Kritische PHP-Lücken: PowerFolder ist nicht betroffen

Das PHP-Projekt hat am 21. Oktober 2026 eine Warnung zu zwei kritischen Schwachstellen veröffentlicht: CVE-2026-109618 und CVE-2026-109619 erlauben unter Umständen die Ausführung von Schadcode ohne vorherige Anmeldung. Betroffen ist jede PHP-Installation, die Web-Anfragen bedient. PowerFolder ist nicht betroffen.

Die Original-Warnung auf php.net →

Warum nicht? PowerFolder enthält kein PHP. Server, Clients und Weboberfläche sind in Java geschrieben, und auch diese Website kommt ohne PHP aus — sie besteht aus statischen Dateien. Es gibt in unserem Produkt also keine Stelle, an der diese Lücken greifen könnten. Für Ihre PowerFolder-Installation besteht kein Handlungsbedarf.

Trotzdem einen Blick wert: Läuft auf demselben Server noch etwas anderes — ein CMS, ein Webmailer, ein Ticketsystem, eine Monitoring-Oberfläche —, dann gilt die Warnung dort. Laut PHP-Projekt sind alle gängigen Betriebsarten betroffen, von PHP-FPM über php-cgi bis FrankenPHP und LiteSpeed; am höchsten ist das Risiko bei Apache mit mod_php.

Behoben ist das in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für 7.4, 8.0 und 8.1 gibt es Backports im Quelltext; regulär gepflegt werden diese Zweige nicht mehr. Die Distributionen haben die Korrekturen vorab erhalten, ein Blick in die Paketquellen lohnt sich also zuerst. Eine vollständige Absicherung ohne Update gibt es nach Angaben des Projekts nicht — die kursierenden Teilmaßnahmen genügen nicht.

Sie sind unsicher, ob Ihre Umgebung betroffen ist? Sprechen Sie uns an →