Kritische PHP-Sicherheitslücken: Halo laut Hersteller nicht betroffen
In der Programmiersprache PHP wurden zwei kritische Sicherheitslücken entdeckt, vor denen das Bundesamt für Sicherheit in der Informationstechnik (BSI) seit dem 21. Oktober 2026 warnt. Die Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und sind unter der Bezeichnung „PHP2Shell“ bekannt.
Die Sicherheitslücken stellen ein erhebliches Risiko für betroffene IT-Systeme dar. Sie können von Angreifern ausgenutzt werden, um ohne vorherige Anmeldung Schadcode auf verwundbaren Servern auszuführen. Im schlimmsten Fall können dadurch Systeme kompromittiert und vertrauliche Daten gefährdet werden.
Um das Sicherheitsrisiko zu minimieren, sollten Unternehmen ihre PHP-basierten Anwendungen und Server auf eine mögliche Betroffenheit überprüfen. Seit dem 21. Oktober 2026 stehen entsprechende Sicherheitsupdates zur Verfügung, deren zeitnahe Installation das BSI empfiehlt.
Entwarnung für Nutzer der Halo-Plattform
Der Softwarehersteller Halo hat bestätigt, dass die Halo-Plattform von den aktuellen PHP-Sicherheitslücken nicht betroffen ist. Kunden können die Plattform somit weiterhin ohne zusätzliche Maßnahmen im Zusammenhang mit diesen Schwachstellen nutzen.
Unternehmen sollten dennoch prüfen, ob sie außerhalb der Halo-Plattform weitere PHP-basierte Anwendungen oder individuell betriebene Integrationen einsetzen, die von den Sicherheitslücken betroffen sein könnten. Für diese Systeme sollten gegebenenfalls die verfügbaren Sicherheitsupdates installiert werden.
Weitere Informationen finden Sie auf der Seite des BSI und bei php.net.
