Zum Inhalt springen

Was ist passiert

PHP ist eine Programmiersprache, auf der viele Websites und Webanwendungen basieren. Beide Schwachstellen sind mit einem CVSS-Wert von 9,2 von 10 als kritisch eingestuft. Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) könnten Angreifer über die beiden Schwachstellen (CVE-2026-109618 und CVE-2026-109619) aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen – ohne Anmeldung und ohne jede Nutzerinteraktion. Die PHP-Entwickler haben am 21. Oktober Patches für mehrere PHP-Versionen veröffentlicht.

Lobster-Produkte sind NICHT betroffen

Unsere gesamte Produktsuite (Lobster Data Platform, Platform Portal, Lobster Cloud, Trading Partner Manager, Lobster _data und Lobster _pro) basiert auf Java und verwendet kein PHP. Das gilt ebenso für alles, was wir in der Lobster Cloud betreiben. Bei der Einrichtung unserer Produkte installieren wir kein PHP, und PHP war nie Teil unserer Produktentwicklung.

Für den Betrieb von Lobster-Produkten sind keine Maßnahmen erforderlich.

Was Sie prüfen sollten

Andere PHP-basierte Anwendungen in Ihrem Unternehmen können betroffen sein, zum Beispiel WordPress für Ihre Website. Das gilt auch, wenn eine PHP-Anwendung auf demselben Server läuft wie Ihre Lobster-Installation, wie es manche Kundinnen und Kunden mit On-Premises-Installation für eigene Anwendungen handhaben. Die Schwachstelle liegt in PHP, nicht in der Lobster-Software. Wird diese PHP-Installation jedoch nicht aktualisiert, ist der Server gefährdet. Das ist einer der Gründe, warum wir empfehlen, unsere Produkte auf einem dedizierten Server ohne weitere Anwendungen zu betreiben.

Wenn Sie PHP-basierte Anwendungen einsetzen, wenden Sie sich bitte an Ihre IT-Administration bzw. Ihren Hosting-Dienstleister und folgen Sie den offiziellen Empfehlungen des jeweiligen Herstellers. Die abgesicherten PHP-Versionen lauten 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und ältere Versionen wird es kein Update geben. Server mit diesen Versionen sollten daher bis zum Upgrade nicht aus dem Internet erreichbar sein.

Weitere Informationen

Alle Details finden Sie in der Cybersicherheitswarnung des BSI.

Bei Fragen hilft Ihnen unser Support-Team gerne weiter.