ALL-INKL-Update: PHP-Patches laufen, Dienste noch eingeschränkt
Update vom 21. Oktober 2026, ca. 22:20 Uhr
Bei der größeren Störung bei ALL-INKL.COM gibt es inzwischen deutlich mehr Klarheit.
Während am Nachmittag zunächst nur die zeitliche Nähe zu den kritischen PHP-Sicherheitslücken auffällig war, hat ALL-INKL.COM inzwischen bestätigt, dass tatsächlich zusätzliche Schutzmaßnahmen wegen genau dieser Schwachstellen aktiviert wurden.
Damit ist zumindest die wichtigste Frage beantwortet: Die heutigen Einschränkungen bei ALL-INKL.COM hängen tatsächlich mit den kritischen PHP-Lücken zusammen.
Ganz abgeschlossen sind die Arbeiten allerdings noch nicht.
ALL-INKL bestätigt die Ursache
In einer inzwischen veröffentlichten Kundeninformation erklärt ALL-INKL.COM, dass aufgrund der beiden kritischen PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619 vorsorglich zusätzliche Sicherheitsmaßnahmen aktiviert wurden.
Dabei wurden auch verschiedene Funktionen und Dienste vorübergehend eingeschränkt.
Betroffen waren unter anderem:
KAS
MembersArea
die ALL-INKL-Webseite
Webmail
WebFTP
bestimmte PHP-Funktionen
ALL-INKL.COM begründet diese Maßnahmen mit dem Schutz der eigenen Infrastruktur und insbesondere der Kundendaten.
Damit bestätigt sich im Nachhinein ziemlich genau das Bild, das sich bereits am Nachmittag abgezeichnet hatte.
PHP-Updates sind inzwischen verfügbar
Die entscheidenden Sicherheitsupdates für PHP wurden mittlerweile veröffentlicht.
Betroffen sind die PHP-Zweige 8.2 bis 8.5. Die abgesicherten Versionen lauten unter anderem:
PHP 8.2.35
PHP 8.3.36
PHP 8.4.27
PHP 8.5.12
Die beiden Sicherheitslücken können nach Angaben des PHP-Projekts unter bestimmten Voraussetzungen eine nicht authentifizierte Ausführung von Code aus der Ferne ermöglichen.
Noch wichtiger: Das PHP-Team weist ausdrücklich darauf hin, dass es keine vollständige alternative Absicherung gibt. Das eigentliche Update ist daher die entscheidende Maßnahme.
Das erklärt auch, warum Hostinganbieter derzeit so viel Aufwand betreiben.
Erste ALL-INKL-Server sind bereits aktualisiert
Inzwischen gibt es auch ein weiteres Update zum Fortschritt der Arbeiten.
Ein Nutzer veröffentlichte am Abend eine Antwort des ALL-INKL-Supports. Demnach wurden erste Server und PHP-Versionen bereits erfolgreich aktualisiert.
Das Ziel sei, den Großteil der Arbeiten bis zum Morgen des 22. Oktober 2026 abzuschließen.
Das ist für mich aktuell die wichtigste neue Information.
Wir reden also nicht mehr darüber, ob ALL-INKL.COM überhaupt patcht.
Die Aktualisierungen laufen bereits.
Die eigentliche Frage lautet jetzt nur noch, wann sämtliche Kundenserver und PHP-Versionen durch sind.
Dienste sollen schrittweise zurückkommen
ALL-INKL.COM hatte bereits angekündigt, Dienste nicht einfach auf einen Schlag wieder einzuschalten.
Stattdessen sollen aktualisierte und überprüfte Systeme schrittweise wieder freigegeben werden.
Als einer der ersten Dienste wurde dabei das KAS genannt.
Das Vorgehen ergibt aus technischer Sicht Sinn.
Es wäre wenig gewonnen, sämtliche Verwaltungsdienste schnell wieder online zu stellen, während im Hintergrund noch geprüft wird, ob alle betroffenen Systeme tatsächlich sauber aktualisiert wurden.
Nach so einer Sicherheitslage ist kontrolliertes Hochfahren meistens die angenehmere Variante als später ein zweiter ungeplanter Ausfall.
