In neueren Installationen von print2forms wird für die Skripte, die die Funktion von Gateways realisieren, die Skriptsprache PHP eingesetzt. In dieser Skriptsprache hat sich eine Sicherheitslücke gezeigt.
Die Schwachstelle php2shell (CVE-2026-109618 und CVE-2026-109619) kann in print2forms-Installationen prinzipiell nicht ausgenutzt werden, weil in der Regel kein Zugriff aus dem Internet auf das print2forms-Gateway oder direkt auf PHP erlaubt ist. Zudem ruft das Gateway über seine Kommandozeile immer nur das gleiche Skript mit den gleichen Parametern auf.
Damit ist es unserer Meinung nach nicht möglich, den für die Ausnutzung der Schwachstelle notwendigen tausendfachen Speicherüberlauf in PHP von ausserhalb zu erzeugen. Die maximale Speichergrenze für Skripte von meist 128 MByte macht es zudem noch schwieriger, einen Speicherüberlauf zu erzeugen, der zum fehlerhaften Abbruch eines Skriptes führt.
Aus Compliance-Gründen ist es aber wünschenswert, eine Version von PHP einzusetzen, in der die Schwachstelle nicht mehr existiert.
Deshalb haben wir ein PHP-Verzeichnis für Gateways erstellt, das PHP in der aktuellen Version 8.4.27 enthält.
Es kann hier geladen werden.
Wenn das Archiv entpackt wird, erhält man einen Ordner mit dem Namen PHP8427, der in der Regel direkt auf das Laufwerk C: verschoben werden muss. Anschliessend wird einfach in der Kommandozeile des Gateways der Pfad zur Instanz von PHP von PHP8 auf PHP8427 geändert.