Kritische PHP-Sicherheitslücken (PHP2Shell) – Handlungsbedarf bei SIQUANDO proShop 10?

Hallo zusammen

Am 21. Oktober 2026 wurden unter der Bezeichnung PHP2Shell zwei kritische Sicherheitslücken in PHP bekannt (CVE-2026-109618 und CVE-2026-109619).

Da diese Schwachstellen direkt PHP betreffen, liegt die Behebung grundsätzlich beim jeweiligen Hosting-Anbieter, der die entsprechenden Sicherheitsupdates einspielen muss.

Allerdings stellt sich für uns Anwender von SIQUANDO proShop 10 eine wichtige Frage:

Ist sichergestellt, dass proShop 10 mit den aktualisierten und abgesicherten PHP-Versionen weiterhin uneingeschränkt funktioniert?

Insbesondere interessieren mich dabei die Shopfunktionen wie Warenkorb, Bestellabwicklung, Zahlungsfunktionen und Datenbankzugriffe.

Eigentlich wäre dies eine Frage, die ich direkt an SIQUANDO richten würde. Da ich allerdings bereits seit längerer Zeit auf meine Anfragen keine Antworten mehr von SIQUANDO erhalte, deponiere ich mein Anliegen nun hier im Forum – in der Hoffnung, dass SIQUANDO gelegentlich mitliest und sich vielleicht sogar zu einer Stellungnahme bewegen lässt.

Daher meine konkreten Fragen an SIQUANDO:

• Wurde proShop 10 bereits auf die Kompatibilität mit den aktuellen PHP-Sicherheitsupdates geprüft?

• Kann SIQUANDO bestätigen, dass sämtliche Shopfunktionen weiterhin einwandfrei funktionieren?

• Ist allenfalls ein Update von proShop 10 erforderlich?

Mir ist durchaus bewusst, dass SIQUANDO nicht für Sicherheitslücken im PHP-Interpreter verantwortlich ist. Allerdings sollte aus meiner Sicht sichergestellt sein, dass wir als Shopbetreiber die notwendigen Sicherheitsupdates unserer Hosting-Anbieter ohne Kompatibilitätsprobleme einsetzen können.

Schliesslich kann es kaum im Interesse der Shopbetreiber sein, zwischen einem sicheren PHP-Server und einem funktionierenden Onlineshop wählen zu müssen.

Eine kurze offizielle Stellungnahme von SIQUANDO wäre deshalb sicherlich nicht nur für mich, sondern auch für andere proShop-10-Anwender hilfreich.

Träum schön weiter, Rene.��

Das Siquando mitliest glaube ich gerne aber in den mehr als 12 Jahren, die dieses Forum bereits existiert, hat Siquando noch nie auf einen Beitrag geantwortet. Es ist so weit ich weiß nicht mal jemand von der Firma hier als Mitglied registriert,

Deshalb traue ich mir mit ziemlicher Sicherheit zu sagen, dass es auch diesmal nicht anders sein wird.

Ich kann dir nur raten deine Sorgen bei Siquando selbst zu äussern.

Hallo Marjorie

Na ja, träumen darf man ja bekanntlich noch – und die Hoffnung stirbt bekanntlich zuletzt!

Ganz so schlimm wie mit den 12 Jahren ist es bei mir allerdings noch nicht. Siquando antwortet mir erst seit etwa zwei Jahren nicht mehr. Vielleicht hat ja ein anderer User hier im Forum mehr Glück und bekommt tatsächlich noch eine Antwort. Das wäre dann vermutlich schon fast eine kleine Sensation!

Und wenn ich mich richtig erinnere, hat Siquando vor noch nicht allzu langer Zeit, als wir hier gemeinsam an einem Code gebastelt haben, sogar relativ schnell reagiert. Genau solche Erlebnisse lassen mich hoffen, dass vielleicht auch dieser Traum irgendwann Wirklichkeit wird.

Aber ja, Du hast natürlich recht: Die Frage gehört eigentlich offiziell an Siquando gerichtet.

Andererseits denke ich mir, wenn ich mit meinem Beitrag hier im Forum vielleicht einem anderen User helfen kann, indem ich lediglich darauf hinweise, wo der Teufel möglicherweise im Detail steckt, dann hat sich das Ganze doch bereits gelohnt. Schliesslich könnte jemand vor demselben Problem stehen, ohne überhaupt zu ahnen, wo die Ursache liegt.

