agorum® Sicherheitsinformation PHP-Sicherheitslücke, das Wichtigste vorab
agorum core ist von der PHP-Sicherheitslücke php2shell nicht betroffen, denn agorum core arbeitet an keiner Stelle mit PHP.
Am 21. Oktober 2026 hat das PHP-Projekt Sicherheitsupdates für zwei kritische Lücken veröffentlicht, CVE-2026-109618 und CVE-2026-109619. Über sie können Angreifer ohne Anmeldung eigenen Code auf einem Webserver ausführen. Deine agorum core Installation bleibt davon unberührt, und das gilt für agorum core pro, ALBERT | AI und alle Plugins.
Die Kernpunkte auf einen Blick:
- agorum core, ALBERT | AI und alle Plugins arbeiten ohne PHP.
- Unsere Webseite, die agorum Cloud, die Webseite der agorum Academy und das Community-Forum haben wir noch am Nachmittag des 21. Oktober aktualisiert.
- Betreibst du auf deinen Servern weitere Dienste mit PHP, aktualisiere sie jetzt.
Was ist über die PHP-Sicherheitslücke bekannt?
Die beiden Lücken liegen im Kern von PHP selbst und betreffen damit jede Anwendung, die darauf aufbaut. CVE-2026-109618 entsteht bei der Behandlung von Speichermangel, CVE-2026-109619 durch einen Speicherbereich, der nach seiner Freigabe weiterverwendet wird. Das PHP-Projekt bewertet beide mit 9,2 von 10 Punkten im Bewertungssystem CVSS 4.0 und rät allen Anwendern, sofort zu aktualisieren.
Gefährdet ist jede PHP-Installation, die Webanfragen beantwortet, etwa über PHP-FPM oder Apache mit mod_php. Sicherheitsforscher berichten bereits von Angriffen. Die bereinigten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Alle Einzelheiten stehen in der Sicherheitsmeldung auf php.net.
Was haben wir für unsere Webangebote getan?
agorum core selbst braucht wegen dieser Lücken kein Update. Einige unserer öffentlichen Webangebote laufen aber mit PHP. Dazu gehören unsere Webseite, die agorum Cloud, die Webseite der agorum Academy und das Community-Forum. Alle vier haben wir unmittelbar nach Bekanntwerden mit den aktuellen Sicherheitsupdates für PHP ausgestattet, noch am Nachmittag des 21. Oktober 2026.
Ein ausdrücklicher Dank geht an die PHP Community. Zwischen der Vorankündigung am 20. Oktober und den fertigen Updates lag nur ein Tag. Diese schnelle Bereitstellung hat es uns und vielen anderen Betreibern möglich gemacht, die Lücken sofort zu schließen.
Was solltest du jetzt prüfen?
Läuft auf deinem Server ausschließlich agorum core, besteht durch diese Lücken kein Risiko. Betreibst du dort oder an anderer Stelle in deinem Netz weitere Anwendungen mit PHP, prüfe sie in diesen Schritten.
- Stelle fest, welche PHP-Version läuft, etwa mit dem Befehl php -v auf dem Server.
- Spiele die bereinigte Version ein, also PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, oder das passende Sicherheitspaket deiner Linux-Distribution.
- Starte danach alle PHP-Prozesse neu, damit die neue Version tatsächlich arbeitet.
- Für PHP 8.1 und ältere Versionen liefert das PHP-Projekt keine Updates mehr. Plane hier den Umstieg auf eine unterstützte Version.
Eine ausführliche Übersicht mit Übergangsmaßnahmen für Systeme, die sich nicht sofort aktualisieren lassen, bietet die FAQ von Tenable zu php2shell.
agorum® Support Du hast Fragen zur Sicherheit deiner agorum core Installation?
Unser Support-Team hilft dir wie gewohnt weiter, auch bei der Frage, ob weitere Dienste auf deinen Servern ein Update brauchen.
Kontakt aufnehmen