KAS scheint bei einigen Nutzern bereits zurückzukommen
Am späten Abend gibt es erste Nutzerberichte, nach denen das KAS teilweise wieder erreichbar sein soll.
Das bedeutet allerdings noch nicht automatisch, dass damit auch sämtliche Kundenserver vollständig aktualisiert sind.
Einzelne Nutzer berichten weiterhin davon, dass bei ihren Accounts noch ältere PHP-Versionen angezeigt werden oder Änderungen der PHP-Version längere Zeit in Bearbeitung bleiben.
Diese Angaben stammen aus Nutzerberichten und sind deshalb kein offizieller Status für die gesamte ALL-INKL-Infrastruktur.
Bei einer Plattform dieser Größe ist ohnehin davon auszugehen, dass die Updates nicht auf jedem Server exakt gleichzeitig abgeschlossen werden.
Der entscheidende Punkt: Hosting läuft nicht überall gleich
Das erklärt auch die etwas merkwürdige Situation während des Tages.
Teilweise waren Webseiten weiterhin erreichbar, während KAS, Webmail oder die ALL-INKL-Webseite selbst nicht funktionierten.
Das sah zunächst nach einem klassischen Ausfall aus.
Tatsächlich wurden aber offenbar bewusst einzelne Dienste und Funktionen eingeschränkt, während andere Bereiche weiterliefen.
Im Nachhinein ergibt das deutlich mehr Sinn.
Für Kunden war das ohne Information natürlich trotzdem schwer einzuschätzen.
Ein Timeout sieht schließlich erst einmal einfach wie ein kaputter Server aus.
Die Kommunikation kam etwas spät
Genau das war auch einer der größten Kritikpunkte in den Nutzerkommentaren.
Mehrere Kunden berichteten, dass sie zunächst keine Information darüber hatten, warum KAS oder Webmail plötzlich nicht mehr funktionierten.
Erst später folgten eine Kundeninformation und gegen 17:50 Uhr auch eine öffentliche Sicherheitsinformation auf Instagram. Darin bestätigte ALL-INKL.COM die kritischen PHP-Lücken und kündigte die schrittweise Verteilung der Patches an.
Ich kann den Ärger darüber durchaus verstehen.
Wenn eine Verwaltung plötzlich nicht mehr erreichbar ist und man gleichzeitig weiß, dass gerade eine kritische Sicherheitslücke durchs Internet läuft, möchte man als Betreiber einer Webseite zumindest wissen, was Sache ist.
Auf der anderen Seite muss man ALL-INKL.COM zugutehalten, dass offenbar sehr schnell technische Schutzmaßnahmen umgesetzt wurden.
In so einer Situation ist mir ein vorsorglich abgeschaltetes WebFTP am Ende immer noch lieber als ein kompromittierter Server.
Ältere PHP-Versionen bleiben ein Problem
Ein weiterer wichtiger Punkt betrifft veraltete PHP-Versionen.
Für PHP-Versionen außerhalb des offiziellen Supports werden die aktuellen Sicherheitskorrekturen voraussichtlich nicht einfach vom PHP-Projekt nachgereicht.
ALL-INKL.COM arbeitet nach eigenen Angaben deshalb an einer alternativen Absicherung für solche Umgebungen.
Ziel ist offenbar, diese älteren Systeme weiterhin schützen zu können, ohne bestimmte Funktionen dauerhaft abschalten zu müssen.
Langfristig bleibt aber die gleiche Empfehlung bestehen:
Wer noch eine sehr alte PHP-Version verwendet, sollte die Gelegenheit nutzen und über ein Update nachdenken.
Ein alter PHP-Zweig wird nicht dadurch moderner, dass man ihn lange genug laufen lässt.
Was ALL-INKL-Kunden jetzt machen sollten
Solange die Arbeiten noch laufen, würde ich momentan nicht hektisch an den eigenen Hosting-Einstellungen herumändern.
Sobald das KAS wieder zuverlässig funktioniert, lohnt sich dagegen ein genauer Blick.
Interessant sind vor allem drei Dinge:
Welche PHP-Version läuft auf der eigenen Domain?
Ist bereits eine der aktualisierten Versionen verfügbar?
