Abgeschlossen: Alle betroffenen Dienste laufen seit über einer Stunde stabil mit den gepatchten PHP-Versionen – das Deploy-Projekt mit PHP 8.5.12, der Mailserver mit PHP 8.2.35 und der Looking Glass mit PHP 8.4.27. Webmail und Mail-Verwaltung sind wieder erreichbar. Danke für eure Geduld.

Alle betroffenen Dienste sind gepatcht: Das pausierte PHP-Projekt in CitexNode Deploy wurde mit der gepatchten FrankenPHP-Laufzeitumgebung (PHP 8.5.12) neu gebaut, die Version im laufenden Container geprüft und die Website wieder freigeschaltet. Der Mailserver läuft bereits seit dem vorherigen Update mit PHP 8.2.35, der Looking Glass mit PHP 8.4.27. Wir beobachten die Dienste noch eine Weile.

Mailserver gepatcht: Das Sicherheitsupdate mit PHP 8.2.35 ist eingespielt und geprüft. Webmail und die Mail-Verwaltung sind wieder erreichbar; E-Mail-Versand und -Empfang laufen normal. Offen ist nur noch das pausierte PHP-Projekt in CitexNode Deploy: Wir warten weiter auf die FrankenPHP-Laufzeitumgebung mit PHP 8.5.12 und schalten es frei, sobald sie verfügbar und eingespielt ist.

Die neue FrankenPHP-Version verzögert sich noch etwas: Der PHP-Patch ändert das Verhalten bei Speicherüberschreitungen, und die FrankenPHP-Entwickler passen gerade ihre automatischen Tests daran an. Sobald diese Anpassung durch ist, folgt das Release mit den neuen Container-Images. Wir bauen das betroffene Projekt direkt danach neu, prüfen die PHP-Version und schalten es wieder frei. Webmail und Mail-Verwaltung bleiben bis zum Update des Mailservers gesperrt; E-Mail-Versand und -Empfang laufen normal.

Zur Einordnung: Inzwischen sind Details aus dem PHP-Sicherheitsteam bekannt. Die Lücke CVE-2026-109618 lässt sich ohne Anmeldung ausnutzen, bevor die eigentliche Anwendung startet; betroffen sind auch PHP-FPM und FrankenPHP, und es gibt Berichte über erste Angriffe. Der häufig empfohlene Konfigurationsschalter (session.upload_progress) schützt nur gegen die zweite Lücke, nicht gegen diese. Deshalb haben wir die betroffenen Dienste vom Netz genommen, statt sie mit einer Notlösung weiterlaufen zu lassen, und schalten sie erst wieder frei, wenn die gepatchte PHP-Version nachweislich läuft. Den Stand der Updates melden wir hier.

Die offiziellen PHP-Images mit den gepatchten Versionen sind jetzt vollständig verfügbar. FrankenPHP (für das pausierte Deploy-Projekt) hat seine neue Version noch nicht veröffentlicht. Für unseren Mailserver gibt es bereits ein vorab gebautes Update, unsere Prüfung hat aber gezeigt, dass es noch die alte, verwundbare PHP-Version enthält – wir spielen es deshalb nicht ein und warten auf einen korrigierten Build. Wir prüfen bei jedem neuen Image die tatsächlich enthaltene PHP-Version, bevor wir etwas freischalten. Webmail und Mail-Verwaltung bleiben bis dahin gesperrt; E-Mail-Versand und -Empfang laufen normal.

Die offiziellen PHP-Images mit der gepatchten Version 8.5.12 werden gerade veröffentlicht. Als Nächstes erstellt FrankenPHP darauf seine neue Laufzeitumgebung; wegen der aktuellen GitHub-Störung kann das etwas länger dauern. Sobald sie verfügbar ist, bauen wir das betroffene Projekt neu, prüfen die PHP-Version und schalten es wieder frei. Webmail und Mail-Verwaltung bleiben bis zum Update des Mailservers gesperrt; E-Mail-Versand und -Empfang laufen normal.

FrankenPHP baut gerade seine eigenständigen Programmpakete mit der gepatchten PHP-Version. Für CitexNode Deploy brauchen wir das Container-Image von FrankenPHP; es folgt, sobald die offiziellen PHP-Images veröffentlicht sind, deren Bau gerade läuft. Wir spielen das Update direkt danach ein. Bis dahin bleibt die betroffene Website im Wartungsmodus; Webmail und Mail-Verwaltung bleiben gesperrt, E-Mail-Versand und -Empfang laufen normal.

Die gepatchten offiziellen PHP-Images (8.5.12, 8.4.27, 8.3.36, 8.2.35) sind endgültig freigegeben und werden jetzt gebaut. Sobald sie veröffentlicht sind, ziehen FrankenPHP und unser Mailserver nach; wir spielen die Updates direkt ein und melden uns hier. Die betroffene Website zeigt bis dahin einen Hinweis auf die Sicherheitswartung; Webmail und Mail-Verwaltung bleiben gesperrt, E-Mail-Versand und -Empfang laufen normal.

Die gepatchten offiziellen PHP-Images sind jetzt von den Docker-Maintainern freigegeben. Als Nächstes werden sie zusammengeführt und gebaut – das dauert erfahrungsgemäß 30–60 Minuten, wegen der aktuellen GitHub-Störung möglicherweise etwas länger. Danach folgen FrankenPHP und unser Mailserver; wir spielen beide Updates direkt ein. Die betroffene Website zeigt bis dahin einen Hinweis auf die Sicherheitswartung; Webmail und Mail-Verwaltung bleiben gesperrt, E-Mail-Versand und -Empfang laufen normal.

