PHP2Shell: Gepatchte PHP-Pakete für grommunio verfügbar

Aktualisierte PHP-Pakete, die die kritischen PHP2Shell-Schwachstellen beheben, stehen ab sofort sowohl im Community- als auch im Supported-Repository von grommunio bereit. Wir empfehlen dringend, Ihre Systeme jetzt abzusichern.

Was ist PHP2Shell?

Unter dem Namen PHP2Shell werden zwei kritische Schwachstellen in der PHP-Laufzeitumgebung selbst zusammengefasst: CVE-2026-109618(opens in a new tab) und CVE-2026-109619, beide mit CVSS 9.2 bewertet. Sie können es einem nicht authentifizierten Angreifer ermöglichen, mit einer einzigen Anfrage Code aus der Ferne auszuführen, noch bevor irgendein Anwendungscode läuft. Ein Server kann also selbst dann angreifbar sein, wenn die darauf laufenden PHP-Anwendungen völlig sicher sind.

• CVE-2026-109618: Eine durch Speichermangel (Out of Memory) unterbrochene Speicherzuweisung kann Anfragedaten nur teilweise initialisiert zurücklassen, und die anschließende Bereinigung behandelt diese ungültigen Daten womöglich als gültig.
• CVE-2026-109619: Interner Zustand einer Anfrage kann den Speicher überdauern, auf den er verweist, sodass eine spätere Anfrage im selben Worker ihn verwenden kann, bevor er zurückgesetzt wird.

Betroffen ist jede PHP-Installation, die Web-Anfragen verarbeitet, einschließlich PHP-FPM, das grommunio verwendet. Details zu den Lücken wurden vor dem koordinierten Veröffentlichungstermin bekannt, und Sicherheitsforscher berichten bereits von Angriffsversuchen. Das PHP-Projekt hat korrigierte Versionen veröffentlicht (8.5.12, 8.4.27, 8.3.36 und 8.2.35) und weist darauf hin, dass nur ein Update wirklich schützt, weil die verfügbaren Workarounds nur einen Teil der Angriffswege schließen.

Weiterführende Informationen: Help Net Security, The Hacker News, SecurityWeek und das watchTowr-FAQ.

So aktualisieren Sie

Das Update dauert nur ein paar Befehle:

zypper ref
zypper up
zypper in php8-opcache
systemctl restart php-fpm

Statt zypper ref und zypper up können Sie auch den Web-Updater in grommunio Admin verwenden oder auf der Kommandozeile grommunio-update ausführen. Starten Sie in jedem Fall anschließend php-fpm neu: Erst dann verwenden alle Worker das gepatchte PHP.

Unsere automatisierten Tests und eine große Zahl manueller Prüfungen haben keine Nebenwirkungen gezeigt. In diesem frühen Stadium kann allerdings niemand auf der Welt garantieren, dass es keine gibt. Alle unsere Tests verliefen erfolgreich, und die Maßnahmen haben in all unseren Laborumgebungen gewirkt.

Bonus: schnelleres Web-Interface mit OPcache

Seit Kurzem lässt sich zusammen mit grommunio auch php8-opcache installieren. OPcache hält vorkompilierten PHP-Code im Speicher und macht grommunio Web spürbar schneller. Deshalb ist der Befehl zypper in php8-opcache oben enthalten. Ist das Paket bereits installiert, überspringt zypper ihn einfach.

Out-of-Band-Pakete, schneller als die offiziellen SUSE-Updates

Bei diesen Paketen handelt es sich um Out-of-Band-Updates, die wir selbst gebaut haben und unabhängig von den offiziellen SUSE-Paketen bereitstellen. Dank unserer Build-Infrastruktur und Testpipeline konnten wir sie noch vor den offiziellen SUSE-Wartungsupdates ausliefern. Darauf sind wir stolz, und wir danken unserem Team für die schnelle Umsetzung.

Sobald SUSE eigene korrigierte PHP-Pakete veröffentlicht, entfernen wir unsere Übergangspakete aus den grommunio-Repositories, damit die von SUSE bereitgestellten Pakete wieder Vorrang haben. Weil die installierten Pakete dann von einem anderen Anbieter (Vendor) stammen und unter Umständen eine niedrigere Versionsnummer haben, wechselt zypper nicht automatisch zurück. Zu gegebener Zeit müssen Sie den Vendor-Wechsel daher ausdrücklich erlauben, zum Beispiel so:

zypper ref
zypper up --allow-vendor-change --allow-downgrade
systemctl restart php-fpm

Wenn es so weit ist, kündigen wir das mit einer genauen Anleitung an.

grommunio nicht auf SUSE?

Unter Debian, Ubuntu und anderen Distributionen stammt PHP von Ihrer Distribution. Spielen Sie die PHP-Sicherheitsupdates Ihrer Distribution ein und starten Sie php-fpm anschließend neu.

Fragen?

Weitere Informationen folgen. Diskussionen und die neuesten Updates finden Sie in unserer Community. Kunden mit Subscription können sich direkt an den grommunio-Support wenden.