Die Meldungen zu zwei kritischen Sicherheitslücken in PHP werfen bei vielen IT-Verantwortlichen die Frage auf: Welche unserer Anwendungen sind betroffen? Für unsere Kunden und Partner geben wir hier eine klare Einordnung für den Einsatz unserer Software.
Unsere Produkte sind nicht betroffen
Die folgenden Produkte der mosaic IT GmbH sind von den Schwachstellen CVE-2026-109618 und CVE-2026-109619 nicht betroffen:
- Deskcenter Management Suite (DCMS)
- Deskcenter Mobile, unsere EMM-Lösung
- mosaic Advisory Connect
Sie können diese Produkte uneingeschränkt weiter nutzen. Aufgrund dieser beiden PHP-Sicherheitslücken ist weder ein zusätzliches Update noch eine Konfigurationsänderung erforderlich. Allgemeine Update- und Wartungsempfehlungen gelten weiterhin.
Worum es geht
Die beiden Lücken sind jeweils mit CVSS 9.2 bewertet. Sie erlauben Angreifern, ohne Anmeldung Code auf dem Server auszuführen. Betroffen ist jede PHP-Installation, die Webanfragen verarbeitet, unter anderem PHP-FPM, Apache mit mod_php und php-cgi.
Das PHP-Projekt hat am 21. Oktober 2026 die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Das Computer-Notfallteam der EU-Institutionen (CERT-EU) empfiehlt, betroffene Systeme sofort zu aktualisieren. Wo das nicht möglich ist, sollten aus dem Internet erreichbare Anwendungen vorübergehend vom Netz getrennt werden. Konfigurationsänderungen senken das Risiko nur teilweise, sie ersetzen das Update nicht.
Was Sie jetzt prüfen sollten
Laut CERT-EU nutzen viele kommerzielle Produkte PHP im Hintergrund, ohne dass es von außen sichtbar ist. Ein Blick auf die eigenen Webserver reicht deshalb nicht aus. Diese Fragen helfen bei der Bestandsaufnahme:
- Wo läuft in Ihrem Unternehmen PHP, auch in Appliances, Webanwendungen und Software von Drittherstellern?
- Welche dieser Systeme sind aus dem Internet erreichbar? Diese haben Vorrang.
- Sind die Updates Ihrer Linux-Distribution oder Ihres Hosters bereits eingespielt?
- Welche Hersteller haben sich zu ihren Produkten bereits geäußert und bei welchen fehlt eine Aussage noch?
Weitere Informationen
Die offiziellen Meldungen finden Sie beim PHP-Projekt und bei CERT-EU (Security Advisory 2026-018).
Sie haben Fragen zu Ihrer Installation oder brauchen Unterstützung bei der Prüfung anderer Anwendungen? Wenden Sie sich gerne an Ihren Ansprechpartner bei mosaic IT oder schreiben Sie uns an info@mosaic-it.de.
Stand dieser Information: 22. Oktober 2026.