Ist WORKSPACE.PM von der PHP-Sicherheitslücke „PHP2Shell“ betroffen?

Stand: 22. Oktober 2026

Kurz gesagt

Nein. WORKSPACE.PM verwendet an keiner Stelle PHP, weder in der Anwendung noch auf unserer Website oder in unserer Infrastruktur. Weder die Managed-Cloud noch On-Premises-Installationen sind von den Schwachstellen CVE-2026-109618 und CVE-2026-109619 betroffen. Sie müssen für WORKSPACE.PM nichts unternehmen.

Worum geht es?

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Schwachstellen im Kern des PHP-Interpreters veröffentlicht und behoben. Sie sind unter dem Namen „PHP2Shell“ bekannt geworden:

CVE-2026-109618: Ausführung von Schadcode durch fehlerhafte Speicherbehandlung bei Speichermangel
CVE-2026-109619: Ausführung von Schadcode durch veralteten Zustand, den eine spätere Anfrage im selben Prozess wiederverwenden kann

Beide Lücken sind mit CVSS 9.2 (kritisch) bewertet. Sie lassen sich ohne Anmeldung über eine einzige Web-Anfrage ausnutzen. Betroffen sind PHP-Installationen, die Web-Anfragen beantworten, etwa über PHP-FPM, mod_php, php-cgi, FrankenPHP oder LiteSpeed.

Warum ist WORKSPACE.PM nicht betroffen?

Die Lücken stecken im PHP-Interpreter selbst. Betroffen ist also nur, wer PHP ausführt. WORKSPACE.PM ist ohne PHP gebaut:

Anwendung und Schnittstellen laufen auf Node.js (TypeScript).
Der On-Premises-Installer wsp ist in Go geschrieben.
Die Konvertierung von Projektplänen (z. B. MS Project) läuft auf Java.
Datenhaltung erfolgt in PostgreSQL und Redis.

Keines unserer ausgelieferten Container-Images enthält einen PHP-Interpreter. Auch unsere Website und die Infrastruktur, auf der die Managed-Cloud betrieben wird, kommen ohne PHP aus.

Was ist mit meinem eigenen Server (On-Premises)?

WORKSPACE.PM selbst bringt kein PHP mit. Betreiben Sie auf demselben Server oder in Ihrem Netz andere Anwendungen, die PHP nutzen, etwa ein CMS, ein Intranet oder ein Ticketsystem, sollten Sie diese unabhängig von WORKSPACE.PM prüfen:

Stellen Sie fest, welche PHP-Version im Einsatz ist (z. B. mit php -v).
Aktualisieren Sie auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 oder spielen Sie die Sicherheitsupdates Ihrer Linux-Distribution ein.
Versionen ab PHP 8.1 abwärts erhalten vom PHP-Projekt keine regulären Updates mehr. Planen Sie hier eine Umstellung auf eine unterstützte Version.

Weiterführende Informationen

Bei Fragen erreichen Sie unseren Support jederzeit über die oben verlinkte Seite.