[Mapbender-users] Mapbender Docker-Images mit aktualisiertem PHP veröffentlicht

[Astrid Emde (WhereGroup GmbH)]

(English version below)

Hallo Mapbender-Community,

als Reaktion auf die angekündigten kritischen PHP-Sicherheitsupdates 
haben wir aktualisierte Mapbender-Docker-Releases veröffentlicht.

Die Release Notes nennen für beide unterstützten Release-Linien PHP 
8.4.27 als aktualisierte, gepatchte PHP-Version:

  	* Mapbender 4.2.8
  	* Mapbender 5.0.2

Die neuen Versionen stehen im Mapbender-Starter-Repository zur Verfügung 
[1][2]. Die zugehörigen Docker-Images werden mit Versions-Tag 
bereitgestellt; die verfügbaren Tags finden Sie auf Docker Hub [3].

WAS IST ZU TUN?

  [1]

Wenn Sie eines der offiziellen Mapbender-Docker-Images einsetzen, 
aktualisieren Sie auf das passende Image Ihrer Release-Linie und 
erstellen Sie den Container anschließend neu. Ein bereits laufender 
Container übernimmt ein neues Image nicht automatisch.

Prüfen Sie nach dem Neustart die PHP-Version im Container und testen Sie 
die für Ihre Installation relevanten Abläufe.

Wichtig: Diese Aktualisierung betrifft das im offiziellen 
Mapbender-Docker-Image enthaltene PHP. Bei Installationen, die PHP des 
Hostsystems oder ein selbst gebautes Image verwenden, muss die 
PHP-Laufzeit separat aktualisiert werden. Die hier genannten 
Mapbender-Releases aktualisieren nicht automatisch externe oder selbst 
verwaltete PHP-Installationen.

ZUR SICHERHEITSMELDUNG

  [2]

Die PHP-Vorabankündigung nannte zwei kritische Schwachstellen mit CVSS 
v4.0 9.2 und kündigte das Sicherheitsrelease für den 21. Oktober 2026 an 
[4]. Die Mapbender-Release Notes bestätigen PHP 8.4.27 als gepatchte 
Version. Sie enthalten selbst keine CVE-Nummern oder technischen Details 
zu den Schwachstellen; deshalb ordnen wir den Releases keine 
weitergehenden technischen Aussagen zu.

Vielen Dank an alle, die die Aktualisierung zeitnah bereitstellen und 
testen.

Das Mapbender-Team

============= English ===============

Mapbender Docker images updated with patched PHP

Hello Mapbender community,

In response to the announced critical PHP security updates, we have 
published updated Mapbender Docker releases.

The release notes specify PHP 8.4.27 as the updated, patched PHP version 
for both supported release lines:

  	* Mapbender 4.2.8
  	* Mapbender 5.0.2

The new versions are available in the Mapbender Starter repository 
[1][2]. The corresponding Docker images are published with version tags; 
available tags are listed on Docker Hub [3].

WHAT SHOULD YOU DO?

  [3]

If you use an official Mapbender Docker image, update to the image 
matching your release line and recreate the container. A running 
container does not automatically switch to a newly published image.

After restarting, check the PHP version inside the container and test 
the workflows relevant to your installation.

Important: This update applies to the PHP version bundled in the 
official Mapbender Docker image. Installations using the host system's 
PHP or a custom-built image need to update their PHP runtime separately. 
The Mapbender releases listed here do not automatically update external 
or independently maintained PHP installations.

ABOUT THE SECURITY ANNOUNCEMENT

  [4]

The PHP advance announcement described two critical vulnerabilities, 
each rated CVSS v4.0 9.2, and scheduled the security release for 21 
October 2026 [4]. The Mapbender release notes confirm PHP 8.4.27 as the 
patched version. They do not provide CVE identifiers or technical 
details of the vulnerabilities, so we are not making further technical 
claims about them here.

Thank you to everyone deploying and testing the update promptly.

The Mapbender Team

[1] Mapbender 4.2.8 release notes: 
https://github.com/mapbender/mapbender-starter/releases/tag/v4.2.8

[2] Mapbender 5.0.2 release notes: 
https://github.com/mapbender/mapbender-starter/releases/tag/v5.0.2

[3] Mapbender Docker Hub tags: 
https://hub.docker.com/r/mapbender/mapbender/tags

[4] PHP security release advance announcement: 
https://news-web.php.net/php.announce/509

Mit freundlichen Grüßen

Astrid Emde

GIS-Consultant

WhereGroup GmbH
Eifelstraße 7
53119 Bonn
Germany

Tel: +49 (0)228 / 90 90 38 - 22

astrid.emde at wheregroup.com
www.wheregroup.com

Geschäftsführer:
Olaf Knopp, Peter Stamm
Amtsgericht Bonn, HRB 9885



Links:
------
[1] 
https://github.com/copilot/c/89ef713a-9793-4aec-90dc-cc18890a0357#was-ist-zu-tun
[2] 
https://github.com/copilot/c/89ef713a-9793-4aec-90dc-cc18890a0357#zur-sicherheitsmeldung
[3] 
https://github.com/copilot/c/89ef713a-9793-4aec-90dc-cc18890a0357#what-should-you-do
[4] 
https://github.com/copilot/c/89ef713a-9793-4aec-90dc-cc18890a0357#about-the-security-announcement
-------------- next part --------------
An HTML attachment was scrubbed...
URL: <http://lists.osgeo.org/pipermail/mapbender_users/attachments/20261022/75c06548/attachment-0001.htm>
-------------- next part --------------
A non-text attachment was scrubbed...
Name: 90a593c3.png
Type: image/png
Size: 6962 bytes
Desc: not available
URL: <http://lists.osgeo.org/pipermail/mapbender_users/attachments/20261022/75c06548/attachment-0001.png>