php2shell: Unsere Systeme sind gepatcht – noch am selben Tag und ohne Unterbruch
Diese Woche wurden zwei kritische Sicherheitslücken in PHP bekannt, die unter dem Namen «php2shell» kursieren. Wir haben die Korrekturen noch am Tag ihrer Veröffentlichung eingespielt, ohne dass Ortino oder die Dienste von ortino.tech unterbrochen wurden.
Was ist php2shell?
Hinter php2shell stecken zwei Remote-Code-Execution-Lücken in PHP, geführt als CVE-2026-109618 und CVE-2026-109619. Beide erlauben laut PHP-Sicherheitsteam die Ausführung von Fremdcode und wurden mit 9.2 nach CVSS v4.0 bewertet – also als kritisch. Besonders heikel: Ein Angriff ist ohne Anmeldung und ohne Zutun eines Nutzers möglich. Betroffen sind alle PHP-Versionen ab PHP 5, also seit 2004.
Ungewöhnlich war auch der Ablauf: Details gelangten vor der geplanten, koordinierten Veröffentlichung und den offiziellen Patches an die Öffentlichkeit. Am 21. Oktober meldete Cloudflare bereits frühmorgens erste Angriffe; um 14 Uhr UTC veröffentlichte PHP die korrigierten Versionen, nämlich PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Was wir gemacht haben
Wir haben die Lage seit den ersten Meldungen verfolgt. Sobald die korrigierten PHP-Versionen verfügbar waren, haben wir sie noch am selben Tag auf allen unseren Systemen eingespielt. Dank unserer Infrastruktur konnten die Updates im laufenden Betrieb erfolgen: Ortino, die zentrale Anmeldung und alle weiteren Dienste von ortino.tech blieben durchgehend erreichbar.
Was bedeutet das für Sie?
Für Kundinnen, Kunden und Regionalläden auf Ortino gibt es nichts zu tun. Ihre Daten und Konten sind von diesem Update nicht betroffen, und Sie müssen weder Passwörter ändern noch Einstellungen anpassen.
Sicherheit ist bei uns kein Zufall
Schnelles Patchen gelingt nur, wenn Überwachung, Abläufe und Infrastruktur im Voraus stimmen. Genau darin investieren wir laufend, damit Sie sich auf unsere Plattformen verlassen können, auch wenn es in der IT-Welt einmal ungemütlich wird.