PHP2Shell: Was die kritische PHP-Lücke für EP-Kunden bedeutet
Seit dem 20. Oktober 2026 beschäftigt eine kritische Sicherheitslücke die IT-Welt: Unter dem Namen „PHP2Shell” wurden zwei Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619 bekannt. Beide wurden mit einem Schweregrad von 9,2 auf der zehnstufigen CVSS-v4.0-Skala bewertet.
Über diese Lücken lässt sich unter Umständen Schadcode ohne vorherige Authentifizierung aus der Ferne ausführen. Praktisch jede PHP-Website ist betroffen: WordPress, WooCommerce, Drupal, Joomla, Magento – laut PHP-Team alle PHP-Installationen, die Web-Anfragen bedienen.
Das ist eine der schwerwiegendsten PHP-Sicherheitslücken seit Jahren. Entsprechend besorgt sind viele Anwender. Für EP Enterprise Portal-Kunden geben wir mit Hinblick auf die Sicherheit der Systeme eine klare Einschätzung.
Sicherheit des EP
Das EP Enterprise Portal ist nicht betroffen
Das EP Enterprise Portal basiert auf der Programmiersprache JAVA. PHP wird für den Betrieb des EP weder benötigt noch eingesetzt.
Die PHP2Shell-Schwachstellen haben daher keinen direkten Einfluss auf das EP selbst.
Das gilt unabhängig davon, welches Hosting-Modell ein Kunde gewählt hat: Ob eigener Cloud-Server, On-Premise oder Managed Hosting durch uns.
PHP2Shell ist ein gutes Beispiel dafür, wie die Wahl der Laufzeitumgebung die Angriffsfläche eines Systems grundlegend beeinflusst.
PHP ist eine der am weitesten verbreiteten Web-Technologien weltweit – und genau deshalb ein attraktives Ziel für Angreifer. „PHP ist allgegenwärtig” – was für seine Verbreitung gilt, gilt leider auch für seine Angriffsfläche.
Das EP Enterprise Portal setzt bewusst auf Java – eine Laufzeitumgebung mit einem anderen Sicherheitsmodell:
- Aktiver Patch-Zyklus: Wir halten das EP konsequent auf einer aktuellen, gepflegten Version in Bezug auf die eingesetzten Technologien.
- Separiertes Laufzeitmodell: Java-Anwendungen laufen in einer isolierten JVM. Die Angriffsfläche unterscheidet sich strukturell von PHP-Webservern, die direkt Web-Anfragen in eine Skriptsprache interpretieren.
- Keine globale Abhängigkeit: Sicherheitslücken wie PHP2Shell betreffen alle PHP-Installationen weltweit gleichzeitig. Eine Java-basierte Anwendung ist von solchen PHP-spezifischen Schwachstellen grundsätzlich nicht betroffen.
Das bedeutet nicht, dass Java-Systeme immun gegen Sicherheitslücken sind – keine Software ist das. Es bedeutet, dass das EP nicht Teil der riesigen Angriffsfläche ist, die PHP-basierte Systeme in diesem Fall darstellen.
Sicherheitshinweis
Was Kunden trotzdem prüfen sollten
Auf vielen Servern, auf denen das EP betrieben wird, ist PHP möglicherweise trotzdem installiert – nicht für das EP selbst, sondern für andere Anwendungen: ein WordPress-Blog, ein Shopsystem, ein Monitoring-Tool oder ähnliche Sekundärsysteme.
Betroffen sind alle PHP-Installationen, die Webanfragen verarbeiten, einschließlich PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed.
Unsere Empfehlung: Prüfen Sie, ob auf Ihrem Server PHP installiert ist – auch wenn Sie es nicht aktiv für das EP nutzen. Der folgende Befehl gibt Aufschluss:
Wenn PHP installiert ist und eine Version unterhalb von 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 läuft, sollte das Update unverzüglich eingespielt werden. Die behobenen Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Das Update liegt in der Verantwortung des jeweiligen Serverbetreibers.
Für PHP 8.1, das seit dem 31. Dezember 2025 End of Life ist, stellt das PHP-Team kein offizielles Update bereit. Wer noch PHP 8.1 oder ältere Versionen betreibt, sollte dringend auf eine unterstützte Version aktualisieren – unabhängig von dieser Lücke.
