Status & Übersicht

• Schwachstellen-IDs: CVE-2026-109618 und CVE-2026-109619 (in der IT-Sicherheits-Community auch als "PHP2Shell" bezeichnet).
• Schweregrad: Kritisch (CVSS v4.0 Score: 9.2 / 10 für beide Schwachstellen).
• Bedrohungstyp: Remote Code Execution (RCE) im PHP-Kern.
• Aktuelle Lage: Die Details zu den Schwachstellen sind infolge eines vorzeitigen Leaks am 20. Oktober 2026 an die Öffentlichkeit gelangt, noch bevor die offiziell koordinierten Patches bereitgestellt werden konnten. Sicherheitsbehörden wie das BSI und die CERT-EU haben bereits offizielle Sicherheitswarnungen
• RangeeOS: Stand heute, 21.10.2026, 15:28 steht noch kein Patch zur Verfügung

Empfohlene Sofortmaßnahmen

Wenn Sie ihren TCMS über das Internet erreichbar haben (Port 80/443 oder zusätzlicher API Port - siehe hierzu TCMS in DMZ) empfehlen wir die Weiterleitung zu deaktivieren, bis eine gepatche Firmware zur Verfügung steht. Das abschalten der externen Verfügbarkeit hat erstmal keinen Einfluss auf die Clientseitige Konfiguration. Ein zuvor eingerichtet TCMS-VPN wird weiterhin funktionieren.