Zwei kritische PHP-Sicherheitslücken haben letzte Woche das Internet erschüttert. Die als „PHP2Shell“ bekannten Schwachstellen CVE-2026-109618 und CVE-2026-109619 ermöglichten es Angreifern, Code auf Webservern auszuführen, ohne sich überhaupt anzumelden.
Falls Sie die Schlagzeilen verfolgt haben, fragen Sie sich wahrscheinlich, ob Ihre E-Mails sicher sind.
Ihr Mailfence-Konto ist davon nicht betroffen. Ihre E-Mails, Dokumente, Ihr Kalender und Ihre Kontakte bleiben vollständig geschützt. Hier erfahren Sie, was geschehen ist und warum Sie Mailfence wie gewohnt weiter nutzen können.
Was ist PHP2Shell?
PHP2Shell bezieht sich auf zwei kritische Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619) in PHP, der Programmiersprache, auf der etwa 75 % aller Websites basieren.
Das PHP-Projekt veröffentlichte am 21. Oktober 2026 Patches. WatchTowr bestätigte jedoch noch am selben Tag, dass die Sicherheitslücke aktiv ausgenutzt wurde, wobei die Versuche bis zum 17. Oktober zurückverfolgt werden konnten.
Warum hat PHP2Shell keine Auswirkungen auf Mailfence?
Das ist das Beruhigende daran: Mailfence nutzt für seinen Dienst kein PHP.
Da PHP2Shell speziell auf PHP-Serverumgebungen abzielt, gibt es diesen Angriffsweg auf unseren Systemen schlichtweg nicht.
Die PHP-Kernlaufzeitumgebung ist nicht Teil unseres Technologie-Stacks – daher waren Ihre Mailfence-Daten diesen Sicherheitslücken zu keinem Zeitpunkt ausgesetzt.
Wie wir darauf reagiert haben
Auch wenn unsere Systeme nicht unmittelbar gefährdet sind, nehmen wir jeden schwerwiegenden Sicherheitsvorfall ernst.
Unser Sicherheitsteam hat alle Systeme überprüft, sobald die Offenlegung öffentlich bekannt wurde. Dazu gehörte auch eine umfassende Überprüfung der Zusatzdienste und der Abhängigkeiten von Drittanbietern.
Für unseren öffentlich zugänglichen Blog und unsere Wissensdatenbank-Seiten hatte unser Hosting-Anbieter bereits Schutzpatches installiert, noch bevor die offiziellen Updates überhaupt veröffentlicht worden waren.
Zu keinem Zeitpunkt waren Mailfence-Konten oder Nutzerdaten gefährdet. Wir beobachten die Entwicklungen weiterhin aufmerksam.
Was sollten Sie tun?
Wenn Mailfence Ihr E-Mail-Dienst ist, müssen Sie keine Maßnahmen ergreifen. Ihr Konto ist sicher.
PHP2Shell kann jedoch andere von Ihnen genutzte Dienste betreffen. Selbst gehostete Plattformen, WordPress-Seiten und Webanwendungen, die PHP ausführen, sind potenziell anfällig.
Wir empfehlen Ihnen Folgendes:
- Aktualisieren Sie alle PHP-basierten Dienste unverzüglich. Wenn Sie eigene Websites oder Anwendungen betreiben, führen Sie umgehend ein Update auf die neueste PHP-Version durch.
- Achten Sie auf Phishing-E-Mails. Größere Sicherheitslücken lösen häufig Phishing-Kampagnen aus, die als „dringende Sicherheitsupdates“ getarnt sind. Klicken Sie nicht auf verdächtige Links.
- Aktivieren Sie die Zwei-Faktor-Authentifizierung. Falls Sie die 2FA für Ihr Mailfence-Konto noch nicht aktiviert haben, ist jetzt der ideale Zeitpunkt dafür.
- Verwenden Sie für jeden Dienst sichere, unterschiedliche Passwörter. Ein Passwortmanager erleichtert Ihnen dies. Sollte ein Konto an anderer Stelle kompromittiert werden, bleibt Ihre Mailfence-E-Mail sicher.
Warum die Architektur Ihres E-Mail-Anbieters von Bedeutung ist
PHP2Shell ist eine eindringliche Mahnung daran, dass es von enormer Bedeutung ist, was unter der Haube Ihres E-Mail-Dienstes vor sich geht.
Eine einzige Sicherheitslücke in PHP hat über Nacht Millionen von Websites und Anwendungen gefährdet. Die technologischen Entscheidungen, die Ihr E-Mail-Dienst vor Jahren getroffen hat, entscheiden plötzlich darüber, ob Sicherheit gewährleistet ist oder ein Risiko besteht.
Bei Mailfence stand Sicherheit von Anfang an im Mittelpunkt. Dazu gehören:
- Ende-zu-Ende-Verschlüsselung mit OpenPGP: Nur Sie und Ihr Empfänger können Ihre E-Mails lesen
- Verschlüsselung im Ruhezustand: Schutz der auf unseren Servern gespeicherten Daten
- Belgisches Datenschutzrecht und Einhaltung der DSGVO: keine Werbung, kein Tracking, keine Hintertüren
Haben Sie Fragen? Kontaktieren Sie uns unter support@mailfence.com.
