[QGIS-Developer] Anfrage zur PHP-Betroffenheit und Patch-Stand QGIS

[Andreas Neumann]

 Sehr geehrter Herr Walz,

Die Applikation QGIS (Desktop, Server und mobile Versionen (QField und
Mergin Maps)) hat nichts mit PHP zu tun.

Es gab 2 PHP Anwendungen in der QGIS Infstrastruktur. Diese wurden nach
Bekanntwerdung der PHP-Lücke sofort offline genommen und in einem Fall
ausser Betrieb genommen, im anderen Fall gepatcht.

1. https://blog.qgis.org – diese wurde von WordPress gehostet und gewartet.
Als Abhilfemassnahme wird der Blog mit Hilfe von Hugo neu als statische
Website bereitgestellt und die Nutzung von WordPress wurde bereits
eingestellt.

2. https://matomo.qgis.org – eine Open-Source-Webanalyseplattform. Wir
haben diese Website offline genommen, da sie nicht geschäftskritisch ist.
Sie wurde gepatcht und wieder in Betrieb genommen. Sie ist ausserdem hinter
einer Firewall und für die Öffentlichkeit nicht erreichbar.

Somit ist derzeit nur noch eine einzige PHP Applikation für QGIS im Einsatz
und diese ist nicht öffentlich erreichbar.
Für die Zukunft erfassen Sie ihre Fragen zur Sicherheit rund um QGIS bitte
direkt in englischer Sprache unter https://github.com/qgis/QGIS/security

Freundliche Grüsse,
Andreas Neumann


On Wed, 28 Oct 2026 at 10:21, Walz, Robin (Stadt Aachen) via QGIS-Developer
<qgis-developer at lists.osgeo.org> wrote:

> Hallo zusammen,
>
>
>
> im Zusammenhang mit den aktuell veröffentlichten PHP-Sicherheitsupdates
> (u.a. CVE-2026-109618 und CVE-2026-109619) bitten wir um Rückmeldung.
>
>
>
> •           Wird in Ihrer Anwendung bzw. Umgebung PHP eingesetzt?
>
> •           Wie ist der aktuelle Patchstand?
>
> •           Falls noch keine Umsetzung erfolgt ist: Wann ist mit der
> Behebung zu rechnen?
>
>
>
> Vielen Dank für Ihre zeitnahe Rückmeldung.
>
>
>
> i.A. Robin Walz
>
> Operative IT-Sicherheit
>
>
>
>
> *Stadt Aachen*
>
> Fachbereich Digitale Verwaltung und IT-Steuerung
>
> Maria-Theresia-Allee 38, 52064 Aachen
> <https://www.google.com/maps/search/Maria-Theresia-Allee+38,+52064+Aachen?entry=gmail&source=g>
>
> Tel.: +49 241 432-15316 <+49%20241%2043215316>
>
> robin.walz at mail.aachen.de
>
>
>
> www.aachen.de
>
>
> _______________________________________________
> QGIS-Developer mailing list
> QGIS-Developer at lists.osgeo.org
> List info: https://lists.osgeo.org/mailman/listinfo/qgis-developer
> Unsubscribe: https://lists.osgeo.org/mailman/listinfo/qgis-developer
>


-- 

--
Andreas Neumann
QGIS.ORG board member (treasurer)
-------------- next part --------------
An HTML attachment was scrubbed...
URL: <http://lists.osgeo.org/pipermail/qgis-developer/attachments/20261028/491639e6/attachment.htm>