Kritische PHP-Sicherheitslücke: carento Produkte sind nicht betroffen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt aktuell vor zwei kritischen Schwachstellen in der Programmiersprache PHP. Die wichtigste Nachricht vorweg: Der carento claim manager, der carento rent manager, der carento fleet manager und die Plattform carento fusion sind nicht betroffen. Unsere Systeme nutzen kein PHP.

Was das BSI meldet

In seiner Cybersicherheitswarnung vom 22.10.2026 beschreibt das BSI zwei Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619, auch bekannt als „PHP2Shell“. Beide sind nach CVSS 4.0 mit 9.2 von 10 Punkten bewertet. Angreifer könnten darüber aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen. Eine Anmeldung oder ein Zutun von Nutzern ist dafür nicht nötig.

Das PHP-Projekt hat am 21.10.2026 Sicherheitsupdates veröffentlicht. Betroffen sind laut PHP alle Installationen, die Webanfragen bedienen. Das BSI rät, die Patches unverzüglich zu installieren. Weil PHP auch in Netzwerkkomponenten integriert sein kann, veröffentlichen inzwischen zudem immer mehr Hersteller solcher Geräte eigene Hinweise.

• Schwachstellen: CVE-2026-109618 und CVE-2026-109619 („PHP2Shell“)
• Bewertung: CVSS 4.0, 9.2 von 10
• Risiko: Ausführung von Schadcode aus der Ferne, ohne Anmeldung und ohne Nutzerinteraktion
• Behoben in: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35
• Ältere Versionen: PHP 8.1 und älter erhalten vom PHP-Projekt keine regulären Updates mehr

Warum carento nicht betroffen ist

Die Schwachstellen stecken in PHP selbst. Betroffen sind daher nur Systeme, die PHP einsetzen. Der carento claim manager, der carento rent manager, der carento fleet manager und carento fusion basieren nicht auf PHP. Für Ihre Schadenabwicklung, Ihre Vermietung und Ihr Fuhrparkmanagement mit carento besteht durch diese Lücken kein Risiko, und Sie müssen in unserer Software nichts unternehmen.

Sicherheit im Blick, auch wenn wir nicht betroffen sind

Auch wenn diese Lücke unsere Systeme nicht berührt: Wir haben die Sicherheitslage im Blick und beobachten potenzielle Schwachstellen proaktiv. Meldungen wie die des BSI prüfen wir zeitnah darauf, ob sie unsere Systeme betreffen, damit Sie sich auf Ihr Tagesgeschäft konzentrieren können.

Betreiben Sie im eigenen Haus Anwendungen auf Basis von PHP, etwa Ihre Website oder einen Webshop, empfehlen wir, der Empfehlung des BSI zu folgen und die verfügbaren Updates einzuspielen.

Fragen zur Sicherheit Ihrer carento Systeme beantworten wir gerne. Sprechen Sie Ihren Ansprechpartner bei carento an oder schreiben Sie an vertrieb@carento.de.