Skip to Content

RangeeOS - Sicherheitshinweis PHP CVE-2026-109618 / 109619

Last modified by Tobias Wintrich on 2026/10/22 13:07

Firmware 13.00 build 241 und Firmware 12.00 build 264 (EOL) schließt die PHP Lücken CVE-2026-109618 und CVE-2026-10969 auf RangeeOS

Status & Übersicht

  • Schwachstellen-IDs: CVE-2026-109618 und CVE-2026-109619 (in der IT-Sicherheits-Community auch als "PHP2Shell" bezeichnet).
  • Schweregrad: Kritisch (CVSS v4.0 Score: 9.2 / 10 für beide Schwachstellen).
  • Bedrohungstyp: Remote Code Execution (RCE) im PHP-Kern.
  • Aktuelle Lage: Die Details zu den Schwachstellen sind infolge eines vorzeitigen Leaks am 20. Oktober 2026 an die Öffentlichkeit gelangt, noch bevor die offiziell koordinierten Patches bereitgestellt werden konnten. Sicherheitsbehörden wie das BSI und die CERT-EU haben bereits offizielle Sicherheitswarnungen
  • RangeeOS: Der benötigte PHP Patch ist ab Version 13.00 build 241 in unserer Firmware enthalten. Für RangeeOS 12 wird ebenfalls ein Patch erstellt und gerade getestet.

Lösung

Mit Firmware 13.00 build 241 wurde und Firmware 12.00 build 264 (EOL Firmware) die PHP Version auf PHP 8.3.6-0ubuntu0.24.04.13 (13.00) bzw. PHP 8.1.2-1ubuntu2.28 (12.00) angehoben. In diesen Versionen sind die Ubuntu seitigen Patches für CVE-2026-109618 und CVE-2026-10969 enthalten (siehe hierzu Changelog Ubuntu Launchpatch php8.3 8.3.6-0ubuntu0.24.04.13 - 13.00 ober Changelog Ubuntu Launchpatch PHP 8.1.2-1/8.1.2-1ubuntu2.28 - 12.00).

Führen Sie schnellst möglich auf Ihrem TCMS ein Update auf Firmware 13.00 build 241 oder höher aus (TCMS - Upgrade bzw. Update des TCMS).

Da ebenfalls die Kommbox nutzt wird empfohlen diese ebenfalls zeitnah auf Firmware 13.00 build 241 oder höher zu aktualisiseren.

Sollte ein Update des TCMS bei Ihnen zeitnah nicht möglich sein, gilt weiterhin diese Empfehlung:
Wenn Sie ihren TCMS über das Internet erreichbar haben (Port 80/443 oder zusätzlicher API Port - siehe hierzu TCMS in DMZ) empfehlen wir die Weiterleitung zu deaktivieren, bis eine gepatche Firmware zur Verfügung steht. Das abschalten der externen Verfügbarkeit hat erstmal keinen Einfluss auf die Clientseitige Konfiguration. Ein zuvor eingerichtet TCMS-VPN wird weiterhin funktionieren.