Zwei kritische Schwachstellen in PHP können Angreifern ermöglichen, ohne Anmeldung Schadcode auf betroffenen Servern auszuführen. Sicherheitsupdates sind jetzt verfügbar. Prüfen Sie neben Webservern auch Anwendungen und Geräte, die PHP als integrierte Komponente verwenden. 

Siehe Artikel des BSI: PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit

Die Überprüfung der LM Softwarekomponenten hat Folgendes ergeben:

LM

3A

3A Software basiert auf ArcGIS von Esri : Hier gibt es von Esri aktuelle Informationen.  Recent PHP Vulnerabilities

DAVID

Informationen zur Überprüfung weiterer VertiGIS (nicht LM) Produkte finden Sie hier:

Latest Information about PHP2Shell Vulnerability (CVE-2026-109618 and CVE-2026-109609) – VertiGIS Support

Hinweis 1 

Für 3A Web und LM Explorer 

Sowohl 3A Web (Web-Anwendung „ASmobile“) als auch LM Explorer (Web-Anwendung „portal“) enthalten einzelne PHP-Dateien, die als Bestandteil der verwendeten Dojo-Bibliothek ausgeliefert werden.

Wichtig: Die Anwendungen selbst enthalten keine PHP-Laufzeitumgebung. Eine Gefährdung besteht daher nur, wenn auf dem jeweiligen Server zusätzlich eine PHP-Laufzeitumgebung installiert und so konfiguriert ist, dass PHP-Dateien ausgeführt werden können.

Ob eine PHP-Laufzeitumgebung auf dem Server vorhanden bzw. aktiv ist, kann beispielsweise mit folgenden Befehlen geprüft werden:

• php -v                             Prüft, ob eine PHP-Laufzeitumgebung installiert ist.
• ps -ef | grep php             Prüft, ob PHP-Prozesse laufen.
   

Ist keine PHP-Laufzeitumgebung installiert bzw. aktiv, können die mitgelieferten PHP-Dateien nicht ausgeführt werden.

Unabhängig davon empfehlen wir, die folgenden Dateien zu entfernen, da sie für den Betrieb der Anwendungen nicht benötigt werden:

• scripts\arcgis-js\dojox\analytics\logger\dojoxAnalytics.php
• scripts\arcgis-js\dojox\analytics\logger\JSON.php
• scripts\arcgis-js\dojox\form\resources\ReceiveFile.php
• scripts\arcgis-js\dojox\resources\explore.php

Die Dateien befinden sich in folgenden Verzeichnissen:

• 3A Web: "<Tomcat>\webapps\ASmobile"
• LM Explorer:  "<Tomcat>\webapps\portal"

Für 3A Web mit RIA-Klienten gilt zusätzlich:

Entfernen Sie die folgenden PHP-Dateien, um nicht benötigte und potenziell sicherheitsrelevante Beispiel- und Protokollierungsfunktionen aus dem RIA-Klienten zu entfernen.

• ASC_RIA\scripts_ria\arcgis_compact\dojox\analytics\logger\dojoxAnalytics.php
• ASC_RIA\scripts_ria\arcgis_compact\dojox\analytics\logger\JSON.php
• ASC_RIA\scripts_ria\arcgis_compact\dojox\form\resources\ReceiveFile.php
• ASC_RIA\scripts_ria\arcgis_compact\dojox\resources\explore.php

Suchen Sie außerdem im Verzeichnis „ASC_RIA\scripts_ria\ext\examples“ nach Dateien mit der Endung „.php“ und löschen Sie alle gefundenen Dateien.

Hinweis 2

Für LM Explorer und LM Services

Die MapServer-Software wird nicht von VertiGIS ausgeliefert, kommt jedoch im LM Explorer und in den LM Services zum Einsatz. Eine Überprüfung hat ergeben, dass PHP standardmäßig installiert ist, für die Nutzung unserer Anwendungen jedoch nicht benötigt wird.

Um PHP in der MapServer Installation zu deaktivieren, gehen Sie wie folgt vor:

• Öffnen Sie im Installationsverzeichnis des MapServers (z. B. D:\ms4w) die Datei „Apache\conf\httpd.conf“ und suchen Sie die folgenden Zeilen:
  • AddType application/x-httpd-php .php8 .php7 .php5 .php4 .php3 .phtml .php
  • Action application/x-httpd-php /cgi-bin/php-cgi.exe
     
• Ändern Sie diese wie folgt (auskommentieren):
  • #AddType application/x-httpd-php .php8 .php7 .php5 .php4 .php3 .phtml .php

  • #Action application/x-httpd-php /cgi-bin/php-cgi.exe

     

• Löschen Sie im Verzeichnis „Apache\cgi-bin“ die folgenden Dateien:
  • php-cgi.exe 

  • php.ini

     

• Starten Sie anschließend den Dienst „ApacheMS4WWebServer“ neu.

Damit ist PHP für den MapServer deaktiviert.

Überprüfung der Deaktivierung:

• Erstellen Sie im Installationsverzeichnis des MapServers (z. B. D:\ms4w) unter „Apache\htdocs“ eine Datei namens „phpinfo.php“ mit folgendem Inhalt:

           <?php phpinfo(); ?>

• Rufen Sie anschließend im Browser die URL „http://<server>/phpinfo.php“ auf.
  • Ist PHP weiterhin aktiviert, erscheint eine PHP-Informationsseite mit Angaben zur Version und Konfiguration. 
  • Ist PHP deaktiviert, wird der Dateiinhalt lediglich als Text angezeigt oder zum Download angeboten; der PHP-Code wird nicht ausgeführt.