Kritische PHP-Sicherheitslücken: invoiceR ist nicht betroffen

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen, bekannt unter dem Namen „php2shell“ (CVE-2026-109618 und CVE-2026-109619). Beide erlauben es Angreifern, ohne Anmeldung eigenen Code auf einem Webserver auszuführen, der mit PHP läuft. Das europäische Computer-Notfallteam CERT-EU und die US-Behörde CISA raten zum sofortigen Update, denn die Lücken werden bereits aktiv ausgenutzt. Mehrere Kundinnen und Kunden haben uns gefragt, ob invoiceR betroffen ist.

Kurz gesagt: invoiceR ist nicht betroffen

invoiceR enthält kein PHP. Das gilt für alle Varianten:

• invoiceR Cloud und Installationen vor Ort (On-Premises) laufen auf Microsoft .NET mit einer Microsoft-SQL-Datenbank.
• Die Bedienoberfläche ist eine Web-Anwendung, die direkt im Browser läuft. Auch sie braucht auf dem Server kein PHP.
• Keine Erweiterung, Schnittstelle oder ERP-Anbindung von invoiceR setzt PHP voraus.

Für deine invoiceR-Installation musst du wegen dieser Lücken nichts unternehmen. Ein Update von invoiceR ist dafür nicht nötig.

Und bei enio intern?

Einige Werkzeuge, mit denen wir unsere eigenen Server verwalten, bauen auf PHP auf. Diese haben wir bereits auf die korrigierten Versionen aktualisiert. Über diese Werkzeuge laufen keine Belege und keine Daten aus invoiceR.

Was du davon hast

• Klarheit für deine Abklärung: Du kannst invoiceR in deiner Übersicht der betroffenen Systeme als „nicht betroffen, kein PHP im Einsatz“ führen.
• Kein Handlungsbedarf bei invoiceR und kein Unterbruch.

Betreibt deine Organisation selbst Systeme mit PHP, etwa eine Webseite oder ein Intranet, gilt der Rat von CERT-EU: auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren, und ältere PHP-Versionen ersetzen, weil sie keine Korrekturen mehr erhalten.