English version below

Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP veröffentlicht: CVE-2026-109618 und CVE-2026-109619. Beide Schwachstellen sind nach dem Common Vulnerability Scoring System (CVSS) mit 9,2 bewertet und gelten damit als kritisch. Unter bestimmten Voraussetzungen können Angreifer darüber Schadcode auf betroffenen Systemen ausführen, und zwar ohne vorherige Authentifizierung. Fachleute sprechen in diesem Fall von Remote Code Execution (RCE).

Welche PHP-Versionen betroffen sind

PHP 8.2 vor Version 8.2.35
PHP 8.3 vor Version 8.3.36
PHP 8.4 vor Version 8.4.27
PHP 8.5 vor Version 8.5.12
ältere, nicht mehr unterstützte PHP-Versionen

Betreiber betroffener Systeme sollten die bereitgestellten Sicherheitsupdates umgehend installieren.

Entwarnung für Enginsight-Kunden

Die Enginsight-Plattform ist von beiden Sicherheitslücken nicht betroffen. Enginsight setzt innerhalb seiner Plattform kein PHP ein. Für unsere Software besteht daher weder durch CVE-2026-109618 noch durch CVE-2026-109619 eine unmittelbare Gefährdung.

Unsere Kunden können die Enginsight-Plattform weiterhin uneingeschränkt nutzen. Ein sicherheitsbedingtes Update der Plattform ist aufgrund dieser Schwachstellen nicht erforderlich.

Critical PHP Vulnerabilities (PHP2Shell): Enginsight Is Not Affected

On October 21, 2026, two critical vulnerabilities in PHP were published: CVE-2026-109618 and CVE-2026-109619. Both vulnerabilities are rated 9.2 on the Common Vulnerability Scoring System (CVSS) and are therefore classified as critical. Under certain conditions, attackers can use them to execute malicious code on affected systems without prior authentication. This is known as Remote Code Execution (RCE).

Affected PHP versions

PHP 8.2 before version 8.2.35
PHP 8.3 before version 8.3.36
PHP 8.4 before version 8.4.27
PHP 8.5 before version 8.5.12
older PHP versions that are no longer supported

Operators of affected systems should install the available security updates immediately.

All clear for Enginsight customers

The Enginsight platform is not affected by either vulnerability. Enginsight does not use PHP within its platform. As a result, neither CVE-2026-109618 nor CVE-2026-109619 poses a direct threat to our software.

Our customers can continue to use the Enginsight platform without restriction. No security update of the platform is required as a result of these vulnerabilities.