PHP2Shell: Müssen fidas-Nutzer jetzt handeln?

Nein. Die fidas Produkte sind von den aktuell bekannten PHP2Shell-Schwachstellen nicht betroffen. Unsere Anwendungen basieren auf Java und verwenden kein PHP. Für die Nutzung von fidas besteht deshalb im Zusammenhang mit PHP2Shell kein Handlungsbedarf.

Für Ihre übrige IT-Landschaft empfehlen wir dagegen, zu prüfen, ob PHP-basierte Systeme im Einsatz sind und ob die erforderlichen Sicherheitsupdates installiert wurden.

Was steckt hinter PHP2Shell?

Unter dem Namen PHP2Shell werden zwei kritische Sicherheitslücken in der Programmiersprache PHP zusammengefasst: CVE-2026-109618 und CVE-2026-109619. Beide Schwachstellen ermöglichen unter bestimmten Bedingungen die Ausführung von Schadcode auf betroffenen Systemen, ohne dass sich Angreifer zuvor authentifizieren müssen.

Die Schwachstellen betreffen die PHP-Laufzeitumgebung und damit nicht nur einzelne Anwendungen, sondern grundsätzlich auch Webanwendungen, die auf verwundbaren PHP-Versionen aufbauen. Betroffen sein können daher auch Webanwendungen und Content-Management-Systeme, die auf einer verwundbaren PHP-Laufzeitumgebung betrieben werden, beispielsweise WordPress, Drupal oder Joomla.

Inzwischen wurden Sicherheitsupdates veröffentlicht. Für die Versionszweige 8.2, 8.3, 8.4 und 8.5 sind die Korrekturen in den Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 enthalten. Für PHP 8.1 und ältere Versionszweige stellt das PHP-Projekt keine regulären Releases mit diesen Korrekturen bereit. Je nach Betriebssystem oder Supportanbieter können jedoch angepasste Sicherheitsupdates verfügbar sein.

Warum ist PHP2Shell für Unternehmen und Kommunen relevant?

Kommunen, Banken, Sparkassen und Beteiligungsgesellschaften verarbeiten sensible Finanz- und Unternehmensdaten. Sicherheitslücken in der eingesetzten Software können deshalb auch Auswirkungen auf den Schutz dieser Daten haben.

PHP kommt nicht nur in individuell entwickelten Anwendungen zum Einsatz. Die Technologie kann beispielsweise auch hinter Unternehmenswebsites, Content-Management-Systemen, Kundenportalen oder Fachanwendungen externer Dienstleister stehen. Solche Systeme werden bei einer internen Bestandsaufnahme leicht übersehen.

Unternehmen und Kommunen sollten deshalb nicht nur ihre eigene Software prüfen, sondern auch die Systeme von Dienstleistern und Hosting-Anbietern berücksichtigen.

Die beschriebenen PHP2Shell-Schwachstellen sind daher auf fidas nicht anwendbar. Für den Betrieb der fidas-Produkte besteht aufgrund dieser Sicherheitslücken kein Handlungsbedarf. Der Betrieb kann unverändert fortgesetzt werden.

Unabhängig von diesem konkreten Anlass beobachten wir sicherheitsrelevante Meldungen kontinuierlich und prüfen sie auf mögliche Auswirkungen auf unsere Produkte. Falls sich daraus Handlungsbedarf für AnwenderInnen ergibt, informieren wir sie über die erforderlichen Maßnahmen.

Was sollten Sie jetzt tun?

Für Ihre übrige IT-Landschaft empfehlen wir vier Schritte:

• PHP-basierte Systeme erfassen: Prüfen Sie, welche Ihrer Anwendungen PHP verwenden. Berücksichtigen Sie neben internen Systemen auch Websites, Portale und Anwendungen externer Anbieter.

• Internet-erreichbare Systeme zuerst prüfen: Anwendungen, die von außen erreichbar sind, sollten bei der Sicherheitsprüfung priorisiert werden.

• Updates kontrollieren: Stellen Sie sicher, dass für betroffene PHP-Installationen die verfügbaren Sicherheitsupdates installiert wurden. Bei nicht mehr unterstützten Versionen müssen alternative Maßnahmen geprüft werden.

• Dienstleister kontaktieren: Fragen Sie Ihre Software- und Hosting-Anbieter, ob ihre Systeme betroffen sind und welche Maßnahmen sie ergriffen haben.

Fragen zur Sicherheit von fidas?

Bei Fragen zur Sicherheit unserer Produkte erreichen Sie uns unter projekte@fidas.de. Über unseren Newsletter informieren wir Sie außerdem über Neuigkeiten rund um fidas.