Erforderliche Maßnahme: Aktualisieren Sie die von Ihrer WebEA-Installation verwendete PHP-Version

Zwei kritische Sicherheitslücken in der PHP-Laufzeitumgebung (CVE-2026-109618 und CVE-2026-109619) erfordern sofortige Updates.

Da WebEA auf PHP basiert, sollten Kunden, die eine eigene WebEA-Installation betreiben, ihren IT-Administrator oder Hosting-Anbieter bitten, die zugrunde liegende PHP-Umgebung unverzüglich zu aktualisieren, insbesondere wenn diese über das Internet zugänglich ist.

Wir möchten Sie dringend auf zwei kürzlich bekannt gewordene kritische Sicherheitslücken in PHP aufmerksam machen, die gemeinhin als „PHP2Shell“ bezeichnet werden:

  • CVE-2026-109618
  • CVE-2026-109619

Beide Schwachstellen werden als „kritisch“ (CVSS 9,2) eingestuft und können es nicht authentifizierten Angreifern ermöglichen, bösartigen Code auf betroffenen Webservern auszuführen.

Warum ist das für Sie von Bedeutung?

Als Nutzer des Sparx Systems Pro Cloud Servers verwenden Sie möglicherweise auch WebEA, die browserbasierte Schnittstelle für den Zugriff auf Enterprise Architect-Modelle.

WebEA nutzt PHP als Teil seiner zugrunde liegenden Webserver-Infrastruktur.

PHP selbst ist nicht Bestandteil der Pro Cloud Server-Installation und muss vom Kunden oder dessen Hosting-Anbieter separat installiert, konfiguriert und gewartet werden.

Folglich können Installationen, die betroffene PHP-Versionen verwenden, diesen Sicherheitslücken ausgesetzt sein, insbesondere wenn WebEA über das öffentliche Internet zugänglich ist.

Sofortige Maßnahmen erforderlich

Wir empfehlen Ihnen dringend, Ihr IT- oder Sicherheitsteam zu bitten:

 

  1. Zu überprüfen, ob WebEA in Ihrer Pro Cloud Server-Umgebung installiert ist und aktiv genutzt wird.
  2. Ermitteln Sie die PHP-Version, die von dem Webserver verwendet wird, auf dem WebEA gehostet wird.
  3. Aktualisieren Sie PHP unverzüglich auf eine mit Sicherheitspatches versehene, unterstützte Version, die die Schwachstellen CVE-2026-109618 und CVE-2026-109619 behebt.
  4. Behandeln Sie öffentlich zugängliche Installationen vorrangig, da diese besonders anfällig für nicht authentifizierte Angriffe sein können.
  5. Falls ein sofortiges Update nicht möglich ist, beschränken Sie vorübergehend den externen Zugriff auf betroffene Installationen, bis die Behebung abgeschlossen ist.
  6. Überprüfen Sie relevante Server- und Sicherheitsprotokolle auf Anzeichen verdächtiger Aktivitäten.

Das PHP-Projekt hat am 21. Oktober 2026 Sicherheitspatches veröffentlicht. Bitte stimmen Sie das Update mit Ihrem IT-Administrator oder Hosting-Anbieter ab und überprüfen Sie die Kompatibilität mit Ihrer WebEA-Version.

Wichtiger Hinweis

Diese Sicherheitsempfehlung bedeutet nicht, dass eine Schwachstelle im Sparx Systems Pro Cloud Server selbst identifiziert wurde.

Die gemeldeten Sicherheitslücken betreffen PHP, eine externe Software-Abhängigkeit, die für den Betrieb von WebEA erforderlich ist.

Da wir die PHP-Installationen in kundenbetriebenen Umgebungen nicht verwalten, können wir nicht feststellen, ob Ihre Installation betroffen ist. Wir informieren daher vorsorglich alle Pro Cloud Server-Kunden.

Weitere Informationen

PHP-Sicherheitsupdates:
https://www.php.net/

Offizielle Sparx Systems WebEA-Dokumentatio:
https://sparxsystems.com/enterprise_architect_user_guide/17.2/the_model_repository/webea_website.html