Unsere Reaktion auf aktuelle Sicherheitsvorfälle: PHP CVE-2026-109618/CVE-2026-109619 und die Kompromittierung der eMudhra-Intermediate-CA

Diese Woche wurden zwei kritische Sicherheitsvorfälle bekannt gegeben: zwei Schwachstellen im PHP-Kern und die Kompromittierung von eMudhra-Intermediate-CA-Zertifikaten. Dieser Beitrag erläutert, wie sie unsere Websites und EmEditor betroffen haben, was wir unternommen haben und was wir Ihnen empfehlen.

Zusammenfassung

Unsere Websites sind von den PHP-Schwachstellen nicht betroffen. Das PHP, auf dem unsere WordPress-Sites laufen, wurde bereits gepatcht, und wir veröffentlichen nur statische Seiten.
EmEditor v22.3 bis v26.3 sind von der Kompromittierung der eMudhra-Intermediate-CA betroffen, und zwar über das für die Funktion Language Server Protocol (LSP) mitgelieferte Node.js. Dies war der einzige betroffene Bereich.
Bitte aktualisieren Sie EmEditor auf die neueste Version, derzeit v26.4.0. Sie enthält Node.js v26.12.1, das das Problem behebt.

1. PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Schwachstellen im PHP-Kern angekündigt: CVE-2026-109618 (Remotecodeausführung durch Speichermangel-Korruption) und CVE-2026-109619 (Remotecodeausführung durch veralteten globalen Zustand). Beide können eine nicht authentifizierte Remotecodeausführung auf PHP-Installationen ermöglichen, die Webanfragen bedienen.

Unsere Websites basieren auf WordPress, das auf PHP läuft. Unsere Websites sind auf drei Arten geschützt:

Das PHP unserer WordPress-Sites wurde bereits mit den neuesten Patches für CVE-2026-109618 und CVE-2026-109619 aktualisiert.
Unsere WordPress-Sites werden in statische Seiten exportiert, und wir veröffentlichen nur diese statischen Seiten. Die öffentlichen Websites führen kein PHP aus.
Die Quell-WordPress-Sites sind für alle IP-Adressen außer denen unserer Büros gesperrt.

Das Emurasoft Customer Center und unsere anderen Sites verwenden kein PHP und sind nicht betroffen.

2. Kompromittierung der eMudhra-Intermediate-CA

Am 20. Oktober 2026 wurde die Kompromittierung der eMudhra-Intermediate-CA bekannt gegeben. Die privaten Schlüssel von acht eMudhra-Intermediate-CA-Zertifikaten wurden kompromittiert. Diese Zwischenzertifikate verketten sich zu Stammzertifikaten, denen wichtige Betriebssysteme und Browser vertrauen. Ein Angreifer mit einem der Schlüssel könnte sich daher gegenüber einem Client, der ihnen noch vertraut, als beliebige Website oder beliebiger Dienst ausgeben. Die Zwischenzertifikate wurden widerrufen, aber Clients, die den Widerruf nicht prüfen, benötigen ein Software-Update.

2-1. Was in EmEditor betroffen war

EmEditor verwendet Node.js für die Funktion Language Server Protocol (LSP), und Node.js war von diesem Vorfall betroffen. Alle Versionen von EmEditor, die zwischen v22.3 (veröffentlicht am 11. April 2023) und v26.3 (veröffentlicht am 7. Oktober 2026) einschließlich veröffentlicht wurden, enthalten Node.js und sind betroffen. Dies gilt sowohl für die Professional- als auch für die Free-Version und sowohl für die 64-Bit- als auch für die 32-Bit-Version.

In EmEditor v26.4 haben wir Node.js auf v26.12.1 aktualisiert, das das Problem behebt.

2-2. Andere Teile von EmEditor sind nicht betroffen

Wir haben einen vollständigen Sicherheitsscan des EmEditor-Quellcodes durchgeführt und festgestellt, dass LSP der einzige betroffene Bereich war. Kein anderer Teil von EmEditor ist anfällig, solange Ihr Windows-System die neuesten Updates enthält:

EmEditor verwendet die Windows-CA-Zertifikate und bündelt keine eigenen, daher ist es auf den Widerruf angewiesen, den Microsoft bereits über Windows bereitgestellt hat.
Die Plug-ins WebPreview und ChatAI verwenden das auf Ihrem System installierte Microsoft Edge.
Keines unserer TLS- oder Codesignaturzertifikate wurde von eMudhra ausgestellt. Die digitalen Signaturen von EmEditor und die Zertifikate unserer Websites sind nicht betroffen.

3. Was wir empfehlen

Aktualisieren Sie EmEditor auf die neueste Version, derzeit v26.4.0. Wenn Sie den alten MSI-Installer verwenden, wählen Sie Hilfe > Nach Updates suchen oder laden Sie die neueste Version herunter. Wenn Sie den MSI-Installer direkt herunterladen, überprüfen Sie bitte, ob seine digitale Signatur von Emurasoft, Inc. ausgestellt wurde.
Halten Sie Windows und Ihren Webbrowser aktuell, einschließlich Microsoft Edge, das die Plug-ins WebPreview und ChatAI verwenden.

Wenn Sie Fragen haben, kontaktieren Sie uns bitte.

Vielen Dank für Ihre fortgesetzte Unterstützung von EmEditor.
— Yutaka Emura