Zum Hauptinhalt springen
Version: Preview

Leitfaden zum Umgang mit Schwachstellen in PHP von MapGuide

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt​

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor kritischen Schwachstellen innerhalb der Entwicklungsumgebung PHP in allen bekannten PHP-Versionen.

  • CVE-2026-109618
  • CVE-2026-109619

Ist meine Auskunftslösung von der Schwachstelle betroffen?​

MapGuide wird in unseren Auskunftslösungen als Kartenrenderer, in einigen Fällen selbst auch als Auskunftslösung eingesetzt (z. B. Online-Bereitschaft). Während der Installation richtet MapGuide immer auch ein PHP mit ein. Dabei handelt es sich um das PHP-Standard-Installationsverzeichnis, ergänzt um MapGuide-Bibliotheken, die gegen eben diese ausgelieferte Version kompiliert wurden.

Betroffen sind alle Installationen, die eine PHP-Version einsetzen, die kleiner (älter) als eine der nachstehenden Subversionen sind:

  • 8.5.12
  • 8.4.27
  • 8.3.36
  • 8.2.35

Zur Überprüfung der installierten PHP-Version:

  1. MS-DOS-Eingabeaufforderung (Konsole) öffnen.
  2. In das PHP-Verzeichnis von MapGuide wechseln, z. B.:
C:\Program Files\OSGeo\MapGuide\Web\Php
  1. Folgenden Befehl ausführen:
php.exe -ver

Setzen Sie im Rahmen Ihrer Auskunftslösung kein MapGuide ein, ist Ihre Auskunftslösung an dieser Stelle nicht betroffen, es sei denn, andere Anwendungen nutzen ihrerseits PHP (z. B. Mapbender).

Beispiel für betroffenen Server​

Das folgende Beispiel zeigt einen betroffenen Server mit der PHP-Version 5.6.40, die deutlich unter den aktuell abgesicherten Versionen liegt.

Beispiel betroffener Server

Beispiel für nicht betroffenen Server​

Das folgende Beispiel zeigt einen nicht betroffenen Server mit der PHP-Version 8.3.36.

Beispiel nicht betroffener Server

Welche MapGuide-Funktionen verwenden PHP?​

Je nach kundenspezifischer Konfiguration verwendet MapGuide PHP für:

  • den Webservice selbst, wenn anstelle des IIS mit FastCGI der ApacheTomcat eingesetzt wird
  • den MapAdmin
  • die Fusion-Layouts
  • die MapGuide-REST-API
  • die MapGuide react-layouts

Darüber hinaus kann es sein, dass im Rahmen von Kundenlösungen eigene PHP-Skripte ergänzt wurden (z. B. als vorgeschaltete Login-Seite für eine Bereitschaftsauskunft auf Fusion-Basis).

Kann ich auf PHP im MapGuide verzichten?​

Wurde MapGuide mit einer Integration in den Internet Information Service (IIS) von Microsoft installiert und wird MapGuide ausschließlich als Kartenrenderer genutzt, z. B. für:

  • MapEdit
  • Planauskunft
  • Berichte für AutoCAD Map 3D

kann auf PHP verzichtet werden.

Vorgehen:

  1. Im Informationsdienste-Manager bei den Handlerzuordnungen den Handler MapGuide PHP via FastCGI entfernen.
  2. Die Parameter des Handlers für eine spätere Wiederherstellung dokumentieren.

Beispiel: Handlerzuordnung im IIS entfernen​

  1. Im IIS-Manager die Anwendung mapguide auswählen.
  2. Handlerzuordnungen öffnen.
  3. Den Handler MapGuide_4.0_PHP_via_FastCGI markieren.
  4. Über das Kontextmenü oder die rechte Aktionsleiste Entfernen auswählen.

IIS Handlerzuordnungen

Handler entfernen

Zusätzlich können folgende Verzeichnisse entfernt werden:

\OSGeo\MapGuide\Web\Php
\OSGeo\MapGuide\Web\www\fusion
\OSGeo\MapGuide\Web\www\mapviewerphp

Sofern vorhanden:

Verzeichnisse von react-layouts
\OSGeo\MapGuide\Web\www\rest

Kein PHP, keine Schwachstelle, aber auch keine Funktionalität.

Ich benötige mindestens eine der genannten PHP-Funktionen von MapGuide 4.0 Final Release​

MapGuide 4.0 Final Release wird mit der betroffenen PHP-Version 8.3.26 ausgeliefert.

