PHP2Shell: Firmware-Updates für Cristie Gigastream Libraries verfügbar
Betroffene Modelle, Firmware-Stände und was Sie jetzt tun sollten
Kurzfassung: Zwei kritische PHP-Schwachstellen („PHP2Shell“, CVE-2026-109618 und CVE-2026-109619) betrafen mehrere unserer Cristie Gigastream Libraries. Unser Hersteller BDT hat den Fix in die Firmware integriert, die aktualisierten Versionen stehen seit dem 09.11.2026 bereit. Wir empfehlen, das Update zeitnah einzuspielen – selbst oder gemeinsam mit uns (Firmware anfordern).
Inhalt
Was ist passiert?
Am 21. Oktober 2026 hat das PHP-Projekt ein Security Advisory zu zwei Schwachstellen veröffentlicht, die unter dem Namen PHP2Shell bekannt sind. Beide sind mit 9.2 (Critical) bewertet. Ein nicht authentifizierter Angreifer kann auf einem Server, der PHP für Web-Anfragen nutzt, unter Umständen Code aus der Ferne ausführen (Remote Code Execution).
- CVE-2026-109618: Nach einer Out-of-Memory-Situation kann der interne PHP-Zustand beschädigt werden.
- CVE-2026-109619: In einem PHP-Worker kann ein veralteter („stale“) Zustand zurückbleiben, den eine spätere Anfrage missbrauchen kann.
In beiden Fällen kann eine erfolgreiche Ausnutzung über speziell präparierte HTTP-Anfragen zur Ausführung von Schadcode führen. PHP hat die Lücken in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 geschlossen.
Welche Libraries sind betroffen?
Die Cristie Gigastream Libraries sind OEM-Libraries unseres Herstellers BDT Media Automation GmbH. Betroffen sind laut BDT folgende Baureihen:
| Cristie-Modell | BDT-Bezeichnung | Fix ab Firmware |
|---|---|---|
| Cristie Gigastream T640 (vormals T280) | 3U MultiStor | 2.4.0-A000 |
| Cristie Gigastream T560 | 6U MultiStak | 3.40 |
| Cristie Gigastream T8 (nur Gen2) | FlexStor II Gen2 (1U) | 1.0.2-A000 |
| Cristie Gigastream T24 (nur Gen2) | FlexStor II Gen2 (2U) | 1.0.2-A000 |
Bei T8 und T24 betrifft das Thema ausschließlich die Generation Gen2.
Wie hat der Hersteller reagiert?
BDT hat das Thema intern priorisiert, die aktualisierten PHP-Versionen in die Firmware übernommen und die Updates für alle betroffenen Modelle bereitgestellt. Die BDT-Systeme ersetzen zwar jeden PHP-Worker nach 500 Anfragen, was die Lebensdauer eines beschädigten Zustands begrenzt. Die Schwachstellen beseitigt das aber nicht. Dafür braucht es das Firmware-Update.
Was sollten Sie jetzt tun?
- Release Notes lesen und die Firmware passend zu Ihrem Modell auswählen.
- Firmware-Update einplanen und einspielen, zum Beispiel im nächsten Wartungsfenster.
- Zugriff bis zum Update beschränken: Das Web-Interface Ihrer Library sollte nicht aus dem öffentlichen Internet erreichbar sein. Begrenzen Sie den Zugriff auf vertrauenswürdige Netze, etwa per Firewall-Regeln, Zugriffskontrolllisten auf einem Reverse-Proxy, VPN oder Netzwerksegmentierung.
Das gilt auch nach dem Update als gute Praxis: Management-Oberflächen von Backup-Infrastruktur gehören nicht ins offene Netz.
Wo bekomme ich die Firmware?
Cristie-Kunden mit Gigastream Library haben die Download-Links und Release Notes per Tech-Update-Mail erhalten. Haben Sie die Mail nicht bekommen oder sind die Links abgelaufen, fordern Sie die Firmware einfach über das Formular unten an. Sie haben zwei Möglichkeiten:
- Sie installieren selbst: Wir schicken Ihnen die Download-Links und Release Notes passend zu Ihrem Modell.
- Coached Maintenance: Ein Cristie-Techniker führt Sie per Fernsitzung durch das Update – pauschal 120 € zzgl. MwSt., Dauer ca. 30 Minuten.
Wenn Sie schon dabei sind: Mit Cristie Tape Pulse sehen Sie Status, Laufwerke, Reinigung und Ereignisse Ihrer Tape Library auf einen Blick. Eine Demo können Sie im selben Formular mit anfragen.
Häufige Fragen
Ist mein Modell betroffen?
Prüfen Sie die Tabelle oben. Sind Sie unsicher, nennen Sie uns im Formular die Seriennummer, wir ordnen Ihr System gerne zu.
Unterstützen Sie uns beim Update?
Ja. Mit Coached Maintenance spielen Sie das Update gemeinsam mit einem Cristie-Techniker per Fernsitzung ein – pauschal 120 € zzgl. MwSt., ca. 30 Minuten. Wählen Sie dazu im Formular „Coached Maintenance“.
Firmware anfordern oder Termin buchen
Wählen Sie, wie Sie das Update durchführen möchten. Wir melden uns in der Regel am selben Werktag. Fragen zum Advisory beantwortet der Cristie Support auch direkt: support@cristie.de.
Quellen: Security Advisory des PHP-Projekts vom 21.10.2026 (PHP2Shell), Statement der BDT Media Automation GmbH vom 30.10.2026, Cristie Tech-Updates vom 03.11.2026 und 09.11.2026.
