News Sofort updaten!: Patches schließen hoch­ris­kante Sicherheitslücken in PHP

[CtrlFreak]

Schaut mal, welche Apps auf eurem Handy Zugriff aufs lokale Netzwerk haben. Und dann überlegt, welche eurer Geräte eine Weboberfläche haben, z. B. NAS, Kameras oder Router. Nicht jedes davon ist betroffen, aber wenn ein Gerät eine verwundbare PHP-Version nutzt, könnte es zum Ziel werden. Und kann mir nicht vorstellen, dass große Marken da teils neuere Geräte oder gar uralte Geräte patchen. Und dann noch die Chinahersteller, die nie patchen werden.

Dafür muss die App nicht mal selbst gehackt werden. Die Frage ist doch: Wem vertraut ihr da eigentlich? Wisst ihr, welcher App-Entwickler hinter der App steckt, ob sie irgendwann verkauft wurde oder ob ein Update plötzlich etwas ganz anderes macht?


Eine bösartige oder kompromittierte App mit Netzwerkzugriff könnte versuchen, verwundbare Geräte im LAN anzugreifen, die von außen gar nicht erreichbar sind. Kein Automatismus, aber ein durchaus realistisches Szenario.


Vielleicht sollte man nicht nur fragen, ob man dem Internet vertraut, sondern auch, was man sich mit den Apps freiwillig ins eigene Netzwerk holt.

Bei mir sind es 19 Apps. Am Ende ist der Zugriff bei allen nachvollziehbar, vertrauen tu ich davon keiner Firma, alles Kapitalisten, meine Sicherheit ist nicht deren Ziel, sondern mein Geld 😜

Bevor ich jetzt mit dem Gesindel im Internet um die Serverübernahmen konkurriere, würde ich mir ein paar super Nischenapps vibecoden. Ohne Werbung. Ohne Bezahlschranke.

Oder liege ich da grundlegend falsch?

 

[Piktogramm]

und scheint deutlich weniger dramatisch zu sein

scheint -> ist
Bei der Teilveröffentlichung, das "use after free" wird anscheinend gefangen und der Prozess beendet. Das ist nicht schön, aber weit weniger kritische als Zugang und Rechteeskalation auf ne Shell.

 

[G00fY]

Das ist ein anderes Problem...

Wie jetzt, das war nicht der finale PHP Patch der sämtliche existierenden Sicherheitslücken beseitigt?

Ansonsten lohnt es sich natürlich aufmerksam zu bleiben. Behauptungen wie "Patch funzt nicht" helfen aber niemandem.

 

[Taron]

Update: bei All-inkl scheint wieder alles soweit zu laufen, meine Seiten haben die neuesten Patches ausgerollt bekommen.

Eine Mail mit transparenter Erklärung o.ä. oder ein Statement auf deren Seite gibt es aber weiterhin nicht.

 

[konean]

Update: bei All-inkl scheint wieder alles soweit zu laufen, meine Seiten haben die neuesten Patches ausgerollt bekommen.

Hm... Bei mir noch nicht. Ich bin etwas enttäuscht von All-inkl, so wie sie das bis jetzt handhaben. Keine Infos, kein Zugang für mehrere Stunden...

 

[Taron]

Na super, dann machen die das etappenweise und ohne dass man selbst weiß wann man selbst an der Reihe ist… war aber nach den Berichten auf Reddit auch zu erwarten…

 

[Brrr]

Was auf jedenfalls stimmt. Nativ ist PHP fürn Popo. Da geht bei alternativen oft deutlich mehr.
Ich kenn mich aber auch nicht so gut mit alternativen aus.

Ich find Kotlin und JVM ganz cool und hab auch schon ein wenig damit gemacht.

