Uns erreichen derzeit Rückfragen zur aktuellen Sicherheitswarnung des Bundesamts für Sicherheit in der Informationstechnik (BSI) zu PHP. Wir haben deshalb den aktuellen SupraWorx-Quellcode und die hinterlegte Betriebskonfiguration geprüft. Nach dieser Prüfung ist die SupraWorx-Anwendung von den beiden gemeldeten Schwachstellen CVE-2026-109618 und CVE-2026-109619 nicht direkt betroffen.
Technischer Hintergrund
SupraWorx basiert auf Python und dem Webframework Django. Die geprüfte Anwendungskonfiguration sieht keine PHP-Laufzeit für die Verarbeitung der Anfragen vor. Die aktuell gemeldeten Schwachstellen betreffen hingegen PHP-Installationen, die Webanfragen verarbeiten.
Die auch als „PHP2Shell“ bezeichneten Schwachstellen können auf betroffenen Systemen die Ausführung von Schadcode ohne vorherige Anmeldung ermöglichen. Das BSI hat dazu eine Sicherheitswarnung veröffentlicht. Das PHP-Projekt stellt seit dem 21. Oktober 2026 Sicherheitsupdates und technische Hinweise bereit.
Was bedeutet das für die Nutzung von SupraWorx?
Für die reine Nutzung der SupraWorx-Anwendung ergibt sich aus diesen beiden Schwachstellen nach aktuellem Prüfstand kein zusätzlicher Handlungsbedarf.
Diese Einordnung gilt für den geprüften Anwendungs- und Konfigurationsstand. Separat betriebene PHP-Webseiten, eigene Erweiterungen und angebundene Drittprodukte sind davon nicht erfasst und müssen gesondert bewertet werden. Auch ENISA weist darauf hin, dass PHP in anderen Produkten im Hintergrund enthalten sein kann. Deren Betreiber sollten die jeweiligen Herstellerhinweise beachten und erforderliche Sicherheitsupdates einspielen.
