PHP2Shell: Kritische Schwachstellen in PHP

Am 21. Oktober 2026 hat das PHP-Projekt Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht: CVE-2026-109618 und CVE-2026-109619. (Details bei Cert-EU)

Beide Schwachstellen können unter bestimmten Bedingungen die Ausführung beliebigen Programmcodes auf einem Server ermöglichen – sogenannte Remote Code Execution (RCE). Unter bestimmten Voraussetzungen kann eine Ausnutzung auch ohne vorherige Authentifizierung möglich sein.

Mit einem CVSS-v4.0-Wert von jeweils 9,2 sind beide Schwachstellen als kritisch eingestuft.

Betroffen sein können Anwendungen, die verwundbare PHP-Versionen einsetzen. Ob eine konkrete Installation tatsächlich angreifbar ist, hängt unter anderem von der eingesetzten PHP-Version, der Konfiguration und den jeweiligen technischen Voraussetzungen ab.

Betreiber entsprechender Systeme sollten daher die veröffentlichten Sicherheitshinweise prüfen und erforderliche Updates zeitnah einspielen.

Warum OpenCloud einen anderen Weg geht

OpenCloud baut auf einer von Grund auf cloud-nativ konzipierten Architektur auf. Als zentrale Backend-Technologie kommt die kompilierte Programmiersprache Go zum Einsatz.

Dieser Ansatz bringt mehrere Vorteile mit sich:

• Keine PHP-Laufzeitumgebung: Die Go-basierten Backend-Dienste sind nicht von Sicherheitslücken im PHP-Interpreter betroffen.
• Modulare Microservices: Einzelne Dienste sind klar voneinander getrennt und können unabhängig entwickelt, aktualisiert und skaliert werden.
• Keine klassische SQL-Datenbank: OpenCloud nutzt ein POSIX-kompatibles Dateisystem zur Verwaltung von Dateien und Metadaten, ohne eine separate relationale Datenbank vorauszusetzen.
• Cloud-native Skalierbarkeit: Die Architektur unterstützt moderne Betriebsumgebungen mit Containern und Kubernetes.
• Moderne Speicherverwaltung: Go bietet eine automatische Speicherverwaltung, die bestimmte Klassen typischer Speicherfehler reduziert.

Diese technologischen Entscheidungen bilden die Grundlage für eine leistungsfähige, skalierbare und langfristig wartbare Plattform für Filemanagement, Filesharing und digitale Zusammenarbeit.

Sicherheit beginnt nicht beim nächsten Patch

Regelmäßige Sicherheitsupdates sind unverzichtbar – unabhängig davon, welche Programmiersprache eingesetzt wird. Doch ein nachhaltiges Sicherheitskonzept beginnt bereits bei der Entwicklung: mit der bewussten Auswahl von Architektur, Technologien, einer klaren Trennung von Komponenten und der Reduzierung unnötiger Abhängigkeiten.

Natürlich ist keine Software grundsätzlich frei von möglichen Sicherheitslücken. Auch moderne Technologien erfordern kontinuierliche Wartung, Sicherheitsprüfungen und Updates. - Für uns ist Sicherheit jedoch nicht nur eine Frage schneller Updates, sondern auch das Ergebnis bewusster Entscheidungen bei der Entwicklung und Architektur einer Software. Diesen Weg gehen wir mit OpenCloud.