Was Wichtigste in KürzeOdoo ist von PHP2Shell nicht betroffen. Odoo läuft auf Python und PostgreSQL und verwendet kein PHP. Das gilt für alle Versionen, für Enterprise und Community, für Odoo Online, Odoo.sh und On-Premise-Installationen – und damit auch für die Datenpol-Apps.
Eine Einschränkung gibt es trotzdem: Viele Unternehmen betreiben neben Odoo weitere Systeme, die sehr wohl auf PHP laufen – etwa eine WordPress-Website oder einen WooCommerce- oder Shopware-Shop, der per Schnittstelle an Odoo hängt. Diese Systeme sind betroffen und müssen gepatcht werden.
Was ist PHP2Shell?
PHP2Shell ist der Sammelname für zwei kritische Schwachstellen im PHP-Interpreter selbst: CVE-2026-109618 und CVE-2026-109619. Beide sind mit CVSS v4.0 9,2 bewertet und erlauben Remote Code Execution ohne vorherige Anmeldung. Ein Angreifer braucht also nur Netzwerkzugriff auf die Webanwendung, keinen Benutzernamen und kein Passwort.
Das Tückische daran: Die Lücken stecken nicht im Anwendungscode, sondern in PHP selbst. PHP verarbeitet die schädliche Anfrage, bevor die Anwendung überhaupt zum Zug kommt. Ein sauber programmierter Shop oder eine gut gewartete Website schützt also nicht.
Die von PHP genannten Workarounds – etwa session.upload_progress.enabled = Off oder fatal_error_backtraces = Off unter PHP 8.5 – schließen nur einzelne Angriffswege. Sicher ist nur das Update.
Warum Odoo nicht betroffen ist
Odoo hat kein PHP im Technologie-Stack. Der Server ist in Python geschrieben, als Datenbank kommt PostgreSQL zum Einsatz, das Frontend baut auf JavaScript und dem QWeb-Templating-Engine auf. Es gibt keinen PHP-Interpreter, der Anfragen entgegennimmt – und damit auch keine Angriffsfläche für CVE-2026-109618 oder CVE-2026-109619.
Das gilt unabhängig von Edition, Version und Betriebsart:
- Odoo Enterprise und Odoo Community – beide Editionen teilen denselben Python-Kern.
- Alle Versionen – von älteren Installationen bis Odoo 19 und Odoo 20.
- Alle Hosting-Varianten – Odoo Online, Odoo.sh und On-Premise.
- Individuelle Module und Datenpol-Apps – auch Eigenentwicklungen für Odoo werden in Python geschrieben.
Ein Hinweis für vollständige Korrektheit: Nicht betroffen ist die Odoo-Anwendung. Wenn auf demselben Server neben Odoo noch andere Dienste mit PHP laufen, ist dieser Server sehr wohl angreifbar – über den PHP-Dienst, nicht über Odoo. Wer Odoo sauber isoliert betreibt, muss sich darüber keine Gedanken machen.
Die Ausnahme: PHP-Systeme rund um Odoo
Odoo steht in den seltensten Fällen allein. Rund um das ERP laufen meist weitere Systeme – und ein großer Teil davon basiert auf PHP. Genau dort besteht Handlungsbedarf.
System | Technologie | Von PHP2Shell betroffen |
Odoo (Enterprise & Community) | Python, PostgreSQL | Nein |
Datenpol-Apps und Eigenentwicklungen | Python | Nein |
WordPress-Website | PHP | Ja |
WooCommerce-Shop | PHP | Ja |
Shopware-Shop | PHP | Ja |
Magento-Shop | PHP | Ja |
TYPO3, Joomla, Drupal | PHP | Ja |
Nextcloud, Matomo, Mautic | PHP | Ja |
Eine typische Konstellation sieht so aus: Der WooCommerce-Shop zieht Artikelstamm und Lagerstände aus Odoo und schreibt Bestellungen zurück. Odoo selbst ist sicher – der Shop davor aber nicht. Dasselbe gilt für eine WordPress-Seite, deren Kontaktformular Leads ins Odoo-CRM legt.
Diese Systeme liegen außerhalb von Odoo. Zuständig für das Update ist der Betreiber beziehungsweise der Hoster der jeweiligen Website oder des Shops.
Was jetzt zu tun ist
- Bestandsaufnahme machen. Welche Systeme laufen neben Odoo? Website, Shop, Intranet, Monitoring, Dateiablage – alles, was über einen Webserver erreichbar ist.
