In dieser Woche wurden zwei Sicherheitslücken in der Programmiersprache PHP bekannt (CVE-2026-109618 und CVE-2026-109619), die unter dem Namen „PHP2Shell“ die Runde machten. PHP ist eine der am weitesten verbreiteten Grundlagen für Webseiten, auch für viele Webseiten unserer Kundinnen und Kunden und für KuferWEB. Heute können wir Entwarnung geben: Die Absicherung ist abgeschlossen.
Das Wichtigste in Kürze
- Die Lücken steckten in PHP selbst, nicht in unseren Produkten. Die Behebung lag bei den Betreibern der Server.
- Die Server wurden abgesichert. Unsere Hosting-Partner haben die Sicherheitsupdates eingespielt und uns dies bestätigt. Das gilt auch für ältere PHP-Versionen, für die es kein offizielles Update gab. Wir haben die Server zusätzlich selbst kontrolliert.
- Es gab keine Hinweise auf Angriffe. Uns lagen und liegen keine Hinweise vor, dass die Lücken ausgenutzt wurden.
- Für Sie ist nichts zu tun, sofern Ihre Webseite über Kufer gehostet wird. Kundinnen und Kunden, bei denen im Einzelfall noch Abstimmungsbedarf bestand, haben wir direkt kontaktiert.
Was wir unternommen haben
Direkt nach Bekanntwerden der Lücken haben unsere Hosting-Partner die Sicherheitsupdates auf ihren Servern eingespielt. Als zusätzliche Vorsichtsmaßnahme wurden Upload-Funktionen vorübergehend eingeschränkt, damit über diesen Weg kein Schadcode auf die Server gelangen konnte. Nach Abschluss der Updates wurden diese Funktionen wieder freigegeben. Zusätzlich zur Bestätigung unserer Hosting-Partner haben wir die Server selbst kontrolliert.
Wenn Ihre Webseite nicht über Kufer gehostet wird
Betreiben Sie Ihre Webseite oder KuferWEB auf eigenen Servern oder über einen anderen Hoster, liegt die Absicherung bei Ihrer IT bzw. Ihrem Hoster. Bitte vergewissern Sie sich, dass die Sicherheitsupdates dort eingespielt wurden. Falls Sie das noch nicht getan haben, wenden Sie sich bitte umgehend an Ihre IT oder Ihren Hoster. Offiziell abgesichert sind die PHP-Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Viele Linux-Distributionen haben die Korrekturen außerdem in eigene Systemupdates übernommen; die Versionsnummer weicht dabei von den offiziellen PHP-Versionen ab. Ältere Versionen ohne Update müssen gesondert abgesichert werden, z. B. über die OS Updates.
Wie es weitergeht
Auch nach Abschluss der Updates beobachten wir die Server gemeinsam mit unseren Hosting-Partnern weiter auf mögliche Auffälligkeiten. Sollte sich daraus Handlungsbedarf für Sie ergeben, melden wir uns unaufgefordert bei Ihnen.
So können Sie uns unterstützen
Niemand kennt Ihre Webseite so gut wie Sie. Wenn Ihnen auf Ihrer Webseite oder in KuferWEB etwas merkwürdig vorkommt, etwa unbekannte Inhalte, ungewohntes Verhalten oder unerwartete Fehlermeldungen, schreiben Sie uns bitte umgehend an support@kufer.de.
Unser Tipp: Halten Sie Ihre Webseite aktuell
PHP2Shell hat gezeigt, wie schnell Sicherheitslücken heute entdeckt und ausgenutzt werden. Ältere Systeme, für die es keine regulären Sicherheitsupdates mehr gibt, sind dabei ein besonderes Risiko. Wir unterstützen Sie gern bei der Aktualisierung Ihrer Webseite und beraten Sie, welcher Weg für Sie am sinnvollsten ist. Schreiben Sie uns dazu an vertrieb@kufer.de.
Zusatzinformation zu KuferSQL
KuferSQL ist inklusive aller Zusatzmodule und Schnittstellen von der PHP-Lücke nicht betroffen.
Es besteht kein Handlungsbedarf. Die aktuell ausgenutzte Lücke steckt in der PHP-Laufzeit und betrifft ausschließlich Anwendungen, die als Web-App hinter einem PHP-fähigen Webserver laufen.
Danke für Ihre Geduld
Wir danken Ihnen herzlich für Ihr Verständnis und Ihr Vertrauen.