Ich mag falsch liegen aber bei den anderen Sprachen also bei JVM ist es teilweise sehr aufgebläht mit sehr vielen Funktionen die man einstellen soll obwohl man diese nicht braucht. Also recht komplex.
Und bei Nodejs scheint es mir sehr fragmentiert zu sein und JS als Build ist auch nicht so geil (find ich)

Ich liebäugle auch mit Kotlin und JVM hin un wieder. Aber PHP mit Symfony oder Laravel ist eben schon sehr komfortabel. Das fängt schon damit an, dass man z.B. für Datenbankmigrationen wieder eine zusätzliche Library bei Java/Kotlin (meist Flyway) benötigt. Bei Symfony und Laravel fühlt sich alles wie aus einem Guss an. ASP.NET (Core) finde ich da wesentlich komfortabler. Wegen meiner Abneigung zu MS möchte ich aber eigentlich lieber nicht auf das Pferd setzen.

Ergänzung (22. Oktober 2026)

Ich glaube die Welt, wie wir sie kennen, wird nicht durch Atombomben zu Grunde gehen, sondern durch sowas

Vielleicht gibt es ein Web-Portal wo sie die Atomraketen starten können und vielleicht ist das auch mit PHP geschrieben Heutzutage würde mich nichts mehr wundern.

Ergänzung (22. Oktober 2026)

Euch ist aber allen klar, das der Patch nicht funzt?

https://x.com/Dinosn/status/2112962329772245311

https://fedi.katze.sh/@elise/117479383739450605

Der Patch muss gepatched werden = es ist weiter offen, möglicherweise haben Seiten wie Golem das realisiert (und bleiben off)

Das ist erstmal noch Spekulation ob das auch ausgenutzt werden kann. Aber gut möglich, dass da noch mehr kommt. Nicht funzt ist zum jetzigen Zeitpunkt aber eine übertriebene Darstellung.

 

[Brrr]

Theoretisch können container die Auswirkungen eines Angriffs etwas eingrenzen.

Jein. Es würde etwas bringen wenn das Filesystem oder teile davon nur Read-Only wäre, aber das ginge auch ohne Container. Auch auf die DB hätte man trotzdem Zugriff und könnte entsprechend Daten abziehen, manipulieren etc.
Ein Container schützt höchstens davor, dass das Host-System nicht übernommen werden kann. Das sollte mit diesem Hack aber auch nicht möglich sein, ausser man nutzt noch eine Lücke im Host-System oder PHP läuft mit root. Aber so verrückt ist hoffentlich niemand.

 

[AlphaKaninchen]

Besteht irgendein Handlungsbedarf wenn man nichts online hostet?

Wenn du Geräte hast die PHP für ihre Web GUI nutzen gibt es eventuell auch dafür updates, z.b. OPNsense und viele andere Router, Wallboxen und andere IoT Geräte.

Ergänzung (22. Oktober 2026)

PHP läuft mit root

OPNsense z.b. läuft die Web GUI mit Root

 

[fdsonne]

Was auch wieder mal schön anzusehen war, Ondrej Sury hatte Patches für Ubuntu parat noch vor Ubuntu und das zurück bis irgendwelche Uralt-Versionen. Unsere Entwicklungssysteme waren deshalb schneller gepatcht als die produktiven Server. Der Typ verdient eine Spende.

Wieso schön?
Der PHP SourceCode ist ca. 2 Tage alt, wurde aber erklärt erst am 21.10. 1600 veröffentlicht. Die Frage ist eher, wer hat sich wie an welche Abmachung gehalten?
Im Repo von Ondrej tragen die Files Zeitstempel von vor 1600. Das geht bis in den Vormittag zurück. Welche Zeitstempel tragen die Daten im Ubuntu Repo? Und vor allem in welchem? Da gibts viele Mirrors und teils unterschiedlichem Sync Zeitplan.

Theoretisch können container die Auswirkungen eines Angriffs etwas eingrenzen. Allerdings gab es gerade diese Woche auch eine Lücke im Linux kernel, die den Ausbruch aus VMs und Containern zum Host ermöglicht (CVE-2026-99999). Und es dauert meist länger bis gepatchte kernel auf vielen Systemen ankommen.

