Die Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619 ermöglichen unter bestimmten Voraussetzungen die Ausführung fremden Codes auf dem Server, und das unter Umständen ganz ohne vorherige Anmeldung. Beide wurden mit einem Schweregrad von 9,2 bewertet.

Warum ältere Magento Shops besonders betroffen sind

Magento 1 benötigt in vielen Installationen noch PHP 5.x oder PHP 7.x. Auch ältere Magento 2 Installationen sind häufig an bestimmte PHP Versionen gebunden.

Ein Wechsel auf PHP 8.3 oder 8.4 kann deshalb dazu führen, dass der Shop nicht mehr funktioniert. Veraltete Bibliotheken, individuelle Erweiterungen und Anpassungen am Magento Core machen den Wechsel mitunter zu einem größeren Projekt.

Das Problem dabei: PHP 5.x und PHP 7.x erhalten keine regulären Sicherheitsupdates mehr. Ein Shop, der gestern noch problemlos funktionierte, kann heute also einer erheblichen zusätzlichen Gefahr ausgesetzt sein.

Übrigens sind auch ältere PHP 8 Versionen betroffen. Allein die Versionsnummer 8 bedeutet noch nicht, dass ein System sicher ist.

Was können Shopbetreiber jetzt tun?

Die gute Nachricht ist, dass nicht zwingend sofort der komplette Magento Shop modernisiert werden muss, um das Risiko zumindest vorübergehend zu reduzieren.

Je nach Serverkonfiguration kommen unter anderem folgende Maßnahmen infrage:

• Webserver absichern: Gefährliche Anfragen möglichst bereits durch Apache, nginx oder eine vorgeschaltete Firewall abweisen.
• PHP Konfiguration härten: Bestimmte PHP Funktionen deaktivieren und die Verarbeitung von Anfragen serverseitig begrenzen.
• Adminbereich schützen: Den Magento Administrationsbereich zusätzlich absichern und unnötige öffentliche Zugriffsmöglichkeiten reduzieren.
• Hosting prüfen: Klären, ob der Anbieter Sicherheitskorrekturen für die verwendete alte PHP Version bereitstellt.
• Magento Erweiterungen kontrollieren: Nicht mehr benötigte Funktionen entfernen und gefährdete Schnittstellen möglichst einschränken.

Wichtig: Diese Maßnahmen ersetzen keinen Sicherheitspatch für PHP selbst. Sie können bestimmte Angriffsmöglichkeiten einschränken, bieten aber keinen vollständigen Schutz. Im Zweifelsfall muss ein gefährdetes System vorübergehend vom öffentlichen Zugriff getrennt werden.

Warum nicht einfach PHP aktualisieren?

Wer einen aktuellen Magento 2 Shop betreibt, kann oftmals vergleichsweise unkompliziert auf eine unterstützte PHP Version wechseln, sofern die installierten Erweiterungen mitspielen.

Bei Magento 1 oder älteren Magento 2 Versionen sieht es anders aus. Hier müssen zunächst die technischen Abhängigkeiten untersucht werden. Eventuell lassen sich einzelne Erweiterungen anpassen, an anderer Stelle wird eine umfassendere Aktualisierung notwendig.

Ein pauschaler Wechsel der PHP Version ist deshalb keine gute Idee. Schließlich soll der Shop nach der Sicherheitsmaßnahme auch weiterhin vollständig funktionieren.

Ich unterstütze Sie bei der Absicherung Ihres Magento Shops

Sie betreiben einen Magento 1 oder Magento 2 Shop mit PHP 5.6, 7.4 oder einer anderen veralteten PHP Version und wissen nicht, wie Sie auf die aktuellen Sicherheitslücken reagieren sollen?

Dann kontaktieren Sie mich gerne.

Ich prüfe Ihre bestehende Magento Installation, die PHP Umgebung und die Möglichkeiten zur kurzfristigen Absicherung. Dabei geht es zunächst darum, das tatsächliche Risiko zu bewerten und sinnvolle Maßnahmen umzusetzen, ohne unnötig in einen funktionierenden Shop einzugreifen.

Wenn eine dauerhafte Aktualisierung erforderlich ist, erarbeiten wir anschließend einen passenden Weg. Von der Anpassung einzelner Erweiterungen bis zum vollständigen Magento Update.

Weiterführende Informationen

Die offiziellen Informationen zu den Schwachstellen, betroffenen PHP Versionen und verfügbaren Sicherheitsupdates finden Sie direkt beim PHP Entwicklungsteam.

Die Umstellung kann in den meisten Fällen mit überschaubarem zeitlichen und finanziellen Aufwand durchgeführt werden. Mehr zum Thema Magento 1 und PHP 7 erfahren Sie in meinem Beitrag Magento 1 und PHP 7.

Sie möchten Ihren Shop auf PHP 7 umstellen lassen? Melden Sie sich einfach bei mir, ich führe die Umstellung gerne für Sie durch.

Stellt man Magento 1 auf PHP 7 um, kann es zu Problemen beim Betrieb des Shops kommen. Diese rühren meist aus Extensions von Drittanbietern, sind aber durchaus lösbar. Wenn Sie die Vorteile von PHP 7 nutzen möchten, sollten Sie vor der Umstellung eine Analyse Ihres Magento Shops durchführen lassen. In der Regel kann die Umstellung dann mit wenig Aufwand durchgeführt werden.

Melden Sie sich bei mir, ich berate Sie gerne zum Thema und führe natürlich auch die Umstellung für Sie durch.