tiger.PHARMA hat am 22. Oktober 2026 die PHP-Laufzeit aller von uns betriebenen PHP-basierten Systeme aktualisiert. Dazu gehören unsere Shop-Systeme, die entsprechenden Komponenten von pharmadata360.eu sowie Systeme, auf denen Anwendungen unserer Kunden laufen. Anlass waren die unter dem Namen PHP2Shell bekannt gewordenen kritischen PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619.
Was ist PHP2Shell?
PHP2Shell bezeichnet zwei kritische Schwachstellen im Kern von PHP. Nach den offiziellen Sicherheitshinweisen können sie unter bestimmten Bedingungen eine nicht authentifizierte Ausführung fremden Codes auf betroffenen Servern ermöglichen. Beide Schwachstellen werden mit einem CVSS-Wert von 9,2 bewertet. Da PHP als serverseitige Laufzeit für Webseiten, Onlineshops, Content-Management-Systeme und individuelle Webanwendungen weit verbreitet ist, betrifft die Warnung nicht nur einzelne Anwendungen, sondern die technische Basis vieler Systeme.
Das Bundesamt für Sicherheit in der Informationstechnik warnt vor den kritischen PHP-Schwachstellen. CERT-EU nennt PHP 8.5 vor 8.5.12, PHP 8.4 vor 8.4.27, PHP 8.3 vor 8.3.36 und PHP 8.2 vor 8.2.35 als betroffen. Für ältere, nicht mehr regulär unterstützte PHP-Zweige sind die Hinweise des jeweiligen Betriebssystem- oder LTS-Anbieters maßgeblich.
PHP-Update bei tiger.PHARMA abgeschlossen
Wir haben die verfügbaren Aktualisierungen am 22. Oktober 2026 auf den von uns betriebenen PHP-Systemen ausgerollt. Der Schwerpunkt lag auf der PHP-Laufzeit und den davon abhängigen Diensten. Nach dem Update wurden die relevanten Prozesse und die Erreichbarkeit der Anwendungen kontrolliert.
Der Vorgang ist Teil unseres laufenden technischen Betriebs. Sicherheitsmeldungen werden bewertet, betroffene Komponenten identifiziert und erforderliche Updates priorisiert eingespielt. Informationen über Schwachstellen werden dabei mit der tatsächlich eingesetzten Infrastruktur abgeglichen, statt allein anhand eines Produktnamens oder eines allgemeinen Warnhinweises zu handeln.
Welche Systeme wurden berücksichtigt?
- Shop-Systeme: PHP-basierte Komponenten der von tiger.PHARMA betriebenen Shop-Infrastruktur.
- pharmadata360.eu: PHP-basierte Komponenten der Datenplattform für Produkt-, Markt- und Logistikdaten.
- Kundenanwendungen: Systeme, auf denen Anwendungen unserer Kunden betrieben werden.
- Technische Nebendienste: abhängige Dienste und Laufzeitkomponenten, soweit sie für den sicheren und zuverlässigen Betrieb relevant sind.
Die Nennung dieser Bereiche beschreibt den Umfang der Wartung. Sie veröffentlicht keine internen Versionsstände, Serverdetails oder sicherheitsrelevanten Konfigurationen.
Was leistet das PHP-Sicherheitsupdate?
Ein Update auf eine vom Hersteller oder Distributor bereitgestellte korrigierte Version schließt die bekannten PHP2Shell-Schwachstellen in der aktualisierten Laufzeit. Entscheidend ist, dass die tatsächlich eingesetzten Pakete aus einer verlässlichen Quelle stammen, alle relevanten PHP-Worker neu gestartet werden und die Anwendung anschließend geprüft wird.
Das Update ersetzt keine weitere Sicherheitsarbeit. Zugriffsrechte, Verschlüsselung, Protokollierung, Datensicherung, Wiederherstellung, Abhängigkeitsmanagement und die Beobachtung neuer Sicherheitshinweise bleiben eigenständige Aufgaben. Deshalb verwenden wir bewusst nicht die Aussage, ein System sei durch ein einzelnes Update „vollständig sicher“.
Sicherheit von Shop-Systemen, Datenplattformen und Kundenanwendungen
Digitale Pharma-Anwendungen benötigen einen nachvollziehbaren Wartungsprozess. Für tiger.PHARMA gehören dazu die Bewertung neuer Warnungen, ein aktuelles Systeminventar, priorisierte Updates, kontrollierte Neustarts, Funktionsprüfungen und eine dokumentierte Nachbereitung. Bei kritischen Schwachstellen zählt Geschwindigkeit, aber ebenso die Prüfung, ob die aktualisierten Dienste vollständig und stabil arbeiten.
Besonders bei Systemen mit Produktdaten, Shop-Prozessen oder Kundenanwendungen ist Sicherheit kein einmaliger Zustand. Sie entsteht durch wiederkehrende technische und organisatorische Maßnahmen. Mehr zu unseren digitalen Leistungen finden Sie auf der Startseite von tiger.PHARMA; Informationen zur Datenplattform stehen auf der Startseite von pharmadata360.eu.
Kurzcheck für Betreiber PHP-basierter Webseiten und Onlineshops
- Eingesetzte PHP-Versionen und Betriebsmodelle vollständig inventarisieren.
- Hersteller-, Distributor- und Hosting-Advisories prüfen.
- Korrigierte Pakete zeitnah einspielen.
- PHP-Worker und abhängige Dienste kontrolliert neu starten.
- Webseiten, Onlineshops, Schnittstellen und Hintergrundprozesse testen.
- Protokolle und Sicherheitsmeldungen auf Auffälligkeiten prüfen.
- Nicht mehr unterstützte PHP-Zweige durch unterstützte Versionen oder belastbare LTS-Pakete ersetzen.
FAQ zu PHP2Shell und den PHP-Updates
Welche CVE-Nummern gehören zu PHP2Shell?
Der Name PHP2Shell wird für CVE-2026-109618 und CVE-2026-109619 verwendet. Beide Schwachstellen können laut den offiziellen Advisories unter bestimmten Bedingungen eine nicht authentifizierte Remote Code Execution ermöglichen.
Hat tiger.PHARMA seine PHP-Systeme aktualisiert?
Ja. Am 22. Oktober 2026 wurden die PHP-Laufzeiten der von tiger.PHARMA betriebenen PHP-basierten Systeme aktualisiert. Dazu zählen Shop-Systeme, relevante Komponenten von pharmadata360.eu und Systeme, auf denen Kundenanwendungen laufen.
Sind die Systeme damit vollständig sicher?
Das Update schließt die bekannten PHP2Shell-Schwachstellen in den aktualisierten Komponenten. Vollständige Sicherheit lässt sich daraus nicht ableiten. Sie erfordert zusätzlich laufende Wartung, geeignete Zugriffsrechte, Monitoring, Datensicherung und die Bewertung neuer Schwachstellen.
Welche PHP-Versionen enthalten die offiziellen Korrekturen?
CERT-EU nennt PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 als korrigierte Versionen. Bei distributionsspezifischen oder älteren PHP-Paketen ist das Advisory des jeweiligen Anbieters entscheidend.