PHP2Shell (CVE-2026-109618, CVE-2026-109619) – Kundenstatement

Sicherheitshinweis: PHP2Shell (CVE-2026-109618 und CVE-2026-109619)

Stand: 22.10.2026

Zusammenfassung

  • Die Produkte der TKI verwenden kein PHP. Sie sind von PHP2Shell nicht betroffen.
  • Das einzige betroffene System war eine alte Instanz von Autodesk Infrastructure Map Server (AIMS). Ein Teil ihres Web-Frontends lief mit PHP. Wir haben dieses Frontend am 22.10.2026 vollständig abgeschaltet.
  • Wir haben einen vollständigen Scan aller von uns betriebenen Server ausgeführt. Auf keinem Server ist PHP installiert.
  • Die Zugriffsprotokolle des Systems reichen bis 2024 zurück. Sie enthalten keinen einzigen Aufruf der PHP-Komponenten. Wir haben daher keinen Hinweis auf eine Ausnutzung der Sicherheitslücken.

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei kritische Schwachstellen in der Skriptsprache PHP. Das PHP-Projekt hat sie am 21.10.2026 veröffentlicht und gleichzeitig behoben.

  CVE-2026-109618 CVE-2026-109619
Art Speicherbeschädigung nach einem Out-of-Memory-Abbruch veralteter globaler Zustand (Use-after-free)
Folge Ausführung von Code mit den Rechten des Web-Servers Ausführung von Code; Auslesen von Speicher des PHP-Prozesses
Anmeldung nötig nein nein
Bewertung CVSS v4.0: 9,2 (kritisch) CVSS v4.0: 9,2 (kritisch)

Die Fehler liegen in PHP selbst, nicht in einer bestimmten Anwendung. Betroffen ist jede PHP-Installation, die Web-Anfragen bedient, unter anderem PHP-FPM, Apache mit mod_php und php-cgi. Über CVE-2026-109619 kann ein Angreifer außerdem Speicherinhalte des PHP-Prozesses lesen, zum Beispiel Sitzungsdaten oder Zugangsdaten anderer Anfragen.

Behobene Versionen: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es nur Quell-Backports (7.4, 8.0, 8.1). Laut PHP-Projekt ist nur das Update eine vollständige Abhilfe; Konfigurationsänderungen schließen nur einzelne Angriffswege.

Was bedeutet das für die Produkte der TKI?

Unsere Produkte, unter anderem NET, NET Cloud, NET Mobile und NET Scan, enthalten kein PHP und benötigen kein PHP. Sie sind nicht betroffen. Sie müssen an diesen Produkten nichts tun.

Was war betroffen und was haben wir getan?

Wir haben noch eine alte Instanz von Autodesk Infrastructure Map Server (AIMS) betrieben, die von außen erreichbar war. Das Backend dieser Instanz lief mit ASP.NET, ein Teil des Web-Frontends mit PHP. Dieser PHP-Teil war von PHP2Shell betroffen.

Wir haben folgende Maßnahmen ausgeführt:

  1. Wir haben das Web-Frontend der AIMS-Instanz am 22.10.2026 vollständig abgeschaltet.
  2. Wir haben einen vollständigen Scan aller von uns betriebenen Server ausgeführt. Auf keinem Server ist PHP installiert.
  3. Wir haben die Zugriffsprotokolle des Systems bis 2024 zurück ausgewertet. Seit 2024 gab es keinen Aufruf der PHP-Komponenten. Ein Angriff über PHP2Shell setzt einen solchen Aufruf voraus.

Unsere Unternehmenswebsite betreibt ein externer Dienstleister auf einer Infrastruktur, die von unseren Systemen vollständig getrennt ist. Der Dienstleister hat die Sicherheitsupdates für PHP eingespielt.

Was müssen Sie tun?

  • Als Anwender unserer Produkte: nichts.
  • Wenn Sie selbst Autodesk Infrastructure Map Server oder MapGuide betreiben: Diese Produkte liefern PHP für ihre Web-Komponenten mit. Autodesk entwickelt AIMS nicht mehr weiter, darum ist kein Update vom Hersteller zu erwarten. Prüfen Sie, ob auf Ihrem Server PHP installiert ist und Web-Anfragen bedient. Wenn ja, schalten Sie die PHP-Komponenten ab oder trennen Sie den Server vom Internet. Gern unterstützen wir Sie dabei.
  • Für andere PHP-Anwendungen in Ihrem Haus: Aktualisieren Sie PHP auf eine der oben genannten Versionen und starten Sie alle PHP-Prozesse neu.

Kontakt

Bei Fragen erreichen Sie unseren Support unter support@tki-chemnitz.de.

Quellen