Zurück zum Blog

Kurz zusammengefasst

  • Kitaversum ist nicht betroffen. Unser Entwicklungsteam hat dies am 22.10.2026 geprüft und bestätigt.
  • Was ist passiert? Das PHP-Projekt veröffentlichte am 21.10.2026 Updates für CVE-2026-109618 und CVE-2026-109619, gemeinsam „PHP2Shell“ genannt.
  • Wie kritisch ist das? Das BSI bewertet beide Schwachstellen mit 9,2 von 10 Punkten nach CVSS 4.0.
  • Was müssen Kitas tun? Viele Kita-Apps und Kita-Verwaltungsprogramme laufen auf PHP und können von PHP2Shell betroffen sein. Fragen Sie Ihren Anbieter jetzt, ob er bereits auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisiert hat. Quellen: BSI, ENISA und CISA.

Kitaversum ist nicht betroffen. Am 21. Oktober 2026 hat das PHP-Projekt Updates für zwei kritische Sicherheitslücken veröffentlicht. Sie tragen die Kennungen CVE-2026-109618 und CVE-2026-109619, gemeinsam werden sie „PHP2Shell“ genannt.

Viele Kita-Apps und Kita-Verwaltungsprogramme laufen auf PHP und können von PHP2Shell betroffen sein. Fragen Sie Ihren Anbieter jetzt, ob er bereits auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisiert hat. Diese allgemeine Einordnung stützt sich auf die Warnungen des Bundesamts für Sicherheit in der Informationstechnik (BSI), der europäischen Cybersicherheitsagentur ENISA und der US-Cybersicherheitsbehörde CISA. Sie ist keine Aussage darüber, dass ein bestimmter Anbieter betroffen ist.

Was ist passiert?

PHP ist eine Programmiersprache, mit der viele Websites und Webanwendungen betrieben werden. In zwei zentralen Bereichen von PHP, der Speicherverwaltung und der Fehlerbehandlung, wurden Schwachstellen entdeckt. Unter bestimmten Bedingungen könnten Angreifer darüber aus der Ferne und ohne Anmeldung Programmcode auf einem Server ausführen. Beide Lücken bewertet das BSI mit 9,2 von 10 Punkten (CVSS 4.0).

Die gute Nachricht: Es gibt seit dem 21. Oktober 2026 Updates. Die abgesicherten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für ältere Versionen sollten Betreiber ihren Anbieter fragen oder auf eine unterstützte Version wechseln.

Was bedeutet das für Kitas?

Für Sie als Kita-Leitung oder Träger gilt: Sie müssen selbst nichts programmieren und nichts installieren. Wichtig ist, dass die Anbieter Ihrer Online-Dienste die Updates einspielen. Das betrifft zum Beispiel Ihre Website, Anmeldeformulare, Software für Verwaltung und Abrechnung oder Ihre Eltern-App.

PHP steckt oft unsichtbar im Hintergrund. Von außen ist deshalb meist nicht erkennbar, ob ein Dienst PHP nutzt. Eine kurze Nachfrage beim jeweiligen Anbieter schafft Klarheit.

Hinweis für die eigene Kita-Website

Fragen Sie Ihre Agentur oder Ihren Hoster, ob PHP eingesetzt und die PHP-Version aktualisiert wurde. Das ist besonders wichtig, wenn Ihre Website mit einem Content-Management-System oder Plugins betrieben wird.

7 Fragen an Ihre Software-Anbieter

Diese Fragen können Sie Website-Dienstleistern, Hosting-Anbietern und Fachsoftware-Anbietern stellen:

  1. Setzen Sie PHP ein, auch indirekt über Plugins, ein Content-Management-System oder Fremdkomponenten?
  2. Falls ja: Haben Sie die Updates zu CVE-2026-109618 und CVE-2026-109619 eingespielt, und wann?
  3. Gibt es Hinweise, dass Ihre Systeme angegriffen wurden?
  4. Wo werden die Daten unserer Kinder und Familien gespeichert, und gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO?
  5. Wie werden Daten bei der Übertragung und bei der Speicherung verschlüsselt?
  6. Wie und wie schnell informieren Sie uns über Sicherheitsvorfälle?
  7. Wann haben Sie Ihre Sicherheitsmaßnahmen zuletzt überprüft?