Und wer weiss, vielleicht liest bei Siquando ja tatsächlich jemand unter einem Pseudonym mit. Oder die Firma lässt sich täglich die neuesten Nachrichten aus dem Forum auf den Bildschirm servieren – quasi als morgendliche Pflichtlektüre zum Kaffee.

Antworten muss ja niemand gleich. Manchmal würde es schon reichen, wenn im Hintergrund jemand aufwacht, sich denkt «Hoppla, da könnte tatsächlich etwas dran sein!» und anschliessend etwas unternimmt.

In diesem Sinne träume ich noch ein bisschen weiter. Und sollte Siquando eines Tages tatsächlich hier im Forum antworten, verspreche ich Dir, dass ich vor lauter Überraschung beinahe vom Stuhl falle!

Hallo René,

selbst wenn dir Siquando auf diese Fragen antworten möchte, kann Siquando derzeit diese Fragen gar nicht beantworten.
Mit diesen Patch sind zwar einige Hauptszenarien in Bezug auf CVE-2026-109618 und CVE-2026-109619 behoben worden, jedoch noch nicht alle und weitere heute festgestellte Szenarien, die sogar noch keine CVE-Nummer haben.
Diese bisherige Behebungen sind ja nicht mit alter Version durchgeführt worden, sondern auf die neueste Version, in dem auch andere Änderungen eingeflossen sind. Diese Änderungen bzw. diese erst veröffentlichten Patch oder ander gesagt neu PHP-Versionen hat Siquando mit Sicherheit noch keine Testergebnisse.
Derzeit werden auch weitere erkannte Sicherheitslücken analysiert, da kann davon ausgegengen werden, das es weitere Patches geben wird.
Übrigens in einem Sicherheits-Audit wurden die beiden Sicherheitlücken angeblich im Jahr 2024 angesprochen. Also wohl auch kein alter Hut mehr. Das erklärt auch jetzt das immer mehr Serverausfälle, mangelnde Erreichbarkeit einzelner Server der letzten Monate. Die Angriffsversuche sind also schon viel länger am laufen, als alle jetzt überrascht über die Medienberichte sind. Auf "Borns-IT und Windows-Blog" wird zur Zeit interessante Zusammenfassungen geschrieben. Übrigens. ich würde lieber nicht versprechen, das ich vor lauter Überraschung vom Stuhl fall. 

Ergänzung, falls dies bzgl. "Sicherheitslücke seit 2024 bekannt", für den einen oder anderen interessiert:
Hier Borns Blog-Beitrag

Hallo Thomas,

vielen Dank für Deine ausführliche und interessante Rückmeldung.

Dass Siquando zum jetzigen Zeitpunkt noch keine verbindliche Aussage zur Kompatibilität mit den neuesten PHP-Sicherheitsupdates machen kann, ist für mich durchaus nachvollziehbar. Schliesslich wäre es etwas viel verlangt, wenn Siquando bereits Testergebnisse zu PHP-Versionen vorlegen könnte, bei denen offenbar selbst die Entwickler noch fleissig am Nachbessern sind.

Allerdings geht meine eigentliche Frage etwas in eine andere Richtung.

Ich erwarte von Siquando keineswegs, dass man heute schon sämtliche Auswirkungen dieser Sicherheitslücken kennt oder gar eine fertige Lösung präsentieren kann.

Was ich mir hingegen wünschen würde, wäre eine kurze offizielle Information darüber, ob man sich mit der Problematik bereits beschäftigt und welche Auswirkungen allenfalls auf die aktuellen proWeb- und proShop-Versionen zu erwarten sind.

Denn schliesslich sind wir als Kunden darauf angewiesen, dass unsere Software auch mit den künftig notwendigen PHP-Sicherheitsupdates funktioniert. Und die Provider werden wohl kaum aus Rücksicht auf Siquando dauerhaft bei älteren PHP-Versionen bleiben.

Eine kurze Stellungnahme wäre deshalb schon ein erfreuliches Lebenszeichen aus dem Hause Siquando. Es muss ja nicht gleich eine wissenschaftliche Abhandlung sein.

Und was Deinen Hinweis mit dem Stuhl betrifft: Keine Sorge, Thomas!

Ich werde vorsichtshalber künftig nur noch auf einem besonders stabilen Stuhl sitzen, wenn ich ins Forum schaue. Sollte Siquando tatsächlich einmal überraschend auf eine meiner Fragen antworten, möchte ich schliesslich nicht riskieren, dass aus einem freudigen Ereignis auch noch ein Versicherungsfall wird.