KRITISCHE SICHERHEITSLÜCKEN IN PHP - SOFORT PATCHEN!
Am Morgen des gestrigen Tages wurden zwei kritische Sicherheitslücken im Interpreter der Programmiersprache PHP öffentlich bekannt. Diese können eine Ausführung von Schadcode ohne vorherige Authentifizierung ermöglichen. Die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 (bzw. PHP2Shell) erhielten einen Score von 9,2 von möglichen 10 und wurden damit als kritisch eingestuft. Sie betreffen alle Versionen ab PHP 5 (seit 2004).
Um das Risiko zu minimieren hatte sich das SCC entschieden verschiedene betroffene Dienste gestern bis zum Erscheinen und Implementieren der Patches temporär offline zu nehmen.
Die zentralen Systeme wurden unmittelbar nach Erscheinen der Patches auf aktuellen Patchstand gebracht und sind wieder online.
Die Verantwortlichen der Bereiche wurden informiert.
Um sicherzustellen, dass alle Systemverantwortlichen die Warnung erhalten und umgehend handeln, wird diese auf diesem Wege zusätzlich kommuniziert.
BETROFFENE SYSTEM MÜSSEN UMGEHEND AKTUALISIERT WERDEN!!! Mit Angriffen auf ungepachte System muss gerechnet werden.
Die Zentralstelle für Informationssicherheit und IT-Sicherheit der Thüringer Hochschulen empfiehlt:
Sicherheitsupdates kurzfristig einspielen: Auf eine der genannten korrigierten Versionen (siehe PHP) oder einen vom jeweiligen Anbieter nachweislich bereinigten Paketstand aktualisieren. Anschließend die betroffenen PHP-Prozesse neu starten und den tatsächlich verwendeten Versions- beziehungsweise Paketstand sowie die Funktionsfähigkeit prüfen.
Nicht kurzfristig patchbare Dienste absichern: Gemeinsam mit den zuständigen Anwendungs- und Betriebsverantwortlichen über Isolation oder eine vorübergehende Abschaltung entscheiden. Zugriffsbeschränkungen können die Exposition reduzieren, ersetzen jedoch keine Korrektur. Für einen vorübergehenden Weiterbetrieb empfehlen wir, verbleibende Risiken, Schutzmaßnahmen, Verantwortlichkeiten und eine Frist zur Behebung zu dokumentieren.
Veraltete PHP-Versionen planmäßig ablösen: Verfügbare Backports können eine kurzfristige Behebung ermöglichen, ersetzen aber keine langfristige Wartungsstrategie. Für erforderliche Migrationen empfehlen wir eine unterstützte, mit der Anwendung kompatible Zielversion (vorzugsweise PHP 8.4 oder 8.5). PHP 8.2 sollte nur als Zwischenlösung dienen, da dessen regulärer Sicherheitssupport bereits am 31. Dezember 2026 endet.
