Update
PHP2Shell und React2Shell: Seiten bei VORREN sind nicht betroffen
Zwei kritische Lücken in PHP und React lassen Angreifer fremden Code auf Servern ausführen. Warum deine Seite bei VORREN nicht betroffen ist.
Im Oktober 2026 hat das PHP-Projekt zwei kritische Lücken geschlossen, die unter dem Namen PHP2Shell bekannt wurden. Ende 2025 traf React2Shell Seiten, die mit React Server Components oder Next.js laufen. Beide Lücken haben eines gemeinsam: Eine einzige präparierte Anfrage reicht, um auf dem Server fremden Code auszuführen, ganz ohne Anmeldung.
Seiten und Apps, die du mit VORREN veröffentlichst, sind von beiden nicht betroffen. Hier steht, warum.
PHP2Shell: zwei Lücken in PHP
Die Lücken mit den Nummern CVE-2026-109618 und CVE-2026-109619 stecken in PHP selbst, in fast allen Versionen. Betroffen ist jede Installation, die Anfragen aus dem Web beantwortet, etwa unter Apache oder mit PHP-FPM. Damit trifft PHP2Shell viele WordPress-Seiten, Shops und selbst geschriebene PHP-Anwendungen. Angriffe darauf laufen bereits. Abhilfe schafft nur ein Update auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35.
Warum Seiten bei VORREN nicht betroffen sind: In Seiten und Apps bei VORREN läuft kein PHP. Eine statische Seite und eine mit Vite gebaute Seite bestehen aus fertigen Dateien, die ein Webserver ausliefert. Apps laufen mit Node.js. Bringt dein Agent ein Projekt mit PHP mit, schreibt er es für VORREN um. Wo kein PHP läuft, kann auch keine PHP-Lücke greifen.
React2Shell: eine Lücke in React Server Components
React2Shell (CVE-2025-55182) steckt in den React Server Components, also in React-Code, der auf dem Server läuft und dort Seiten zusammensetzt. Betroffen waren React 19.0 bis 19.2 und damit auch Next.js. Die Lücke steht auf der Liste der US-Behörde CISA mit Lücken, die bereits ausgenutzt werden.
Warum Seiten bei VORREN nicht betroffen sind: VORREN rendert keine Seiten auf dem Server. Auch eine Seite mit React wird vorher zu fertigen Dateien gebaut, und der Server liefert nur diese Dateien aus. Next.js geht nur als statischer Export. Die Logik einer App läuft getrennt davon, ohne Server Components. Der angreifbare Teil ist also gar nicht im Spiel.
Steckt eine betroffene React-Version trotzdem in den Paketen deiner Seite, findet sie der tägliche Abgleich. Gibt es eine sichere Version ohne Umbau, aktualisiert VORREN sie in der Nacht selbst.
Was VORREN darüber hinaus tut
Dass eine Lücke nicht passt, ist nur ein Teil. Der andere ist, was passiert, wenn doch einmal eine trifft:
- Täglicher Sicherheitszyklus: VORREN gleicht jeden Tag alle eingesetzten Versionen mit öffentlichen Datenbanken für Sicherheitslücken ab, durchsucht den Server und aktualisiert betroffene Pakete und Seiten nachts selbst. Kritische Lücken meldet die Prüfung uns sofort.
- VORREN Guard: Vor jeder App steht ein eigener Wächter. Selbst wenn jemand den Code einer App übernimmt, erreicht er von dort weder andere Projekte noch die Technik von VORREN.
- Abgeschottete Projekte: Jede App läuft für sich, ohne Administratorrechte, schreibgeschützt und mit festen Grenzen für Speicher und Rechenzeit.
Wie das im Einzelnen aussieht, steht auf der Seite Sicherheit.
Du betreibst noch eine PHP-Seite?
Läuft eine WordPress-Seite oder eine andere PHP-Anwendung bei einem anderen Hoster, frag dort nach, ob PHP schon aktualisiert ist, oder spiel das Update selbst ein. Eine Einstellung, die PHP2Shell vollständig abwehrt, gibt es nach Angaben des PHP-Projekts nicht. Alternativ lässt du deinen Agenten die Seite neu bauen und veröffentlichst sie mit VORREN. Wie das geht, steht unter So geht's.