Kritische PHP-Sicherheitslücken: Was bedeuten sie für Zeitschriften, die OJS nutzen?

Die jüngst in PHP entdeckten Sicherheitslücken haben deutlich gemacht, wie wichtig es ist, die technische Infrastruktur wissenschaftlicher Zeitschriften auf dem neuesten Stand zu halten.

Am 21. Oktober 2026 wurden Korrekturen für zwei kritische Schwachstellen veröffentlicht, die auf bestimmten Servern die Ausführung von Code aus der Ferne ermöglichen könnten. Die Nachricht ist besonders relevant für Zeitschriften, die Open Journal Systems (OJS), eine PHP-basierte Plattform für das Redaktionsmanagement, einsetzen.

Auch wenn die Schwachstellen nicht OJS-spezifisch sind, werfen sie eine wichtige Frage auf: Wer sorgt für die Sicherheit redaktioneller Plattformen?

Was ist PHP und was ist passiert?

PHP ist eine Programmiersprache, die in zahlreichen Webanwendungen und -plattformen eingesetzt wird, darunter OJS.

Die beiden entdeckten Schwachstellen, die nach dem CVSS-System mit einem Schweregrad von 9,2 von 10 bewertet wurden, könnten es einem Angreifer unter bestimmten Bedingungen ermöglichen, Code aus der Ferne auszuführen.

Angesichts dieses Risikos empfahlen Stellen wie das CERT-EU, die betroffenen Systeme zu identifizieren und die verfügbaren Sicherheitsupdates einzuspielen.

Das bedeutet nicht, dass alle PHP-Installationen verwundbar sind. Das Risiko hängt von der eingesetzten Version und der Serverkonfiguration ab.

Wie können sich diese Schwachstellen auf Open Journal Systems (OJS) auswirken?

OJS ist eine Open-Source-Plattform, die vom Public Knowledge Project (PKP) entwickelt wurde, um die Einreichung, Begutachtung und Veröffentlichung wissenschaftlicher Artikel zu verwalten.

Da OJS auf PHP läuft, können Installationen mit verwundbaren Versionen betroffen sein, selbst wenn OJS selbst aktuell ist.

Es ist wichtig, zwischen einer Schwachstelle in OJS und einem Sicherheitsproblem der zugrunde liegenden Infrastruktur zu unterscheiden. Die Sicherheit einer Zeitschrift hängt daher sowohl von der Redaktionsplattform als auch von der Wartung ihrer technischen Komponenten ab.

Technische Wartung – eine Herausforderung für wissenschaftliche Zeitschriften

Bei Index arbeiten wir mit Universitätszeitschriften, Fachgesellschaften und Redaktionen mit sehr unterschiedlichen Ressourcen. Einige Publikationen verfügen über spezialisierte IT-Abteilungen, andere sind auf externe Dienstleister oder kleine Teams angewiesen.

In allen Fällen gilt es, die Kontinuität des Dienstes zu gewährleisten, personenbezogene Daten zu schützen und die Vertraulichkeit von Manuskripten und Gutachten zu wahren.

Dazu müssen die Redaktionssoftware, die Programmierumgebungen, die Datenbanken und die übrigen Infrastrukturkomponenten aktuell gehalten werden.

Was sollten Zeitschriften, die OJS nutzen, überprüfen?

Die wichtigste Empfehlung lautet, den Zustand der Installation gemeinsam mit dem zuständigen technischen Team oder Dienstleister zu prüfen. Insbesondere sollte Folgendes kontrolliert werden:

• PHP-Version: sicherstellen, dass der Server eine korrigierte Version verwendet oder über die entsprechenden Sicherheitspatches verfügt.
• OJS-Updates: die Plattform und ihre Plugins in kompatiblen und unterstützten Versionen halten.
• Zuständigkeit für die Wartung: festlegen, wer Schwachstellen überwacht und Updates einspielt.
• Datensicherungen: prüfen, ob sie regelmäßig erstellt werden und wiederhergestellt werden können.
• Zugriffssicherheit: Berechtigungen, Administratorkonten und Authentifizierungsmechanismen überprüfen.
• Reaktion auf Vorfälle: über ein Verfahren verfügen, das greift, wenn ein Sicherheitsproblem erkannt wird.

Angesichts der jüngsten Schwachstellen hat es Priorität, die PHP-Korrekturen so schnell wie möglich einzuspielen.

Verwaltete Redaktionsplattformen: ein anderer Umgang mit Technologie

Zeitschriften können ihre technische Infrastruktur selbst verwalten oder diese Verantwortung an einen spezialisierten Anbieter übertragen.

Während Open-Source-Lösungen wie OJS eine weitreichende Kontrolle über das System bieten, umfassen Software-as-a-Service-Modelle (SaaS) die Verwaltung der Infrastruktur, die Wartung und die Updates.

Auch wenn kein Modell Sicherheitsrisiken vollständig ausschließt, kann die Auslagerung dieser Aufgaben die technische Belastung der Redaktionen verringern, vor allem wenn sie über keine eigenen IT-Ressourcen verfügen.

Der Ansatz von Index: Technologie und redaktionelle Begleitung

Bei Index haben wir eine eigene Plattform entwickelt, die die wichtigsten Schritte der Verwaltung und Veröffentlichung wissenschaftlicher Zeitschriften vereint.

Unser Modell ermöglicht es, die technische Wartung an ein spezialisiertes Team abzugeben und die Ressourcen der Zeitschrift auf die redaktionellen Prozesse zu konzentrieren.

Neben der Manuskriptverwaltung und dem Peer-Review bieten wir die Produktion von Artikeln in PDF, HTML und JATS-XML, DOI-Verwaltung, die Veröffentlichung von Inhalten sowie Beratung zur Indexierung an.

Außerdem begleiten wir Zeitschriften, die von OJS oder anderen Plattformen migrieren möchten, und achten dabei auf den Erhalt ihrer Inhalte und Metadaten.

Unser Ziel ist, dass die Technologie die redaktionelle Arbeit erleichtert, ohne schwer tragbare technische Verantwortung hinzuzufügen.