PHP-Lücke: Welche Hoster und Shopsysteme sind gepatcht?

Gestern haben wir vor zwei kritischen Lücken in PHP gewarnt (zum Beitrag). Heute das Update: Wer hat gepatcht, wer nicht? Grundlage ist die Statusübersicht von wortfilter.de mit Stand Donnerstag, 22. Oktober 2026, 10 Uhr. Die Lage ändert sich schnell – prüfe den aktuellen Stand auf der Statusseite deines Anbieters.

Shopsysteme und Tools

• JTL: Alle bei JTL gehosteten Shops sind laut JTL-Forum seit Mittwoch, 21.10., 17:08 Uhr gepatcht – inklusive JTL-Shop 5 und der Konnektoren für WooCommerce und PrestaShop. Die JTL-Wawi nutzt kein PHP. Selbst gehostete Shops müssen die PHP-Version selbst wechseln. JTL warnt vor Phishing-Mails mit angeblichen Patch-Dateien.
• plentyONE: Laut einer im Community-Forum zitierten Kundenantwort wurden gepatchte Docker-Images eingespielt; ein offizielles Statement gab es nicht.
• Gambio: Cloud Portal, Module Store, Payment Hub, Kundenportal, Blog und Forum vorsorglich offline – ohne Zeitangabe.
• DreamRobot: Bestellabrufe und Versandmeldungen an Amazon und eBay waren seit Mittwoch gestört; laut Unternehmen ist DreamRobot seit Donnerstag, 10 Uhr, wieder erreichbar.
• easybill: Am Mittwochnachmittag abgeschaltet, seit der Nacht wieder online.
• Shopware, Magento, OXID, Afterbuy, Billbee, Xentral, Pickware: keine öffentliche Stellungnahme. Shopware und Magento werden nur durch das PHP-Update sicher, nicht durch ein Shop-Update.

Für dich heißt das: Öffne keine „Patch-Dateien“ aus E-Mails. Bei selbst gehosteten Shops ist das PHP-Update deine Aufgabe oder die deiner Agentur.

Hoster: gepatcht

Hetzner, Mittwald, netcup, Timme Hosting, Uberspace, Contabo, manitu und creoline melden den Patch; bei all-inkl war der Großteil der Server bis Donnerstagmorgen aktualisiert. Wichtig: Bei Root-Servern, VPS und Cloud-Servern patchen die Kunden selbst – das gilt etwa für Hetzner Dedicated/Cloud, netcup Root-Server und IONOS VPS.

Für dich heißt das: Eigener Server? Dann bist du selbst dran, nicht dein Hoster.

Hoster: Entwarnung fehlte noch

• IONOS: Sicherheitswartung seit Mittwoch 17:44 Uhr, Abschluss „binnen 24 Stunden“ angekündigt.
• Host Europe / DomainFactory: „Wartung des Hostings“ seit Mittwoch 18:46 Uhr, keine Abschlussmeldung.
• Profihost: PHP 8.2 bis 8.5 gepatcht, ältere Versionen noch in Arbeit.
• dogado, checkdomain, Alfahosting: Updates laufen, kein Abschluss gemeldet.
• Strato, webgo, 1blu, goneo, Raidboxes: keine öffentliche Stellungnahme.

Für dich heißt das: Prüfe den Status bei deinem Hoster und dokumentiere jeden Ausfall. Amazon, eBay, Otto und Kaufland hatten sich bis Redaktionsschluss nicht zu Kulanz geäußert.

So prüfst du den Patch-Stand

• php -v reicht nicht immer: Linux-Distributionen liefern Backports teils ohne neue Versionsnummer aus – entscheidend sind Paketversion oder Build-Datum.
• Für PHP 8.1 und älter gibt es kein offizielles Release – wechsle auf eine unterstützte Version (8.2.35, 8.3.36, 8.4.27, 8.5.12).
• Nach dem Update: Apache bei mod_php komplett neu starten, Docker-Images neu bauen.
• Ein Wartungsmodus schützt nicht.

Quelle: wortfilter.de – PHP-Sicherheitslücke: Noch immer Störungen (Stand 22.10.2026, 10 Uhr)

E-Commerce kompakt erscheint regelmäßig als Kurzvideo auf den Seller2Go-Kanälen und hier im Blog.