Theoretisch ist viel möglich, IT Security ist dieser Tage aber so problematisch dass man sich nur Näherungsweise an das Optimum annähern kann. IdR. über aufeinander aufbauende Sicherheitsschichten. 100% gibt es schlicht nicht. Und nein, in einer typisch anständig gehärteten Container Umgebung kommst du via CVE-2026-99999 nicht zu dem Punkt den du beschreibst. Du landest über die PHP Lücke bestenfalls im Container des WebServer Prozesses. Dort als unprivilegierter User. Sagen wir www-data, uid 33.
Von hier aus bräuchte es jetzt eine Eskalation über eine aktuell nicht bekannte Lücker aus dem Container. Docker, Podman, k8s, etc.
Über diese landest du idR. unpriviligiert im Container Host, sollte das eine KVM VM sein, braucht es noch eine Eskalation zum Rpot um CVE-2026-99999 auszunutzen.

Findest du nicht, da ist viel Wenn und Aber dabei?

Daher würde ich aktuell nicht viel auf container / VM Isolierung geben und gleich den ganzen host auf Anzeichen einer Kompromittierung untersuchen.

Das kann man ja machen, je nach dem sollte man Maßnahmen generell zyklisch durch prüfen um versteckte und bis jetzt erfolgte Angriffe zu entdecken.

Was aber gar nix bringt ist Panik Modus.
Viel wichtiger ist die Hausaufgaben VOR Inbetriebnahme irgendwelcher Dienste am Netz zu machen. Wie gesagt, in einer gehärteten Umgebung ist derzeit keine derartige Angriffsstrategie möglich da keine bekannten Lücken mehr existieren. Ein Admin mit Sachverstand weis was er tun muss, damit der Kram safe ist. So safe es zum gegenwertigen Zeitpunkt eben sein kann. Das ist nur leider bei den ganzen Bastel-Hansel und Foren Copy&Paste Leuten nicht der Fall. Ehrlicherweise werden die aber auch ein befallenes System nicht als solches erkennen. Nicht ohne Grund gibt es für den Kram gar nicht mal so wenig Geld, wenn man in dem Bereich arbeitet. Könnte das Schrauber Otto oder Bastel Lisa auch ohne echte Expertise, würde Niemand solche Leute bezahlen. Aber mal gucken wo das noch hin geht.

Ergänzung (22. Oktober 2026)

..., ausser man nutzt noch eine Lücke im Host-System oder PHP läuft mit root. Aber so verrückt ist hoffentlich niemand.

Sicher?
Standard Docker Installation gibt dir keine userns-remap Features. Häufig kommen gerade Community Container ohne Härtung und ohne Angabe vom User. Was ID 0 entspricht und damit Container Root = Host Root. Verrückt ist das nicht, das ist unwissen des Anwenders und meist gepaart mit dem "absterben" an dem Punkt wo der Output des Vorhabens dem entspricht was man haben will. Bspw. Nextcloud soll laufen.

Wenn keine eigene Installation ins Spiel kommt sondern irgendwas fertiges ala NAS mit Container, verlässt man sich auch gern darauf. Ich müsste lügen, aber ich meine auf meinem QNAP Scherbel ist das docker ohne Härtung.

 

[Brrr]

Im Repo von Ondrej tragen die Files Zeitstempel von vor 1600. Das geht bis in den Vormittag zurück. Welche Zeitstempel tragen die Daten im Ubuntu Repo? Und vor allem in welchem? Da gibts viele Mirrors und teils unterschiedlichem Sync Zeitplan.

Sorry, schön ist etwas verwirrend, war ironisch gemeint, eigentlich unschön. Ich hatte die CVEs von Ubuntu ständig offen und da stand noch lange sowas wie "needs further evaluation" oder sowas in der Art währenddessen von Ondrej schon debs zur Verfügung standen. Auch unschön war, dass launchpad worüber er früher gehostet hat nicht mehr erreichbar war, sein eigenes Repository aber problemlos aufrufbar war.

Also insgesamt ging es einiges Flotter als bei Ubuntu. Aber ich möchte damit nicht sagen, dass Ubuntu einen schlechten Job gemacht hätte, es kam dann auch bei denen. Aber irgendwie hätte ich erwartet dass das zur Angekündigten Zeit dann auch direkt zur Verfügung steht und nicht erst ca. eine Stunde später.

Edit: Zeitstempfel steht 13.45 Uhr auf archive.ubuntu.com aber ich weiss nicht, was das für eine Zeitzone ist.