- PHP-Version prüfen. Entweder beim Hoster nachfragen oder über php -v am Server. Betroffen ist jede Version unterhalb von 8.2.35, 8.3.36, 8.4.27 beziehungsweise 8.5.12.
- Patchen lassen. Bei Managed Hosting übernimmt das der Hoster – nachfragen, ob und wann es passiert ist. Bei eigenen Servern über die Distributionspakete aktualisieren.
- Alte PHP-Versionen nicht vergessen. PHP 7.x und älter erhalten keine offiziellen Updates mehr. Hier helfen nur gepatchte Distributionspakete oder ein Versionssprung.
- Nicht patchbare Systeme absichern. Lässt sich ein System kurzfristig nicht aktualisieren, gehört es hinter eine Firewall oder vorübergehend vom Netz.
- Logs kontrollieren. Auffällig sind Multipart-POST-Anfragen mit dem Feld PHP_SESSION_UPLOAD_PROGRESS sowie User-Agents, die php2shell enthalten.
- Kontakt mit Partner aufnehmen. Wichtig ist mit dem jeweiligen Partner des Drittsystems kontakt aufzunehmen um mögliche Sicherheitsbedenken auszuräumen.
Datenpol ist Odoo Partner
Wir beschäftigen uns ausschließlich mit Odoo und können deshalb in diesem Fall nicht behilflich sein. Bitte den Kontakt zur Agentur des Drittsystems (z.B. WooCommerce, ect.) suchen.
Wenn ein angebundenes System kompromittiert sein könnte
Hier entsteht der indirekte Bezug zu Odoo. Ein Shop oder eine Website, die an Odoo angebunden ist, kennt Zugangsdaten für Odoo – meist einen API-Key oder einen Integrationsbenutzer. Wer den Shop übernimmt, kann diese Zugangsdaten auslesen und damit auf Odoo zugreifen. Nicht über eine Odoo-Lücke, sondern mit gültigen Credentials.
Falls bei einem System der Verdacht auf eine Kompromittierung besteht:
- API-Keys und Passwörter des Integrationsbenutzers in Odoo neu vergeben.
- Die Rechte dieses Benutzers prüfen: Eine Shop-Schnittstelle braucht selten Administrationsrechte.
- Zugriffe des Integrationsbenutzers im Odoo-Log auf ungewöhnliche Muster durchsehen.
- Wo möglich, den Odoo-Zugriff auf die IP-Adresse des Shops einschränken.
Das ist auch unabhängig von PHP2Shell eine sinnvolle Routine – der aktuelle Anlass ist nur ein guter Zeitpunkt dafür.
FAQ: PHP2Shell und Odoo
Nein. Odoo basiert auf Python und PostgreSQL und verwendet kein PHP. CVE-2026-109618 und CVE-2026-109619 betreffen ausschließlich Anwendungen, die auf PHP laufen.
Ja. Enterprise und Community teilen denselben Python-Kern. Beide Editionen sind nicht betroffen.
Wegen PHP2Shell nicht. Reguläre Odoo-Sicherheitsupdates solltest Du unabhängig davon einspielen.
Die Schnittstelle selbst ist kein Problem. Läuft der Shop aber auf PHP – etwa WooCommerce, Shopware oder Magento –, muss der Shop gepatcht werden. Zuständig ist der Betreiber oder Hoster des Shops.
PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie neuere Releases. Ältere Zweige werden teilweise über Distributionspakete versorgt.
Ja, es wurden Scans und Exploit-Versuche beobachtet, teils schon vor der Veröffentlichung der Patches. Das Update eilt.
Fazit
Für Odoo-Anwender ist PHP2Shell eine Entwarnung – aber keine zum Zurücklehnen. Das ERP selbst ist durch seinen Python-Stack außen vor. Die Systeme rund um Odoo sind es in vielen Fällen nicht, und genau dort führen Schnittstellen zurück ins ERP.
Du bist Datenpol-Kunde und unsicher, welche Systeme in Deiner Umgebung betroffen sind oder welche Schnittstellen auf Odoo zugreifen? Melde dich bei deinem Ansprechpartner bei Datenpol – wir gehen die Konstellation gemeinsam durch.
PHP2Shell (CVE-2026-109618 / CVE-2026-109619): Odoo ist nicht betroffen