Aktueller Stand: Für EGOCMS V26 steht seit dem 21.10.2026, 16:31 Uhr ein aktualisiertes Docker-Image mit den PHP-Sicherheitsupdates bereit. Weitere Informationen finden Sie am Ende des Artikels.
Am 21. Oktober 2026 werden wichtige PHP-Sicherheitsupdates veröffentlicht, die zwei kritische Schwachstellen beheben. Diese ermöglichen unter Umständen die Ausführung von Schadcode aus der Ferne. Weitere Informationen finden Sie bei heise Security.
Die EGOTEC AG ist sich der Sicherheitsproblematik bewusst und reagiert umgehend.
Da noch keine vollständigen technischen Details zu den Schwachstellen vorliegen, können wir derzeit nicht abschließend beurteilen, inwieweit EGOCMS betroffen ist.
Für die aktuelle EGOCMS Version 26 werden wir die betroffenen Container-Images unmittelbar nach Verfügbarkeit der PHP-Sicherheitsupdates aktualisieren und bereitstellen.
Aufgrund der hohen Kritikalität der Schwachstellen (CVSS 9,2) empfehlen wir allen Kunden, ihre eingesetzte PHP-Version kurzfristig zu überprüfen und verfügbare Sicherheitsupdates unverzüglich einzuspielen.
Kunden, die noch PHP 8.1 oder ältere Versionen einsetzen, empfehlen wir dringend ein Update auf eine aktuell unterstützte PHP-Version. Diese älteren PHP-Versionen erhalten keine regulären Sicherheitsupdates mehr. Eine Übersicht der unterstützten Versionen finden Sie auf der offiziellen PHP-Roadmap.
Bitte kontaktieren Sie zuvor unseren EGOCMS Support. Bei einem PHP-Update muss ggf. EGOCMS aktualisiert werden. Zusätzlich müssen Projektskripte geprüft und ggf. angepasst werden. Unser Sales-Team erstellt Ihnen gerne ein entsprechendes Angebot.
Anfragen zur Unterstützung bei diesen sicherheitskritischen Updates behandeln wir mit höchster Priorität.
Ergänzung 21.10.2026, 14:15 Uhr
Über die Allianz für Cyber-Sicherheit wurden wir inzwischen auch offiziell vom Bundesamt für Sicherheit in der Informationstechnik (BSI) vor den PHP-Sicherheitslücken gewarnt.
Das BSI stuft die Bedrohung mit Kritikalität 3 (Orange) ein und empfiehlt unverzügliche Sicherheitsmaßnahmen.
Bislang sind keine bestätigten Angriffe bekannt. Allerdings hält das BSI eine breite Ausnutzung der Schwachstellen bereits innerhalb weniger Stunden nach Veröffentlichung der Sicherheitsupdates für wahrscheinlich.
Die Veröffentlichung der PHP-Sicherheitsupdates ist für heute ab 16:00 Uhr angekündigt.
Ergänzung 21.10.2026, 15:38 Uhr
PHP hat die Updates online gestellt. Wir bewerten gerade die Sicherheitslücken.
Ergänzung 21.10.2026, 16:09 Uhr (aktualisiert 17:13 Uhr und 17:24)
Das PHP-Projekt hat inzwischen weitere technische Details zu den beiden kritischen Sicherheitslücken veröffentlicht und entsprechende Sicherheitsupdates bereitgestellt.
Wir ändern als kurzfristige Schutzmaßnahme für unsere Kunden folgende PHP-Konfigurationen:
-
session.upload_progress.enabled = Off – Deaktivierung der PHP-Upload-Fortschrittsverarbeitung
-
post_max_size = 8M – Begrenzung der maximalen POST-Datengröße auf 8 MB
-
memory_limit = -1 – Deaktivierung des PHP-internen Speicherlimits
(max_input_nesting_level = 8 – Diese Einstellung begrenzt die Verschachtelung von Eingabedaten, etwa bei Formularparametern wie a[b][c]. Diese Einstellung kann das Speichern von Seiten beeinträchtigen!)
Diese Maßnahmen orientieren sich an den offiziellen Empfehlungen des PHP-Projekts und reduzieren die bekannten Angriffsmöglichkeiten erheblich.
Die Maßnahmen stellen eine vorübergehende Absicherung dar und ersetzen nicht die erforderlichen PHP-Sicherheitsupdates.
Die Aktualisierung unserer Container-Images auf die korrigierten PHP-Versionen erfolgt mit höchster Priorität.
Weitere technische Informationen und Empfehlungen finden Sie in der offiziellen Sicherheitsmeldung des PHP-Projekts.
Ergänzung 21.10.2026, 16:20 Uhr
Für die EGOCMS V26 bereiten wir gerade ein neues docker image mit den Security Patches von PHP vor.
Ergänzung 21.10.2026, 16:31 Uhr - Sicherheitsupdate verfügbar
Das aktualisierte Docker-Image für EGOCMS V26 ist ab sofort verfügbar.
Mit EGOCMS V26.3.4.2 stellen wir ein aktualisiertes Container-Image bereit, das die PHP-Sicherheitsupdates zur Behebung der kritischen Schwachstellen enthält.
Wir empfehlen allen Kunden, die unsere Docker-Images verwenden, umgehend auf EGOCMS V26.3.4.2 zu aktualisieren.
Die Aktualisierung unserer Wartungskunden haben wir bereits begonnen. Aufgrund der Vielzahl an Installationen erfolgen die Updates schrittweise und mit höchster Priorität.
Achtung: Wenn Sie EGOCMS ohne unser Docker-Image betreiben, reicht ein Update auf EGOCMS V26.3.4.2 allein nicht aus, um die PHP-Sicherheitslücken zu schließen. In diesem Fall müssen Sie Ihre PHP-Installation mit den entsprechenden Sicherheitsupdates aktualisieren. Ein zusätzliches EGOCMS-Update ist zur Behebung dieser PHP-Sicherheitslücken nicht erforderlich.
Ergänzung 21.10.2026, 17:52 Uhr
Wir haben vorsorglich alle auf unseren Servern gehosteten Matomo-Instanzen vorübergehend abgeschaltet. Die Aktualisierung der betroffenen PHP-Versionen ist für den 22.10.2026 vorgesehen. Anschließend werden die Dienste wieder in Betrieb genommen.