 

[jabberwalky]

Ist ist erst der Anfang. Nicht auszumalen was passiert wenn so ein System mal auf kritische Infrastruktur oder Geldsysteme zugreift und alles durcheinanderhaut...

 

[fdsonne]

Ein Container schützt höchstens davor, dass das Host-System nicht übernommen werden kann. Das sollte mit diesem Hack aber auch nicht möglich sein, ...

Container brachte ich btw. deswegen ist Spiel weil es damit sehr einfach möglich ist einen vielleicht sogar schon befallenen Part ohne Aufwand restlos zu putzen. Es ging dabei nie um Sicherheitsaspekte.

Ergänzung (22. Oktober 2026)

Edit: Zeitstempfel steht 13.45 Uhr auf archive.ubuntu.com aber ich weiss nicht, was das für eine Zeitzone ist.

UTC würde ich meinen. Die Meldungen der CVE sind btw. egal, das was da drin steht, wird doch erst nach dem Veröffentlichungstermin geschalten. Den Release auf Github gabs auch gestern Nachmittag erst von PHP, der Code laut Zeitstempel ist aber 2 Tage schon dort hochgeladen/gepackt gewesen.

Das ist halt der Nachteil von vereinbarten Veröffentlichungsterminen. Eigentlich ist das alles fertig, wird aber noch nicht veröffentlicht.

 

[AleksZ86]

zufällig all-inkl?
Find schon ein wenig mies, dass die nicht vorher zumindest ne schnelle „Achtung-Achtung“-Mail an alle Kunden rausgeschickt haben und keinerlei Kanal haben, der aktuell erreichbar ist.

vorgestern habe ich mir ein wenig Speicherplatz bei Hetzner bestellt, und gestern gab es eine Wartungsankündigung von Hetzner diesbzgl.

 

[MGFirewater]

Bevor ich jetzt mit dem Gesindel im Internet um die Serverübernahmen konkurriere, würde ich mir ein paar super Nischenapps vibecoden. Ohne Werbung. Ohne Bezahlschranke.

Nachdem du bereits 19 Apps kritisch hinterfragts, passt das Stichwort Nischenapps ganz gut. Auch wenn ich damit etwas von der PHP-Thematik abschweife.

Ich entwickle derzeit mit ChatGPT Business und ohne eigene Programmierkenntnisse eine kostenlose, werbefreie Open-Source-App unter der Apache-2.0-Lizenz.
Ziel ist es, ältere WLAN-Radios mit Frontier-Silicon-Chipsätzen vor dem Elektroschrott zu bewahren. Denn der Nachfolger der auslaufenden UNDOK-App, OKTIV, unterstützt viele dieser Geräte nicht mehr. Unter aktuellem iOS funktioniert UNDOK bereits nicht mehr.
Meine App soll Android 17 kompatibel werden und allen Interessierten kostenlos zur Verfügung stehen – idealerweise direkt über den Google Play Store, sofern sich das realisieren lässt.

Einige Funktionen sind allerdings über FSAPI nicht realisierbar, und der Zugriff auf airable ist lizenzrechtlich eingeschränkt.

Für eine öffentliche Beta auf GitHub ist es noch zu früh. Aber erstaunlich, was sich inzwischen auch ohne Programmierkenntnisse mit KI-Unterstützung umsetzen lässt.

 

[JustAnotherTux]

Opnsense hat auch patches veröffentlicht (wobei meine ohnehin nicht öffentlich erreichbar ist)

 

[CtrlFreak]

Nachdem du bereits 19 Apps kritisch hinterfragts, passt das Stichwort Nischenapps ganz gut. Auch wenn ich damit etwas von der PHP-Thematik abschweife.

Ich entwickle derzeit mit ChatGPT Business und ohne eigene Programmierkenntnisse eine kostenlose, werbefreie Open-Source-App unter der Apache-2.0-Lizenz.
Ziel ist es, ältere WLAN-Radios mit Frontier-Silicon-Chipsätzen vor dem Elektroschrott zu bewahren. Denn der Nachfolger der auslaufenden UNDOK-App, OKTIV, unterstützt viele dieser Geräte nicht mehr. Unter aktuellem iOS funktioniert UNDOK bereits nicht mehr.
Meine App soll Android 17 kompatibel werden und allen Interessierten kostenlos zur Verfügung stehen – idealerweise direkt über den Google Play Store, sofern sich das realisieren lässt.

