Stand: 22.10.2026
Zusammenfassung
Das BSI hat am 21.10.2026 eine Warnung der Stufe 3 / Orange zu zwei kritischen Schwachstellen in PHP veröffentlicht (CVE-2026-109618 und CVE-2026-109619, jeweils CVSS 4.0: 9,2). Angreifer könnten darüber aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen. Die Schwachstellen betreffen die Laufzeitumgebung PHP selbst.
Betroffenheit neo42-Services
Keines der neo42-Produkte ist von diesen Schwachstellen betroffen. Dazu gehören:
- neo42 Service Portal
- neo42 Management Service (MMS) inklusive MMS Web Console
- Application Package Center (APC)
- neo42 Package Recorder und Package Recorder PRO
- neo42 Package Framework (PSAppDeployToolkit-basierte Pakete)
- Achtung: Ob sich in den eingesetzten Softwareprodukten des APD PHP-Bestandteile befinden, prüfen Sie bitte im Einzelfall.
Weder unsere Produkte noch die mitgelieferten oder zusätzlich benötigten Komponenten nutzen oder benötigen PHP. Daher sind keine Updates, Patches, Hotfixes oder Workarounds von neo42 erforderlich.
Empfehlung
- Systeme, die Sie aus Vorsicht vom Netz genommen oder eingeschränkt haben und auf denen ausschließlich neo42-Produkte laufen, können aus Sicht von neo42 wieder uneingeschränkt in Betrieb genommen werden.
- Unsere Aussage bezieht sich nur auf von neo42 gelieferte Produkte. Betreiben Sie auf denselben Servern weitere Anwendungen, die PHP verwenden (z. B. CMS, Webshops, Monitoring- oder Ticketsysteme), prüfen Sie diese separat und spielen Sie die vom PHP-Projekt bereitgestellten Sicherheitsupdates ein (8.5.12, 8.4.27, 8.3.36, 8.2.35).
- Weitere Informationen finden Sie in der BSI-Cybersicherheitswarnung „PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit“ (BITS-H, Version 1.1, 21.10.2026) auf www.bsi.bund.de.
Fragen?
Bei Rückfragen erreichen Sie uns über neosupport@neo42.de.