News Sofort updaten!: Patches schließen hoch­ris­kante Sicherheitslücken in PHP

[MichaG]

Das BSI warnt vor einer kritischen Schwachstelle in der Programmiersprache PHP, die weltweit Webanwendungen bedroht. Angreifer könnten die Lücke ausnutzen, um schadhaften Code auszuführen. Mittlerweile stehen mehrere Patches bereit, die Administratoren schnellstmöglich aufspielen sollten.

Zur News: Sofort updaten!: Patches schließen hoch­ris­kante Sicherheitslücken in PHP

 

[FrozenPie]

Es gibt ein Video (hoffentlich darf ich das verlinken) von einem bereits veröffentlichten Exploit der "php2shell" Lücke. Dauert nur 40 Sekunden um sich den Shell-Zugriff automatisiert aus der Ferne zu verschaffen. Das ist richtig übel, vor allem wenn man bedenkt, dass geschätzt >70% der im Netz erreichbaren Websites in irgendeiner Form (sei es via CMS oder anderweitig) mit PHP laufen.

 

[Piktogramm]

, sehr kritische Sicherheitslücken in PHP für heute 14 Uhr mitteleuropäischer Zeit angekündigt.

Zeitzonen ist schwer :=). Die Veröffentlichung war für 14Uhr UTC angekündigt und kam etwa 15min vorher. Seit ein paar Stunden scheinen bereits Exploits aktiv genutzt zu werden.

14Uhr UTC
15Uhr CET/MET (UTC+1 bzw. GMT+1)
16Uhr MESZ (UTC+2)

Wobei wir gerade in Sommerzeit und damit MESZ leben. Wer aber seinen *nix Server auf was Anderem als UTC laufen hat... Also auf euren Servern sollte es 14Uhr gewesen sein, als ihr euch am DDOS auf Repos von Distribution und Containerimage beteiligt habt

 

[ascer]

Sehr erstaunlich finde ich, dass (je nach Statistik) immer noch rund 60-75% aller Webseiten in irgendeiner Form auf PHP setzen. Zu großen Teilen werden das wohl CMS-Dinge wie WordPress oder ein jeweiliger Pendant im E-Commerce usw. sein?

PHP ist ja schon ziemlich altbacken und eher 2000er Technologie - oder allenfalls noch 2010er.

Selbst in Teilen ja durchaus gut neu gedachte Dinge wie Laravel oder Symfony sind ja definitiv noch schlechter als die tatsächlich neuen Standards wie Typescript/Node.js, FastAPI und generell Python-Libraries für moderne WebApps sowie natürlich Weblösungen in Go oder Rust - von denen Laravel/Symfony vieles ja auch einfach nur kopiert haben.

 

[aid0nex]

Und wie schnell ist das Dingen in den Repos der üblichen Distris?
Ich hab hier z.B. einen Ubuntu Server. Sind die da auch sofort zu finden?

edit: Ich wollte meinen Heimserver jetzt updaten, leider scheinen die ganzen ppas alle nicht erreichbar zu sein... Klasse. Hab jetzt erstmal Apache gestoppt bis die Lücke geschlossen sind. Hab auf meinem Nextcloud relativ wichtige und persönliche Daten liegen.

 

[Lynacchi]

Sind die da auch sofort zu finden?

Bei meinem Ubuntu Server wars kurz nach 16 Uhr da. 8.5.4-0ubuntu1.5 ist die neuste Version.

 

[pseudopseudonym]

Na toll. Damit steht mein Abendprogramm. Hoffentlich wirds kurz.

 

[DocAimless]

PHP ist ja schon ziemlich altbacken und eher 2000er Technologie - oder allenfalls noch 2010er.

Fehlt nur noch das Apache & nginx als „alt“ deklariert wird.

