Post-mortem: Reaktion auf die kritischen PHP-Sicherheitslücken im Oktober 2026

Am 21. Oktober 2026 hat das PHP-Projekt Patches für zwei kritische Sicherheitslücken veröffentlicht, über welche unter Umständen Remote Code Execution erlauben. Da die fynk App auf PHP läuft, haben wir unmittelbar nach der Ankündigung vorsorgliche Maßnahmen getroffen und die Produktion am Tag des Releases auf die korrigierte Version aktualisiert. Das Einspielen der Patches verlief wie geplant. Nach unserer Bewertung haben wir keine Hinweise auf Angriffsversuche gefunden. Dieser Beitrag dokumentiert die Maßnahmen, den Ablauf und den aktuellen Stand.

Sicherheitslücken

Das PHP-Sicherheitsteam hat das Release am 20. Oktober ohne technische Details angekündigt. Am 21. Oktober hat es korrigierte Versionen für alle unterstützten Zweige veröffentlicht (8.5.12, 8.4.27, 8.3.36 und 8.2.35), zusammen mit zwei Sicherheitshinweisen:

• CVE-2026-109618: Codeausführung aus der Ferne durch einen Speicherfehler bei der Verarbeitung von Datei-Uploads und deren Größenlimits.
• CVE-2026-109619: Codeausführung aus der Ferne durch globale Zustände, die zwischen Anfragen bestehen bleiben, wenn die Fortschrittsverfolgung für Uploads aktiv ist.

Beide Lücken lassen sich durch eine präparierte Anfrage an jeden Server auslösen, der Datei-Uploads über PHP annimmt. Eine Anmeldung ist dafür nicht erforderlich. Weitere technische Informationen zu beiden Lücken gibt es auf php2shell.com.

Maßnahmen

Vor dem Release. Nach der Ankündigung haben wir die Angriffsfläche reduziert, bevor Details öffentlich waren:

• Alle Systeme abgeschaltet, die für den Betrieb nicht erforderlich sind, darunter interne Testumgebungen und interne Tools, die nicht zur fynk App gehören.
• Eine Firewall-Regel aktiviert, die die Art von Anfragen, auf die beide Lücken angewiesen sind, blockiert, bevor sie die fynk App erreichen.
• Die PHP-Funktion deaktiviert, auf die CVE-2026-109619 zielt.
• Die fynk App kurz vor der Veröffentlichung der Sicherheitslücken und Korrekturen in den Wartungsmodus versetzt, wie früher am selben Tag angekündigt.

Nach dem Release. Wir haben die Produktion auf PHP 8.4.27 aktualisiert, die laufende Version geprüft und die fynk App wieder freigegeben. Die gesamte Ausfallzeit betrug etwa eine halbe Stunde.

Ablauf

Alle Zeiten in MESZ und ungefähr.

• 20. Oktober: Das PHP-Sicherheitsteam kündigt für den Folgetag ein kritisches Sicherheitsrelease an.
• 21. Oktober, gegen Mittag: Beginn der Abschaltung nicht benötigter Systeme.
• 21. Oktober, früher Nachmittag: Die Firewall-Regel ist aktiv. Wir kündigen ein Wartungsfenster für den Nachmittag an.
• 21. Oktober, gegen 15:00 Uhr: Die PHP-Funktion, auf die CVE-2026-109619 zielt, ist deaktiviert.
• 21. Oktober, gegen 15:50 Uhr: Die fynk App geht in den Wartungsmodus. Kurz darauf veröffentlicht PHP die Details zu den Sicherheitslücken und die korrigierten Versionen, das Update beginnt.
• 21. Oktober, gegen 16:20 Uhr: Unsere Produktionsumgebung läuft mit PHP 8.4.27, die fynk App ist wieder erreichbar.

Sicherheitsbefunde und Bewertung

Nach unserem aktuellen Wissensstand waren unsere Infrastruktur und unsere Systeme von diesen Sicherheitslücken nicht betroffen. Als zusätzliche Maßnahme haben wir die Firewall-Regel eingesetzt, bevor technische Details veröffentlicht wurden. Wir haben keine Hinweise auf Angriffsversuche gefunden und keine Hinweise darauf, dass auf Kundendaten zugegriffen wurde oder Daten abgeflossen sind.

Auftragsverarbeiter

Es liegen keine Hinweise vor, dass einer unserer Auftragsverarbeiter von diesen Sicherheitslücken betroffen war. Trotzdem verfolgen wir die Lage gemeinsam mit ihnen genau. Sollte sich das mit Auswirkungen auf Kundendaten ändern, informieren wir betroffene Kunden direkt.

Aktueller Stand und nächste Schritte

• Die fynk App und alle kundenseitigen Dienste laufen mit der korrigierten PHP-Version ohne Einschränkungen.
• Einige interne Tools bleiben offline, bis ihre Hersteller korrigierte Versionen veröffentlichen. Keines davon gehört zur fynk App oder verarbeitet Kundenverträge.
• Wir beobachten weiterhin die PHP-Sicherheitsreleases und neue Erkenntnisse zu diesen Lücken und aktualisieren diesen Beitrag, falls sich unsere Bewertung ändert.

Kontakt

Bei Fragen oder für weitere Informationen für deine eigene Sicherheitsprüfung wende dich an [email protected]. Mehr zu unseren Sicherheitsmaßnahmen findest du auf unserer Seite zu Sicherheit und DSGVO.