Empfohlenes Vorgehen:

  1. Altes PHP-Verzeichnis sichern und aus \OSGeo\MapGuide\Web entfernen.
  2. Neue PHP-Version herunterladen und in ein leeres Verzeichnis \OSGeo\MapGuide\Web\Php entpacken.
  3. Aus dem Sicherungsverzeichnis die Dateien der Verzeichnisse \Php und \Php\ext mit Datum 11.10.2025 sowie die Datei php.ini übernehmen.
  4. Dateien ini.ini und php.ini-production mit Notepad++ und der Comparer-Erweiterung vergleichen.

Pfade:

\OSGeo\MapGuide\Web\Php\ini.ini
\OSGeo\MapGuide\Web\Php\php.ini-production

Ich setze noch eine ältere Version von MapGuide bzw. Autodesk Infrastructure Map Server ein​

Ein Update auf MapGuide 4 Final Release ist zwingend erforderlich, wenn weiterhin PHP-basierte MapGuide-Funktionen genutzt werden sollen.

Ältere Versionen verwenden PHP-Versionen, für die keine Sicherheitsupdates mehr bereitgestellt werden. Beispiel:

MapGuide 3.2.1 → PHP 5.3.40

Wichtig​

Da MapGuide gegen bestimmte PHP-Versionen kompiliert wurde, kann nicht beliebig jede PHP-Version verwendet werden.

Empfehlung:

  • Innerhalb des jeweiligen Minor-Releases bleiben.
  • Nicht davon ausgehen, dass sämtliche PHP-5.x-Komponenten unter PHP 8.x lauffähig sind.

Empfohlenes Update-Vorgehen​

  1. Mit einer aktuellen Version von MapGuide Maestro (z. B. 6m13) ein Package erstellen.
  2. Alle abhängigen Dienste und Anwendungen beenden.
  3. MapGuide-Dienst beenden.
  4. WWW-Publishingdienst beenden.
  5. Gesamtes MapGuide-Verzeichnis sichern.
  6. Datei sichern:
\OSGeo\MapGuide\Server\bin\serverconfig.ini
  1. MapGuide deinstallieren.

Nicht löschen​

Folgende Verzeichnisse bleiben normalerweise erhalten und dürfen keinesfalls gelöscht werden:

\OSGeo\MapGuide\Server\Repositories\Library
\OSGeo\MapGuide\Server\Repositories\Site
\OSGeo\MapGuide\Server\Packages
\OSGeo\MapGuide\Web\www\mapagent
\OSGeo\MapGuide\Web\www\mapviewernet

Optional:

\OSGeo\MapGuide\Web\www\rest
\OSGeo\MapGuide\Web\www\irgendein_react_layout

Neuinstallation​

  • Neue MapGuide-Version herunterladen.
  • Mit identischen Einstellungen wie die Vorgängerversion installieren.
  • Individuelle Einstellungen aus der gesicherten serverconfig.ini übernehmen.
  • PHP-Patch anwenden.
  • WWW-Publishingdienst neu starten.
  • MapGuide-Dienst neu starten.
  • Abhängige Dienste neu starten.
  • Funktionstest durchführen.

Nacharbeiten​

Je nach individueller Konfiguration können weitere Anpassungen erforderlich sein:

  • VertexControl-Anpassungen bei Liniendarstellungen
  • MapGuide REST mit neuer composer.phar
  • Anpassungen an react-layouts
  • Eigene PHP-Skripte anpassen
  • Eigene Fusion-Layouts aktualisieren
  • Eigene Widgets migrieren
  • Individuelle Änderungen an Templates, PHP- oder JavaScript-Dateien übernehmen

Weitere Informationen​

  • Veröffentlichung des Bundesamtes für Sicherheit in der Informationstechnik (BSI)

https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261021_PHP-kritische-Schwachstelle.html

  • Veröffentlichter PHP-Patch für MapGuide 4 Final Release

https://www.php.net/downloads.php?os=windows&osvariant=windows-downloads&version=8.3

  • Download MapGuide 4.0 Final Release

https://download.osgeo.org/mapguide/releases/4.0.0/Final/

  • Download MapGuide Maestro 6m13 als Authoring-Werkzeug

https://github.com/jumpinjackie/mapguide-maestro/releases

  • Informationen der MapGuide OpenSource Community / Entwickler

https://themapguyde.blogspot.com/2026/10/php2shell-and-mapguide.html

Oktober 2026, Mensch und Maschine acadGraph GmbH (FTO)