PHP2Shell: verinice ist nicht betroffen

Die am 21.10.2026 veröffentlichten PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619 betreffen verinice nicht. Weder die neue verinice-Generation noch verinice Classic setzen PHP ein.

Unter dem Namen "PHP2Shell" werden zwei kritische Schwachstellen in der PHP-Laufzeitumgebung zusammengefasst. Beide erreichen nach CVSS 4.0 einen Wert von 9,2. Angreifer können darüber ohne Anmeldung Code auf verwundbaren Webservern ausführen. Das BSI hat eine Cybersicherheitswarnung der Stufe 3 / Orange herausgegeben (BITS-H Nr. 2026-297981-1032).

Keine verinice-Variante betroffen

Das gilt für alle aktuellen und älteren Varianten:

• verinice.cloud
• verinice.onprem
• verinice.PRO
• verinice Einzelplatz

verinice enthält an keiner Stelle PHP. Die Lücken stecken im PHP-Interpreter selbst; wo er nicht läuft, gibt es keine Angriffsfläche. Das gilt ebenso für weitere PHP-Schwachstellen, die im Umfeld von PHP2Shell nachgemeldet werden.

Unabhängig von der Fachanwendung: Unsere Websites und Shops wurden bereits auf abgesicherte PHP-Versionen aktualisiert.

Was Sie tun sollten

verinice.cloud: Kein Handlungsbedarf, den Betrieb übernimmt SerNet für Sie.

verinice.onprem und verinice.PRO: Am verinice-Server selbst ist nichts zu tun. Laufen auf derselben Maschine weitere PHP-Anwendungen, prüfen Sie deren PHP-Version. Behoben sind die Lücken ab PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für ältere PHP-Zweige gelten die Hinweise Ihrer Linux-Distribution.

verinice Einzelplatz: Kein Handlungsbedarf.

Die BSI-Warnung mit aktualisierten Empfehlungen: https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032.pdf

Weitere Fragen beantwortet der verinice-Support unter support@remove-this.verinice.com oder 0551 370000-0.