Sicherheitsinformation zur PHP-Laufzeitumgebung

Am 21.10.2026 wurden zwei kritische PHP-Sicherheitslücken bekannt, die eine umgehende Aktualisierung betroffener pitFM Systeme erfordern.

Am 21. Oktober 2026 wurden bei PHP Informationen zu Schwachstellen veröffentlicht. Am selben Tag um 16 Uhr (MEZ) wurden Sicherheitsupdates für zwei kritische Sicherheitslücken veröffentlicht: CVE-2026-109618 und CVE-2026-109619. Diese können unter bestimmten Umständen die Ausführung von Schadcode aus der Ferne ermöglichen – auch ohne vorherige Anmeldung. Bei uns liegt kein Sicherheitsvorfall vor.

Die Schwachstellen betreffen, die von Ihnen betriebenen PHP-Laufzeitkomponenten, die für den Betrieb der folgenden Produkte eingesetzt werden:

pitFM SMART
pitFM 2GO mit PHP Laufzeitkomponenten
(nicht betroffenn pitFM 2GO auf ASP.NET)
pitFM Mobile 4.0: PHP-basierte Serverkomponente

Aktuelle pitFM 2GO Versionen mit ASP.NET-basiertem Backend sind von diesen PHP-Schwachstellen nicht betroffen. Parallel betriebene PHP-basierte Komponenten müssen dennoch separat geprüft werden.

Das Produkt pitFM Expert Web ist hiervon nicht betroffen.

Was ist jetzt zu tun?

Wir empfehlen, unverzüglich auf eine abgesicherte und für Ihre Produktversion freigegebene PHP-Version zu aktualisieren. Geben Sie diese Information bitte an Ihre zuständige IT-Administration oder Ihren Betriebsdienstleister weiter.

Die folgenden PHP-Versionen schließen die genannten Sicherheitslücken:

Aktualisieren Sie möglichst innerhalb des bereits eingesetzten, unterstützten PHP-Versionszweigs. Ein Wechsel beispielsweise von PHP 8.3 auf PHP 8.4 oder 8.5 ist zur Behebung dieser Schwachstellen nicht erforderlich und sollte nur nach Prüfung der Produktfreigabe erfolgen.

Bei PHP 8.1 und älter prüfen Sie bitte, ob Ihr Distributor oder LTS-Anbieter korrigierte Pakete bereitstellt. Andernfalls ist der Wechsel auf eine unterstützte und für Ihre pit-Produktversion freigegebene PHP-Version erforderlich.

Unser Team hat die aktuelle Version von pitFM SMART und pitFM 2GO (mit PHP Komponente) mit der aktualisierten PHP-Laufzeitumgebung erfolgreich getestet. Für die Freigabe Ihrer konkret eingesetzten Produktversion wenden Sie sich bitte an Ihre Kontaktperson bei pit oder Ihre zuständige Projektleitung.

Hinweis zu pitFM Mobile 4.0

Der Support für pitFM Mobile 4.0 ist am 30. Juni 2026 ausgelaufen. Wir empfehlen dringend die Migration auf pitFM 2GO. Eine noch betriebene PHP-Laufzeitumgebung muss unabhängig davon kurzfristig mit einer der oben genannten PHP-Versionen abgesichert werden.

Hinweise für Ihre IT-Administration

Bitte sichern Sie vor der Aktualisierung die bestehende Konfiguration einschließlich der php.ini. Prüfen Sie deren Übernahme sowie die benötigten PHP-Erweiterungen auf Kompatibilität.

Starten Sie nach dem Update die betroffenen PHP-Prozesse beziehungsweise Webserverdienste neu. Kontrollieren Sie anschließend die tatsächlich von der Webanwendung verwendete PHP-Version; die Ausgabe von php -v auf der Kommandozeile allein reicht dafür nicht aus.

Prüfen Sie abschließend grundlegende Funktionen wie Anmeldung, Datenbankzugriffe und Datei-Uploads sowie die PHP- und Webserverprotokolle auf Fehler. Falls Sie vorübergehend eine phpinfo()-Datei verwenden, löschen Sie diese unmittelbar nach der Kontrolle.

Bei Fragen oder Unterstützungsbedarf zur Aktualisierung der PHP-Serverkomponente stehen wir Ihnen gerne zur Verfügung. Bitte stimmen Sie Fragen zur Kompatibilität Ihrer pitFM SMART/pitFM 2GO-Version vorab mit Ihrer zuständigen Projektleitung ab.