Als Verband weisen wir unsere Mitglieder auf die aktuelle Warnmeldung des Bundesamts für Sicherheit in der Informationstechnik (BSI) zur Programmiersprache PHP hin. Bitte prüfen Sie oder Ihre IT-Dienstleister alle mit PHP-programmierten Webseiten und Software und aktualisieren Sie diese bzw. lassen Sie Ihre PHP-Version aktualisieren. Bitte verfolgen Sie das aktuelle Geschehen zum Beispiel über die BSI-Webseite!

Was ist passiert?
Am 21.10.2026 wurden von den Entwicklern der Programmiersprache PHP zwei gravierende Sicherheitslücken geschlossen. Es sind alle PHP-Versionen, auch die aktuellen, betroffen. Da PHP die Grundlage von 70% der Webseiten auf der Welt ist, war bzw. ist das mediale Interesse sehr hoch.

Die Bewertung der Schwachstellen wird nach CVSS (Common Vulnerability Scoring System) mit 9,2 von 10 angegeben, sodass laut BSI (Bundesamt für Sicherheit in der Informationstechnik) die Betreiber von Webseiten, die auf PHP basieren, unverzügliche Maßnahmen ergreifen sollen. Daher wurden viele Webseiten vorsorglich vom Netz genommen, um diese vor möglichen Angriffen zu schützen.
Hier der Link zum Beitrag auf der BSI-Webseite: https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261021_PHP-kritische-Schwachstelle.html

Speziell an unsere VDKF-LEC-Kunden:

Was hat das mit VDKF-LEC zu tun?
Auch die LEC-Anwendung basiert auf der Programmiersprache PHP. Allerdings ist diese - im Gegensatz zu "normalen" Webseiten - NICHT für die Öffentlichkeit bestimmt und ist auch NICHT für diese zugänglich, sondern sollte i.d.R. im internen Firmennetzwerk betrieben werden, welches durch entsprechende IT-Maßnahmen vom Zugriff von außerhalb geschützt sein sollte.

Was sollten Sie tun?
1. Prüfen Sie, wo Ihre LEC-Anwendung installiert ist und welche Endgeräte darauf zugreifen.
-> Sollte dies innerhalb Ihres Firmennetzwerks sein und es greifen nur die darin vernetzten Endgeräte zu, so ist die Bedrohung vermutlich als nicht akut anzusehen, da die LEC-Anwendung dort nur lokal zu erreichen ist.

2. Prüfen Sie, ob Ihre LEC-Anwendung für mobile Endgeräte (Laptop, Tablet oder Smartphone) von außerhalb des Büros erreichbar ist.
-> Sofern dem so ist, sollte der mobile Zugriff unbedingt über einen VPN-Tunnel geschehen und NICHT über einen direkten Aufruf über eine Webadresse. Eine über einem VPN-Tunnel erreichbare LEC-Anwendung ist vor Angriffen außerhalb des Tunnels geschützt, d.h. die Bedrohung kann ebenfalls als nicht akut angesehen werden.
-> Sofern Ihr LEC DIREKT über das Internet, d.h. OHNE VPN-Tunnel, erreichbar sein sollte, so sprechen Sie umgehend mit Ihrem IT-Dienstleister über die Einrichtung und Konfiguration des VPN-Tunnels, da dieser einen Schutz gegen Angriffe beim mobilen Zugriff auf das Firmennetzwerk bietet.

Wie kann ich dennoch das PHP meines VDKF-LEC updaten?
Auch wenn aufgrund des zuvor Gesagten die Bedrohung für die LEC-Anwendung vermutlich nicht akut ist, ist es ratsam das PHP zu aktualisieren. Je nach Installationsort und -umgebung ist differenziert vorzugehen.
Hinweis: Das Patch sollte nur von IT-versierten Personen durchgeführt werden. Im Zweifelsfall wenden Sie sich bitte an Ihren IT-Dienstleister oder den technischen Support von LEC.
Hinweis: LEC ist derzeit nur für PHP 8.2 freigegeben, daher noch keine höheren PHP-Versionen verwenden!

Schritt 1: Wo und wie ist meine LEC-Anwendung installiert?
o Öffnen Sie die LEC-Anwendung und gehen Sie links auf Hilfe.
o Dort sollte ganz unten mindestens der Versionstand 2024.2.0 stehen.
o Klicken Sie auf "Support per email anfordern".
o Füllen Sie die Pflichtfelder aus.
o Gehen Sie auf "Support-email generieren".
o Schicken Sie die email NICHT ab!
o Am Ende stehen die Systeminformationen, woraus Installationsort und -pfad zu erlesen ist.

Schritt 2: Wie führe ich das Update der PHP-Version durch?

Schritt 2a nur, wenn der Eintrag bei "Installiert auf" mit L16 oder S16 endet (= Standardinstallation):
o Lokalisieren Sie anhand "Installiert auf" den Rechner/Server, auf dem LEC installiert ist. Ein "localhost" bzw. "127.0.0.1" deutet dabei auf den Rechner/Server hin, an dem Sie sich gerade befinden.
Andernfalls helfen der dort angegebene Name bzw. die IP-Adresse weiter.
o Beenden Sie LEC, indem Sie "LEC-Server Stop" ausführen oder den Apache-Dienst in den Diensten stoppen.
o Laden Sie das PHP-Patch für PHP 8.2 herunter und entpacken Sie die Dateien in einem separaten Verzeichnis:
https://downloads.php.net/~windows/releases/archives/php-8.2.35-Win32-vs16-x64.zip
o Suchen und öffnen Sie das PHP-Verzeichnis "C:\xampp\php" oder "D:\xampp\php".
Einen Hinweis auf das korrekte Laufwerk können Sie aus dem Eintrag "Installationspfad" erlesen.
o Kopieren Sie alle zuvor entpackten Dateien des Patches in das zuvor ermittelte PHP-Verzeichnis, sodass die dort vorhandenen Dateien überschrieben werden. Sollte die Meldung kommen, dass die Dateien nicht überschrieben werden können, so wurde LEC wahrscheinlich nicht korrekt beendet. Beenden Sie LEC wie weiter oben beschrieben und wiederholen Sie den Kopiervorgang.
o Wurden alle Dateien kopiert, so wurde das Update von PHP erfolgreich durchgeführt.
o Je nachdem, wie Sie LEC beendet haben, starten Sie LEC, indem Sie "LEC-Server Start" ausführen oder den Apache-Dienst in den Diensten starten.

Schritt 2b nur, wenn der Eintrag bei "Installiert auf" mit S25 oder S26 endet (= individuelle Serverinstallation):
o Implementieren Sie die neue PHP-Version innerhalb des IIS.
o Laden Sie das PHP-Patch für PHP 8.2 herunter:
https://downloads.php.net/~windows/releases/archives/php-8.2.35-nts-Win32-vs16-x64.zip
o Orientieren Sie sich bitte an Punkt 2.2. des Installationsleitfadens:
https://lec.ziu-kassel.de/phocadownload/installation/I__C1_LEC_Anleitung_WindowsServer_de.pdf
o Die in dem Zusammenhang bereits installierten Treiber für die Datenbank, der PHP Manager und die VC-Runtime brauchen nicht nochmal installiert zu werden.
o Die Extensions für die Datenbank können in das neue Extension-Verzeichnis kopiert werden und müssen dann im PHP Manager wieder für das neue PHP aktiviert werden.
o Ebenso ist der IonCube-Loader wieder einzubinden und die PHP.INI zu konfigurieren (siehe Punkt 2.3 und 2.4 des Installationsleitfadens)