Funktionieren Webseite, CMS, Plugins und Erweiterungen nach dem Wechsel weiterhin sauber?
Wer noch PHP 8.2 einsetzt, sollte außerdem im Hinterkopf behalten, dass dieser Versionszweig Ende 2026 sein reguläres Supportende erreicht.
Mittelfristig sollte also ohnehin eine Migration auf eine neuere unterstützte Version eingeplant werden.
Auch WordPress, TYPO3 und Co. nicht vergessen
Wichtig ist außerdem die Unterscheidung zwischen PHP und der darauf laufenden Anwendung.
Wer WordPress, TYPO3, Joomla, Nextcloud oder eine andere PHP-Anwendung betreibt, muss wegen dieser konkreten Schwachstellen nicht automatisch das komplette CMS austauschen.
Die beiden aktuellen Sicherheitslücken liegen in PHP selbst.
Der entscheidende Patch muss daher zunächst auf der PHP-Ebene erfolgen.
Trotzdem ist es natürlich sinnvoll, auch das CMS sowie Plugins und Erweiterungen aktuell zu halten.
Sicherheit funktioniert schließlich selten besonders gut nach dem Prinzip: „Den Rest mache ich irgendwann.“
Mein Eindruck nach einigen Stunden
Am Nachmittag war noch nicht klar, ob die ALL-INKL-Störung tatsächlich mit den kritischen PHP-Lücken zusammenhing.
Inzwischen wissen wir: Ja, das war der Grund.
ALL-INKL.COM hat bewusst Funktionen und eigene Dienste eingeschränkt, um die Infrastruktur während der PHP-Sicherheitslage abzusichern.
Die ersten Server wurden inzwischen aktualisiert.
Der Großteil der Arbeiten soll nach Angaben des Supports bis Donnerstagmorgen, den 22. Oktober 2026, abgeschlossen sein.
Damit sieht die Situation inzwischen wesentlich klarer aus als noch einige Stunden zuvor.
Was aus meiner Sicht weiterhin besser hätte laufen können, ist die Kommunikation.
Bei einem solchen Eingriff wäre eine frühzeitige Statusseite oder kurze Kundenmail hilfreich gewesen.
Technisch kann ich das vorsichtige Vorgehen dagegen gut nachvollziehen.
Bei zwei PHP-Lücken dieser Größenordnung ist mir ein paar Stunden eingeschränktes KAS ehrlich gesagt lieber als die spätere Frage, wer eigentlich alles Zugriff auf den Server hatte.
Fazit
Die größere Störung bei ALL-INKL.COM am 21. Oktober 2026 war kein gewöhnlicher technischer Ausfall.
Der Hoster hat aufgrund der kritischen PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 vorsorglich Funktionen eingeschränkt und mehrere eigene Dienste vorübergehend offline genommen.
Die Sicherheitsupdates für PHP sind inzwischen verfügbar und ALL-INKL.COM hat mit deren Verteilung begonnen.
Erste Server und PHP-Versionen wurden bereits erfolgreich aktualisiert.
Der Großteil der Arbeiten soll nach derzeitigem Stand bis zum Morgen des 22. Oktober abgeschlossen werden.
Einzelne Dienste scheinen bereits wieder zurückzukommen, trotzdem kann sich der Status je nach Server und Kundenaccount unterscheiden.
Wer seine Webseite bei ALL-INKL.COM betreibt, sollte daher vor allem eines tun:
Nach Abschluss der Arbeiten die verwendete PHP-Version kontrollieren und anschließend prüfen, ob die eigene Webseite weiterhin sauber funktioniert.
Quellen und weiterführende Informationen
Reddit – Diskussion zur ALL-INKL.COM-Störung:
https://www.reddit.com/r/de_EDV/comments/1xbozdr/allinklcom_down/
PHP – offizielle Webseite und Security Releases:
https://www.php.net/
ALL-INKL.COM:
https://all-inkl.com/
ALL-INKL.COM auf Instagram:
https://www.instagram.com/allinklcom/
Mein Hintergrundartikel zu den kritischen PHP-Schwachstellen:
https://seiboldsoft.com/php-kuendigt-kritisches-sicherheitsupdate-fuer-zwei-schwachstellen-an/