Kritische PHP-Sicherheitslücke: Systeme bitte überprüfen

Mit CVE-2026-109618 und CVE-2026-109619 wurden zwei kritische Schwachstellen in PHP veröffentlicht. Beide sind mit CVSS 9,2 bewertet und können eine Remote-Code-Ausführung ohne Authentifizierung ermöglichen. Für die unterstützten PHP-8.x-Versionen gibt es bereits korrigierte Versionen:

PHP-Version	Korrigierte Version
8.2	8.2.35
8.3	8.3.36
8.4	8.4.27
8.5	8.5.12

Unsere Empfehlung: Vier Schritte, die Sie jetzt gehen sollten

• Prüfen Sie, ob PHP auf Ihren Servern oder in Webanwendungen eingesetzt wird.
• Priorisieren Sie Systeme, die aus dem Internet erreichbar sind.
• Spielen Sie die verfügbaren Sicherheitsupdates zeitnah ein.
• Prüfen Sie auch Anwendungen von Drittherstellern, die PHP als Abhängigkeit verwenden könnten.

Bitte beachten Sie: Eine installierte PHP-Komponente ist nicht immer offensichtlich einer Anwendung zugeordnet. Auch Produkte von Drittanbietern können PHP intern verwenden.

ELO-Standardprodukte sind nicht betroffen

Der ELO-Support hat uns bestätigt, dass die Standardprodukte von ELO Digital Office von dieser Sicherheitslücke nicht betroffen sind. Dazu gehören unter anderem:

• ELO ECM Suite
• ELO Indexserver
• ELO Clients
• ELO flows
• ELO iSearch

Die ELO-Serverkomponenten basieren auf Java- und Web-Technologien, unter anderem Apache Tomcat. Sie enthalten standardmäßig weder PHP-Quellcode noch eine PHP-Laufzeitumgebung. Das gilt auch für die ELO Business Solutions mit HR Portal.

Betreiben Sie in Ihrer Umgebung eigenständige Webanwendungen, Drittsysteme oder eigene Skripte auf PHP-Basis, zum Beispiel Webportale oder Anbindungen an ELO über Web-Schnittstellen, prüfen Sie dort die PHP-Installation gemäß den Herstellerempfehlungen und aktualisieren Sie diese zeitnah.

Wir prüfen Ihre Systeme gerne mit Ihnen

Bei der technischen Prüfung und Bewertung Ihrer Systeme unterstützen wir Sie gerne. Schreiben Sie uns an support@toens.de oder rufen Sie uns an unter 0631 34155-0.