Wir aktualisieren diesen Beitrag, sobald es Neues gibt.
Seit dem 20. Oktober berichten viele Medien über zwei kritische Sicherheitslücken in der Programmiersprache PHP, bekannt unter dem Namen „PHP2Shell“. Vielleicht hat euch auch eure Webagentur oder eure IT darauf hingewiesen. Hier erfahrt ihr, was das für euer d.vinci bedeutet und was wir unternommen haben.
Das Wichtigste in Kürze
- Die d.vinci-Anwendungen selbst sind nicht betroffen. Bewerbermanagement, Karriereseiten und Landingpages sowie Onboarding basieren nicht auf PHP.
- Betroffen war die Webanalyse eurer Karriereseiten. Wir haben sie vorsorglich vom Netz genommen und noch am 21. Oktober mit dem Sicherheitsupdate wieder in Betrieb genommen.
- Keine Hinweise auf Angriffe. Wir haben keine Anzeichen dafür gefunden, dass die Lücken bei uns ausgenutzt wurden.
- Ihr müsst in d.vinci nichts tun. Betreibt ihr eine eigene Website auf PHP-Basis, etwa mit WordPress, sollte eure Agentur oder IT sie jetzt aktualisieren. Das liegt außerhalb von d.vinci.
Was ist passiert?
PHP ist eine weit verbreitete Programmiersprache für Websites. Viele Content-Management-Systeme wie WordPress, Joomla oder Drupal basieren darauf. Die beiden Lücken sind als kritisch eingestuft (CVSS 4.0: 9.2). Angreifende können darüber unter Umständen ohne Anmeldung Code auf einem Webserver ausführen.
Das PHP-Projekt hat am 21. Oktober 2026 Sicherheitsupdates veröffentlicht: die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Linux-Distributionen wie Ubuntu haben am selben Tag eigene Updates bereitgestellt.
Was bedeutet das für euch?
Für eure tägliche Arbeit in d.vinci ändert sich nichts. Bewerbungen gehen wie gewohnt ein, eure Karriereseiten sind erreichbar, und alle Funktionen stehen euch zur Verfügung.
Einzige Auswirkung: In der Besucherstatistik eurer Karriereseiten fehlen die Aufrufe vom Nachmittag und Abend des 21. Oktober (Details in den FAQ unten).
Fragen euch Bewerbende, Kolleginnen und Kollegen oder eure Geschäftsführung, ob d.vinci betroffen ist, könnt ihr auf diesen Beitrag verweisen.
Technische Details für eure IT
Für eure IT-Abteilung oder euren Informationssicherheitsbeauftragten hier der Stand je Komponente. Unsere Produkte sind in Java und JavaScript/TypeScript entwickelt und laufen auf Java-Laufzeitumgebungen bzw. nginx. Das haben wir für alle Anwendungen im Quellcode, in den Container-Images und auf den Produktivservern geprüft.
| Komponente | Nutzt PHP? | Stand |
|---|---|---|
| d.vinci Bewerbermanagement | nein | nicht betroffen |
| d.vinci Karriereseiten und Landingpages | nein | nicht betroffen |
| d.vinci Onboarding | nein | nicht betroffen |
| Webanalyse der Karriereseiten (Matomo) | ja | am 21.10. vorsorglich abgeschaltet und mit gepatchtem PHP 8.4.27 wieder in Betrieb genommen |
| Kurzlink-Dienst (Shlink) | ja | läuft mit RoadRunner, einer Betriebsart, die laut PHP-Advisory nicht betroffen ist; Update folgt, sobald der Hersteller es bereitstellt |
| Interne Werkzeuge | teilweise | von außen nicht erreichbar; Updates seit 21.10. eingespielt bzw. in Arbeit |
Zusätzlich hat unser WAF-Dienstleister Akamai eine Schutzregel aktiviert, die Angriffe auf diese Lücken erkennt und blockiert. Sie gilt für alle d.vinci-Anwendungen, die über die Web Application Firewall laufen.
Weiterführende Informationen:
- BSI-Cybersicherheitswarnung „PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit“
- Sicherheitshinweis des PHP-Projekts
- Ubuntu Security Notice USN-8948-1
Was wir getan haben
Alle Uhrzeiten in MESZ.
- 21. Oktober, vormittags: Wir haben alle Systeme mit PHP erfasst und bewertet.
- 21. Oktober, ab ca. 15:15 Uhr: Wir haben die Webanalyse vorsorglich vom Netz genommen, wie es BSI und CERT-EU für Dienste empfehlen, die sich nicht sofort patchen lassen.
- 21. Oktober, nachmittags und abends: Wir haben die Sicherheitsupdates auf den ersten internen Werkzeugen eingespielt; die übrigen folgen.
- 21. Oktober, ca. 20:35 Uhr: Die Webanalyse läuft wieder, mit gepatchtem PHP. Wir haben in jeder Umgebung geprüft, dass die neue Version aktiv ist.
- Prüfung auf Angriffsspuren: Wir haben die Zugriffsprotokolle seit Bekanntwerden der Lücken ausgewertet und keine Anzeichen für Angriffe auf die betroffenen Dienste gefunden.
Häufig gestellte Fragen (FAQ)
Müssen wir als Kunden etwas tun?
In d.vinci nicht. Wir empfehlen aber, eure eigenen Websites und Systeme prüfen zu lassen, falls sie PHP nutzen. Das gilt auch für eine Unternehmenswebsite, in die ihr eure d.vinci-Stellenanzeigen einbindet: Das Einbinden selbst ist unbedenklich, entscheidend ist, ob die Website darunter PHP nutzt.
Sind Bewerberdaten oder andere personenbezogene Daten betroffen?
Bewerbungs- und Mitarbeitendendaten nicht: Die Anwendungen, die sie verarbeiten, nutzen kein PHP. Die Webanalyse speichert Besuchsdaten eurer Karriereseiten, also Seitenaufrufe. Sie war bis zum Abschalten betroffen. Auch dort haben wir keine Hinweise auf einen Zugriff gefunden.
Gab es Angriffe auf d.vinci?
Wir haben keine Anzeichen für Angriffe auf die betroffenen Dienste gefunden. Seit dem 21. Oktober hat unsere WAF vereinzelte Angriffsversuche auf diese Lücken abgewiesen. Sie richteten sich gegen andere d.vinci-Anwendungen, die nicht betroffen sind.
Fehlen Daten in der Besucherstatistik unserer Karriereseiten?
Ja. Am 21. Oktober zwischen ca. 15:15 und 20:35 Uhr (MESZ) war die Webanalyse abgeschaltet. Seitenaufrufe aus diesem Zeitraum wurden nicht erfasst und lassen sich nicht nachträglich ergänzen. Wertet ihr Kampagnen oder Stellenanzeigen für diesen Tag aus, seht ihr dort entsprechend weniger Besuche. Eure Karriereseiten selbst waren die ganze Zeit erreichbar.
Unser Informationssicherheitsbeauftragter braucht eine schriftliche Stellungnahme. Wo bekommen wir die?
Dieser Beitrag gibt unseren aktuellen Stand wieder und kann gerne weitergegeben werden. Braucht ihr darüber hinaus etwas, schreibt uns über „Anfrage einreichen“.
Falls ihr weitere Fragen habt, könnt ihr uns jederzeit kontaktieren.