Kitaversum ist nicht betroffen

Status: nicht betroffen

Stand 22.10.2026: Unser Entwicklungsteam hat geprüft und bestätigt, dass Kitaversum nicht betroffen ist.

Wie wir Ihre Daten schützen

Unabhängig von diesem Vorfall setzt Kitaversum auf mehrere Schutzebenen:

  • Die Daten der Kitaversum App liegen in Rechenzentren in Frankfurt am Main (Google Cloud, Region europe-west3).
  • Daten werden bei der Übertragung mit TLS 1.3 und bei der Speicherung mit AES-256 verschlüsselt.
  • Ein Rollen- und Berechtigungssystem regelt Zugriffe; Audit-Logs machen sicherheitsrelevante Aktionen nachvollziehbar.
  • Es gibt tägliche Backups.
  • Mit den Infrastrukturanbietern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.
  • Die Website kitaversum.de wird statisch über Netlify ausgeliefert und verarbeitet keine personenbezogenen Kita-Daten.

Alle dokumentierten Maßnahmen finden Sie auf unserer Seite Sicherheit & Datenschutz. Grundwissen zum Schutz sensibler Informationen bietet außerdem unser Beitrag Datenschutz in der Kita App. Die Datenschutzhinweise für die Anwendung stehen unter Datenschutz Kitaversum App.

Häufige Fragen zu PHP2Shell

Wie lautet der Kitaversum-Status zu PHP2Shell?

Kitaversum ist nicht betroffen. Das Kitaversum-Entwicklungsteam hat dies am 22.10.2026 geprüft und bestätigt. Die Daten der Kitaversum App liegen in Frankfurt am Main und werden mit TLS 1.3 und AES-256 verschlüsselt.

Welche PHP-Versionen beheben die Lücke?

PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (veröffentlicht am 21.10.2026). Für ältere Versionen sollten Betreiber ihren Anbieter fragen oder auf eine unterstützte Version wechseln.

Können Kita-Apps und Kita-Verwaltungsprogramme von PHP2Shell betroffen sein?

Viele Kita-Apps und Kita-Verwaltungsprogramme laufen auf PHP und können von PHP2Shell betroffen sein. Fragen Sie Ihren Anbieter jetzt, ob er bereits auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisiert hat. Diese allgemeine Einordnung stützt sich auf die Warnungen von BSI, ENISA und CISA; sie ist keine Aussage über einen bestimmten Anbieter.

Was ist PHP2Shell?

PHP2Shell bezeichnet zwei kritische Sicherheitslücken in PHP (CVE-2026-109618 und CVE-2026-109619), für die das PHP-Projekt am 21.10.2026 Updates veröffentlicht hat. Sie können unter bestimmten Bedingungen die Ausführung von Code auf Servern ohne Anmeldung ermöglichen. Das BSI bewertet beide mit CVSS 9,2.

Was sollten Kitas jetzt tun?

Kitas müssen selbst nichts installieren. Sie sollten bei den Anbietern ihrer Website, ihres Hostings und ihrer Software nachfragen, ob PHP eingesetzt wird und ob die Updates eingespielt wurden.

Welche Fragen sollte eine Kita ihrem Software-Anbieter zur Sicherheit stellen?

Wird PHP eingesetzt und ist es aktualisiert? Wo liegen die Daten? Gibt es einen AV-Vertrag nach Art. 28 DSGVO? Wie wird verschlüsselt? Wie wird bei Sicherheitsvorfällen informiert? Wann wurden die Maßnahmen zuletzt geprüft?

Quellen

Redaktionshinweis: Stand 22. Oktober 2026. Sicherheitslagen können sich ändern. Maßgeblich sind die jeweils aktuellen Hinweise der genannten offiziellen Quellen.

Fragen zur Sicherheit von Kitaversum?

Unser Datenschutz-Team beantwortet Fragen zu den dokumentierten Schutzmaßnahmen und zum aktuellen Status.

datenschutz@kitaversum.de Sicherheitsmaßnahmen ansehen

Passende Informationen

Sicherheitsvorfälle & Schwachstellen Datenschutz in der Kita App Datenschutz Kitaversum App Weitere Blogbeiträge