Die automatischen Prüfungen für die gepatchten offiziellen PHP-Images sind nahezu abgeschlossen und bisher alle erfolgreich; es fehlt nur noch die Freigabe durch die Docker-Maintainer. Danach dauert der Bau der Images erfahrungsgemäß noch etwa 30–60 Minuten, anschließend folgen FrankenPHP und unser Mailserver. Wir spielen die Updates ein, sobald sie verfügbar sind. Das Deploy-Projekt bleibt bis dahin pausiert, Webmail und Mail-Verwaltung gesperrt; E-Mail-Versand und -Empfang laufen normal.

Letzter Schritt vor den neuen Images läuft: Die Veröffentlichung der gepatchten offiziellen PHP-Container-Images (8.5.12, 8.4.27, 8.3.36, 8.2.35) ist eingereicht und wartet auf die finale Freigabe. Danach werden die Images gebaut; FrankenPHP (für das pausierte Deploy-Projekt) und der Hersteller unseres Mailservers haben ihre Updates vorbereitet und veröffentlichen sie unmittelbar im Anschluss. Wir spielen beide Updates ein, sobald sie verfügbar sind. Bis dahin bleiben das Deploy-Projekt pausiert sowie Webmail und Mail-Verwaltung gesperrt; E-Mail-Versand und -Empfang laufen normal.

Nächster Schritt erledigt: Die Docker-Maintainer haben die gepatchten PHP-Versionen (8.5.12, 8.4.27, 8.3.36, 8.2.35) freigegeben. Jetzt werden die offiziellen Container-Images veröffentlicht und gebaut; danach folgt FrankenPHP mit PHP 8.5.12. Erfahrungsgemäß dauert das noch einige Zeit. Sobald die Images verfügbar sind, bauen wir das pausierte Deploy-Projekt neu, prüfen die PHP-Version und schalten es wieder frei. Webmail und die Mail-Verwaltung bleiben bis zum Update des Mailservers gesperrt; E-Mail-Versand und -Empfang laufen normal.

Zwischenstand: Die Aktualisierung der offiziellen PHP-Container-Images auf die gepatchten Versionen (8.5.12, 8.4.27, 8.2.35) ist eingereicht, wartet aber noch auf die Freigabe durch die Docker-Maintainer. Erst danach werden die Images gebaut, und anschließend veröffentlicht FrankenPHP seine Laufzeitumgebung mit PHP 8.5.12. Wir prüfen laufend, ob die neuen Images da sind, und spielen das Update sofort ein. Das betroffene Deploy-Projekt bleibt bis dahin pausiert; Webmail und die Mail-Verwaltung bleiben gesperrt, E-Mail-Versand und -Empfang laufen normal.

Auch unser Mailsystem nutzt PHP: Webmail und die Mail-Verwaltung sind deshalb vorübergehend gesperrt. Der E-Mail-Versand und -Empfang (SMTP/IMAP) läuft normal weiter. Hier warten wir auf das Update des Mailserver-Herstellers mit PHP 8.2.35. Diese Meldung bleibt offen, bis sowohl das Deploy-Projekt als auch das Mailsystem gepatcht sind – je nachdem, welches Update zuerst erscheint, schalten wir die Teile einzeln wieder frei.

Unser Looking Glass (lg.citexnode.com) ist auf die gepatchte Version PHP 8.4.27 aktualisiert und wieder erreichbar. Für das pausierte PHP-Projekt in CitexNode Deploy warten wir weiter auf die FrankenPHP-Laufzeitumgebung mit PHP 8.5.12; sobald sie erscheint, bauen wir es neu und schalten es wieder frei.

PHP hat die gepatchte Version 8.5.12 veröffentlicht. Wir können sie aber noch nicht einspielen: PHP-Projekte laufen bei uns auf FrankenPHP, und dessen Laufzeitumgebung mit PHP 8.5.12 ist noch nicht erschienen. Sobald sie verfügbar ist, bauen wir das betroffene Projekt automatisch neu, prüfen die PHP-Version und schalten es wieder frei. Bis dahin bleibt es zum Schutz pausiert; Daten und Dateien sind davon nicht betroffen.

Die PHP-Entwickler haben die Korrekturen veröffentlicht (PHP 8.5.12, 8.4.27 und 8.2.35). Unsere Build-Umgebung nutzt die offiziellen Container-Images, die gerade daraus gebaut werden. Sobald die gepatchte Version verfügbar ist, bauen wir das betroffene Projekt neu, prüfen die PHP-Version und schalten es wieder frei.

Betroffen ist ein PHP-Projekt in CitexNode Deploy. Wir haben es zum Schutz vorübergehend pausiert; es zeigt bis zum Update die Seite „Projekt pausiert“, Daten und Volumes bleiben unverändert. Die PHP-Entwickler veröffentlichen die Korrekturen heute bis 16:00 Uhr. Danach bauen wir das Projekt mit der gepatchten PHP-Version neu und schalten es wieder frei.

Für PHP wurden heute kritische Sicherheitslücken bekannt (CVE-2026-109618, CVE-2026-109619), über die Angreifer Code auf dem Server ausführen können. Es gibt bereits öffentliche Exploits. Wir prüfen, welche Kundenseiten in CitexNode Deploy PHP verwenden. Andere Projekte (Node.js, Python, statische Seiten) sind nicht betroffen.