Kritisches PHP-Sicherheitsupdate: Was das für Kimai-Nutzer bedeutet

Was ist passiert

Am 20. Oktober 2026 hat das PHP-Sicherheitsteam ein Notfall-Sicherheitsrelease angekündigt, das zwei kritische Schwachstellen in PHP selbst behebt, beide mit 9,2 von 10 Punkten bewertet. Das Release ist für den 21. Oktober 2026 um 14:00 Uhr UTC geplant.

Die Schwachstellen liegen nicht im Code von Kimai. Sie stecken in der PHP-Laufzeitumgebung, daher ist potenziell jede PHP-Anwendung weltweit betroffen. Ein Update von Kimai allein behebt das Problem nicht: PHP selbst muss auf jedem Server aktualisiert werden, auf dem es läuft.

Was wir tun

Wir verfolgen die Lage seit dem Abend des 20. Oktober genau und haben in unserer gesamten Infrastruktur Vorkehrungen getroffen. Unser Team steht bereit und spielt den offiziellen PHP-Fix ein, sobald er veröffentlicht ist. Wir aktualisieren diesen Beitrag, sobald es Neuigkeiten gibt.

Wichtig für Kimai Cloud Kunden

Sie müssen nichts tun, um den Fix zu erhalten. Wir aktualisieren alle Kimai Cloud Server direkt nach Veröffentlichung des PHP-Sicherheitsreleases.

Im Laufe des Tages kann es zu kurzen Unterbrechungen oder vereinzelten Fehlern kommen, während wir zusätzliche Sicherheitsmaßnahmen umsetzen und die Updates installieren. Wir bitten die Unannehmlichkeiten zu entschuldigen. Die Sicherheit unserer Plattform hat für uns oberste Priorität, daher können wir diesmal nicht auf ein geplantes Wartungsfenster warten.

Falls etwas nicht wie erwartet funktioniert, kontaktieren Sie uns unter support@kimai.org.

Selbst gehostetes Kimai mit Docker

Die PHP-Laufzeitumgebung ist Teil unseres Docker-Images. Sobald PHP den Fix veröffentlicht, stellen wir aktualisierte Kimai-Images bereit, und Sie können Ihre Installation aktualisieren, indem Sie das neue Image herunterladen. Den genauen Image-Tag veröffentlichen wir in https://github.com/kimai/kimai/pull/6262, sobald er verfügbar ist.