Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine offizielle Cybersicherheitswarnung der Stufe „3 / Orange“ bezüglich zwei kritischer Zero-Day-Schwachstellen im Kern der Programmiersprache PHP herausgegeben (bekannt als "PHP2Shell", CVE-2026-109618 und CVE-2026-109619). Da diese Lücken eine Remote Code Execution (RCE) ohne Authentifizierung ermöglichen und das BSI vor einer kurzfristigen, KI-gestützten Ausnutzung warnt, möchten wir wie folgt Stellung beziehen:
Die gesamte Produktpalette der Nettropolis AG verzichtet auf die Verwendung von PHP und ist somit von CVE-2026-109618 (9.2) + CVE-2026-109619 (9.2) direkt nicht betroffen!
Wir empfehlen Ihnen zu überprüfen, ob PHP-Anwendung von Drittanbietern in Ihrem Netzwerk in Betrieb sind und ggf. die offengelegte Sicherheitslücke zu schließen. Ansonsten können Angreifer durch die offen gelegte Sicherheitslücke auch in Bereiche vordringen, in denen unsere Anwendungen laufen. Dies kann z.B. notwendigerweise installierte Fremdsoftware, z.B. CTI-Anbindungen, betreffen.
Gleiches ist anzunehmen im Bereich von Schnittstellen, welche mit Systemen interagieren die auf Basis von PHP arbeiten. Diese Anwendungen zu identifizieren und beurteilen liegt in der Verantwortung der eigenen IT-Fachabteilung. Die Bewertung kann technisch nicht durch die Nettropolis AG erbracht werden.
Die Verantwortung für den Betrieb der durch uns genutzten Serversysteme obliegt der IT-Fachabteilung des jeweiligen Kunden. Dementsprechend hat die IT-Fachabteilung Kenntnis davon, ob auf einem der Server-Systeme eine vulnerable Version von PHP zur Ausführung kommt. Maßnahmen gegen vulnerable Versionen sind durch die IT-Fachabteilung zu ergreifen.
Für weitere Informationen stehen wir Ihnen gerne zur Verfügung.
