alles anzeigen
ja. wir haben derzeit im Webhosting folgende PHP Versionen zur Auswahl:
5.6.40
7.0.33
7.1.33
7.2.34
7.3.33
7.4.33
8.0.30
8.1.33
8.2.35
8.3.36
8.4.27
8.5.12Man muss aber sagen: wenn es irgendwann eine Sicherheitslücke gibt die man auf alten Versionen nicht mehr gepatched bekommt, fliegen die Versionen irgendwann raus.
Und ihr stellt die kostenlos zur Verfügung, das ist auch schon hammer.
Mein alter AG hatte bei St0ta mal ein Webhosting, wo kostenpflichtig das PHP 5 Extended Update gebucht war.
Genaue kosten weiß ich gerade nicht mehr, vermutlich irgendwie so 5€/Monat.
Haben wir es genutzt? Nö, niemand wusste was diese kleine Seite gemacht hatte. Historisch gewachsen, dann hab ich sie abgesägt
-
Ganz lieben Dank für die vielen Updates und laufende Aktualisierung zum Status!
Ich glaube da habt ihr Euch die viele Kritik vom vergangenen Wochenende, wo die Vorab-Infos vergleichsweise spärlich waren, sehr zu Herzen genommen. Ich war jedenfalls sehr beeindruckt wie es diesmal ablief mit Mail, Status-Seite, auch Telegram etc.. Also wer's diesmal nicht mitbekommen hat trotz Kommunikation auf allen möglichen Kanälen, dann weiß ich auch nicht ...
Es gibt einen Telegram Channel?
-
Und ihr stellt die kostenlos zur Verfügung, das ist auch schon hammer.
Ja die stehen einfach be jedem Webhostingpaket zur Verfügung und können in der Plesk Oberfläche individuell je domain / subdomain ausgwewählt werden.
Es gibt einen Telegram Channel?
jup
-
Es gibt einen Telegram Channel?
Schau mal auf netcup.com ganz unten (wo die Social Media Icons sind). Dort gibt es auch einen Link zum Telegram Channel.
-
jup
gefunden
-
Es gibt einen Telegram Channel?
Gibt auch noch ne ganze Reihe mehr. Mastodon, Whatsapp usw., also fast für jeden was dabei. Und soweit ich es sah, ging die Benachrichtigung diesmal wohl wirklich über alle Kanäle raus.
-
Die offiziellen Ubuntu-Pakete waren recht schnell. Nur die Server auf denen ich das Ondrej-Repo (https://ppa.launchpadcontent.net/ondrej/php/ubuntu/) nutze haben länger gedauert.
Auf https://launchpad.net/~ondrej war ja auch tatsächlich erst recht spät, so gegen 20:00-21:00 ein grüner Haken bei php8.3 - 8.3.36-1+ubuntu24.04.1+deb.sury.org+1
Da gab es dann in dieser Zeit auch immer wieder Erreichbarkeitsprobleme.
Eben gerade lief es dann aber schnell durch.Für jene die noch ppa hinterlegt haben bei den Ubuntu Repos von Ondrej:
https://codeberg.org/oerdnj/deb.sury.org/issues/73
tl;dr er hat die auch unter https://packages.sury.org/php/ mit drin
Die Waren gestern recht flott da. -
Für jene die noch ppa hinterlegt haben bei den Ubuntu Repos von Ondrej:
https://codeberg.org/oerdnj/deb.sury.org/issues/73
tl;dr er hat die auch unter https://packages.sury.org/php/ mit drin
Die Waren gestern recht flott da.Der Kerl ist halt Der Maintainer der Debian PHP Pakete. Der wird ziemlich sicher vorab schon zugriff auf die patches gehabt haben und dann frühzeitig loslegen können alles zu bauen.
-
Hay,
Alles anzeigenfolgende PHP Versionen zur Auswahl:
5.6.40
7.0.33
7.1.33
7.2.34
7.3.33
7.4.33
8.0.30
8.1.33
8.2.35
8.3.36
8.4.27
8.5.12Ich darf da gottseidank etwas frecher sein und habe meine Kunden auf 8.2+ eingeschränkt. Den Streß kann ich aushalten und lasse mir gerne auch eine mangelnde Serviceorientierung vorhalten, aber wir wollen alle sichere Systeme und da wollte ich einfach einen klaren cut machen. Bei 7 von ca. 100 Websites müssen noch Tests gemacht werden (bin aber optimistisch), bei drei musste PHP Code angepasst werden und wir haben nur zwei, die niemals mehr so funktionieren werden ohne 10 Manntage Arbeit - und da ist neu machen billiger, da es sich nur um kleine Präsenzen handelt, die wäre ohnehin statisch hmtl besser aufgehoben, da sich maximal alle 2 Jahre ein bißchen Text ändert.
Wie dem auch sei: Vielen Dank für die Informationen und den Einsatz, es war eine aufregende Woche für alle Neuländer und hoffen wir, dass es die Ausnahme bleibt.
CU, Peter
