Kurzanleitung: PHP-Nutzung und PHP-Version im IIS prüfen

timeCard verwendet kein PHP, jedoch kommt es durch die am 21. Oktober 2026 veröffentlichten Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 immer wieder zu Rückfragen wie sich timeCard hier verhält. Durch AddOns von Drittanbietern oder individuelle Konfigurationsänderungen kann PHP jedoch zusätzlich eingebunden worden sein.

Mit den folgenden Schritten können Sie dies prüfen:

1. Handlerzuordnungen aufrufen

1. Öffnen Sie auf dem Server den Internetinformationsdienste (IIS)-Manager, beispielsweise über Windows-Taste + R → inetmgr.
2. Erweitern Sie links den Server und anschließend Sites.
3. Wählen Sie die betreffende Website beziehungsweise Anwendung aus.
4. Öffnen Sie in der mittleren Ansicht Handlerzuordnungen.

2. Nach einer PHP-Einbindung suchen

Wenn PHP nicht für die Website beziehungsweise Anwendung eingebunden ist, ist dort auch kein entsprechender PHP-Handlereintrag vorhanden. In der Standardkonfiguration von timeCard ist daher kein solcher Eintrag zu erwarten.

Suchen Sie nach einer Zuordnung mit folgenden Merkmalen:

• Anforderungspfad: üblicherweise *.php
• Modul: üblicherweise FastCgiModule
• Ausführbare Datei: ein Pfad zu php-cgi.exe, beispielsweise C:\PHP\php-cgi.exe

Der Name der Zuordnung kann abweichen. Prüfen Sie auch weitere Websites und untergeordnete Anwendungen, da dort andere Zuordnungen oder PHP-Versionen verwendet werden können.

Ist kein entsprechender Eintrag vorhanden, sind die weiteren Schritte für diese Anwendung nicht erforderlich. Falls IIS als Reverse Proxy Anfragen an einen anderen Webserver weiterleitet, muss PHP zusätzlich auf diesem Zielsystem geprüft werden.

Ist ein PHP-Handlereintrag vorhanden, öffnen Sie diesen per Doppelklick und notieren Sie den vollständigen Pfad unter Ausführbare Datei. Schließen Sie den Dialog anschließend mit Abbrechen. Eine vorhandene Zuordnung zeigt eine konfigurierte PHP-Einbindung; sie beweist allein noch nicht, dass die Anwendung PHP tatsächlich verwendet.

3. Verwendete PHP-Version ermitteln

Öffnen Sie PowerShell auf dem Server und führen Sie folgenden Befehl aus. Ersetzen Sie den Beispielpfad durch den zuvor ermittelten Pfad:

& "C:\PHP\php-cgi.exe" -v

Die Ausgabe beginnt beispielsweise mit:

PHP 8.3.36 (cgi-fcgi)

Die Zahl hinter PHP ist die Version der geprüften PHP-Installation. Verwenden Sie ausdrücklich die in der Handlerzuordnung angegebene Datei. Ein Aufruf von lediglich php -v könnte eine andere Installation auf dem Server prüfen.

4. Ergebnis bewerten

Die am 21. Oktober 2026 veröffentlichten Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 sind in folgenden regulären PHP-Versionen behoben:

Wird eine ältere Version eingesetzt, ist umgehend ein Update beziehungsweise eine Abstimmung mit dem Anbieter des betreffenden AddOns erforderlich. Bei PHP 8.1 und älter ist auf eine unterstützte Version zu wechseln oder eine entsprechende Sicherheitskorrektur des Anbieters nachzuweisen.

Weitere Informationen: Offizielle PHP-Sicherheitsmeldung.