Einige Funktionen sind allerdings über FSAPI nicht realisierbar, und der Zugriff auf airable ist lizenzrechtlich eingeschränkt.

Für eine öffentliche Beta auf GitHub ist es noch zu früh. Aber erstaunlich, was sich inzwischen auch ohne Programmierkenntnisse mit KI-Unterstützung umsetzen lässt.

Naja, Anker, Bambu oder tonies - lege ich da für eine Firma meine Hand ins Feuer?

Wir bauen bei uns im Unternehmen ein kleines Intranet auf, nicht ganz so anspruchsvoll wie eine App aber bündelt etwas das bisherige Flickwerk.

Und bei Nischenapps, vielleicht war das etwas falsch ausgedrückt. Natürlich klappt das mit Apps, die Leute nutzen wollen und alternativlos sind. Aber sowas wie WIFI Scanner, die dir anzeigen, welchen Kanal man benutzen soll.
Aber geht ja auch weiter. Gute Prompt Injection für lokal laufende LLM mit Zugriff auf die Umgebung, gerade auch über MCP Server. Ich denke man kann sich auch tolle T-Shirts drucken lassen und damit rumlaufen und früher oder später landet das in einer KI als Injection…

 

[tidus1979]

Wir hatten schon in der Nacht Vorkehrungen getroffen

Weird Flex! Golem war den halben Tag offline 😛

 

[FormatC]

Ich habe mich gestern auch noch zusätzlich abgesichert, der Patch bei Hetzner allein reicht mir nicht. Interessant ist aber, dass Cloudflare auch viele eigene WAF Regeln gerändert hat. Bei mir ging seit gestern das Plugin-Upload in Wordpress nicht mehr. Über die RayID des Cloudflare-Block-Screens bin ich dann auf einige (geänderte) Cold Fusion Regeln gestoßen. Ich nutze kein Cold Fusion, also raus damit. Und siehe da, läuft wieder. Aber man sieht wirklich, dass überall das hektische Treiben eingesetzt hat

Das Bild unten kommt aus meiner eigenen Sicherheitsschicht, das Ding nutze ich schon seit Jahren, entwickle es immer weiter und habe es mal auf die aktuelle Lücke angepasst. Und der Scanner sofort hat eine eigens hochgeladenen "Testdatei" gefunden, die nicht in den Wordpress-Root gehört...

Aber offline schalten? Man kann auch Rules setzen, anstelle der Generalkeule

Die BILD schlachtet das natürlich aus. Und dann erst noch überall diese "Experten"... Deutschland hat mal wieder 80 Mio. Intenet-Experten, jedes Käseblatt hat mindestens einen. Wobei man sich bei manchen Institutionen wirklich fragen muss, wer dort in der IT arbeitet.

 

[samuelclemens]

Wenn du Geräte hast die PHP für ihre Web GUI nutzen gibt es eventuell auch dafür updates, z.b. OPNsense und viele andere Router, Wallboxen und andere IoT Geräte.

Hmm... 🤔
OPNsense hab ich nicht am laufen und Geräte mit WebUI würden mir nur der SpeedportRouter und der Canon Drucker einfallen. Aber die sollten laut KI nicht über PHP laufen. Mal davon abgesehen das sie eh nur im lokalen Netz arbeiten.
IoT war noch nie so mein Ding! Wenn es ohne geht mach ich das.
Das einzige worüber ich ne App drauf zugreife wäre noch der E-Scooter für die Wegfahrsperre. Kann mir aber nicht vorstellen das da PHP im Spiel wäre.
Ansonsten, keine Ahnung welche Geräte noch ne WebUI haben. Kann man heute nie so genau wissen. Teilweise baut man ja schon in Taschenrechnern, Wasserkochern oder Klospülungen IoT ein!🙄🙈
In der regel muss man hier aber jedes mal erst einen Zugang schaffen!?