 

[Blaze1987]

Debian Trixie Stable Version besitzt bei mir bisher folgende Version als neustes Security Release 17:08 Uhr von heute (natürlich nach cache Update):

php 8.4.27-1~deb13u1

PHP 8.4.27 (cli) (built: Oct 21 2026 07:53:46) (NTS)
Copyright (c) The PHP Group
Built by Debian
Zend Engine v4.4.27, Copyright (c) Zend Technologies
with Zend OPcache v8.4.27, Copyright (c), by Zend Technologies

Der Hersteller informiert über die Schwachstellen und stellt PHP in den
Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 als Sicherheitsupdates bereit.

Für Debian 13 Trixie (stable) steht Version 8.4.27-1~deb13u1 von ‘php8.4’
bereit, um die beiden Schwachstellen zu beheben.

Für Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS und 26.10 stehen
Sicherheitsupdates für ‘php8.1’, ‘php8.3’ und ‘php8.5’ bereit, um die beiden
Schwachstellen zu beheben.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Schwachstellenarchiv unter:
https://adv-archiv.dfn-cert.de/adv/2026-5925

Details:
https://www.linux-magazin.de/dfn-ce...chen-das-ausfuehren-beliebigen-programmcodes/

 

[Armadill0]

Fehlt nur noch das Apache & nginx als „alt“ deklariert wird.

Also apache ist wirklich uralt. Nginx ist sowieso verloren seit sie F5 gehören.

 

[Taron]

Wenn der Webhoster seine kompletten Systeme offline genommen hat... dann dürfte da was dran sein...

 

[Rickmer]

Erstmal meine Nextcloud offline genommen bis ich php geupdated habe -_-

 

[d00d]

Bei Domainfactory wird es bis Ende des Jahres bestimmt auch ein Update der Serversoftware geben.

 

[Wolfgang.R-357:]

Ich hab die Tage was bestellt, die Seite (electronic4you) ist zurzeit nicht erreichbar, dann wird es wohl daran liegen.

Nachtrag.
Ich hatte wohl recht. Jetzt zeigt mir die Seite auch Informationen an. Gut das die Lücke ernst genommen wird. Es ist eher selten wenn eine Seite völlig offline geht, daran sieht man das es sehr wichtig ist.

 

[Ranayna]

Ich bin froh nix extern zu hosten.
Auch in der Firma hosten wir nichts mit PHP extern, aber für die internen Systeme wird grad auch Stress gemacht

 

[Taron]

Gibt es irgendwo belastbare Informationen, ob und wie der 40-sec.-Exploit aktiv ausgenutzt wird? Zumal das ja scheinbar automatisiert geht?

 

[Pyrukar]

Nextcloud offline genommen

Okay nur mal für mich zum verständniss (bin leider kein IT Mensch) ich habe auf einem Debian System auch eine Nextcloud AIO dh in containern laufen. Auf Debian hatte ich jetzt kein Update von PHP da das ja vermutlich nur in den Containern drin stecken sollte. Korrekt?! Jetzt habe ich über die AiO Update oberfläche geprüft ob es ein Update gibt aber da steht noch drann dass alles Up to date ist ... dh die Nextcloud AiO hat das update noch nicht bekommen, korrekt? Genügt es die Container abzuschalten um nicht angegriffen werden zu können oder muss ich den PC abgeschaltet lassen um sicher zu sein? ach ja die NC ist üblicherweise über das Internet abrufbar.

 

[hax69]

Things happen.

 

[fuchen]

Wenn der Webhoster seine kompletten Systeme offline genommen hat... dann dürfte da was dran sein...

zufällig all-inkl?
Find schon ein wenig mies, dass die nicht vorher zumindest ne schnelle „Achtung-Achtung“-Mail an alle Kunden rausgeschickt haben und keinerlei Kanal haben, der aktuell erreichbar ist.

 

[Darklordx]

Mein Arbeitgeber hat seine Website auch offline genommen... Erstmal das Update in die Systeme bringen... Bis zur nächsten Sicherheitslücke.