php2shell: gefährliche Sicherheitslücken in PHP (21.10.2026)

[linrunner]

Moin, wer von euch einen Webserver mit PHP betreibt, sollte sich mit dem Einspielen der Updates wirklich sputen.

php2shell: Kritische Sicherheitslücken erlauben Codeeinschleusung in PHP

Zwei Fehler machen Webserver mit PHP aus dem Netz angreifbar. Betroffen: Versionen der letzten 20 Jahre, Admins sollten patchen.

www.heise.de

Wichtige PHP-Updates am 21. Oktober beheben Codeeinschleusung-Schwachstellen

Technische Details werden um 16 Uhr folgen, doch die Lage ist ernst: Es droht Codeausführung aus der Ferne. Admins sollten das Risiko abwägen.

www.heise.de

Ich hab eben mal nachgeschaut: für Debian Trixie wurden die Updatepakete bereits am 26.09.2026 ausgespielt.
EDITH sagt: so'n Quatsch. Die kamen erst heute (Paketversionen 8.4.27-1~deb13u1).

 

[iYassin]

Ich warte schon gespannt drauf, dass das Repository von ondrej den Build fertig stellt

 

[Mr. Natural]

Meine beiden Hoster haben vorsichtshalber alles abgeklemmt... Das geht nun schon gut 2-3h... Also nicht wundern, wenn mein Shop noch für eine Weile nicht erreichbar ist...

 

[L512USER]

Die Angelegenheit scheint nicht ohne zu sein, da die Lernplattformen ILIAS und Moodle betroffen sind und auch weitere Dienste:
https://www.uni-marburg.de/de/hrz/a...ugriffsbeschraenkung-auf-das-uni-netz-und-vpn
Auf der Seite von der Fernuniversität Hagen steht der Hinweis bezüglich der eingeschränkten Erreichbarkeit von Diensten sogar auf der Startseite.

Erfreulich jedenfalls, dass da nun schnell gehandelt wird.

 

[darthvader]

Für Ubuntu gibt's schon Updates.

 

[Mornsgrans]

Für Ubuntu gibt's schon Updates.

Wenn ich es richtig sehe, sind die PHP-Updates auf den 19. Oktober datiert.

 

[Ravensberger]

Unser regionaler Energieversorger hat seine Webseiten abgeschaltet. So geht verantwortungsbewusstes Handeln, würde ich sagen.
Erstaunlich dagegen, wer alles online bleibt, trotz 'kritischer Infrastruktur' und obwohl in einem Beispiel der Laden gerade erst wieder entschlüsselt ist...

 

[Sir Charles82]

Meine Universität (Wien) hat auch sicherheitshalber dreiviertel der Seiten offline genommen....

 

[quarx314]

Es sind auch diverse Clouddienste betroffen, z.B. ist die NRW-Hochschulcloud sciebo offline. Ist zwar fürs Arbeiten lästig, aber sicher ist sicher.

 

[darthvader]

Wenn ich es richtig sehe, sind die PHP-Updates auf den 19. Oktober datiert.

Ich habe heute einen Server unter meiner Fuchtel aktualisiert. Das Versionstag der gefixten Version ist 8.5.4-0ubuntu1.5 (bei php 8.5). Vorher war hinten 1.4 gestanden. Für die anderen PHP Versionen siehe https://ubuntu.com/security/notices/USN-8948-1
In der apt config habe ich http://security.ubuntu.com/ubuntu drin - da kommen die aktuellen Pakete.

 

[Mr. Natural]

Shop ist schon wieder da... Timme Hosting Lüneburg ... Private Seite bei Netcup braucht noch, ist aber auch nicht so wichtg.

 

[Schwartz]

Auch sind zeitgleich ne ganze Reihe fauler TLS-Zertifikate gefunden worden. Gestern war echt ein schwarzer Tag für viele Webseiten.

 

[KNARZ]

Ist das aber nicht nur vulnerable wenn man irgendwie was mit uploads hat? So ganz hab ich es nicht verstanden.

 

[Syntax]

Die genutzte Funktion ist standardmäßig aktiv, somit ist man auch angreifbar wenn man kein typisches Upload-Formular auf der Seite hat.
Daher war der quick fix auch die Funktion zu deaktivieren und danach sobald möglich die Updates zu machen.

 

[darthvader]

Inzwischen gibt es auch Updates für Nextcloud AIO (all-in-one) deployments.

 

[martina]

Fedora 44 hat vorhin auch PHP-Updates freigegeben.

 

[Mornsgrans]

st das aber nicht nur vulnerable wenn man irgendwie was mit uploads hat?

Einer der Workarounds war

session.upload-progress.enabled=0

zu setzen (1. von @linrunner verlinkter Artikel), nur im 2. von ihm verlinkten Artikel wird darauf hingewiesen, dass diese Einstellung nichts hilft und trotzdem umgangen werden kann.

So habe ich es verstanden.

Inzwischen gibt es auch Updates für Nextcloud AIO (all-in-one) deployments.

Komplizierter ist es bei Nextcloud in einer Docker-Instanz. Hier muss (auch) innerhalb Docker PHP aktualisiert werden.

 

[der_ingo]

Erstaunlich dagegen, wer alles online bleibt, trotz 'kritischer Infrastruktur' und obwohl in einem Beispiel der Laden gerade erst wieder entschlüsselt ist...

Nutzen die Seiten denn PHP? Ist zwar verbreitet, aber nutzt ja nun lange nicht jede Seite.

Ich hatte hier heute Mittag auch erst mal die öffentlichen Webseiten der Firma abgeschaltet, die PHP nutzen. Aber halt auch nur die. Andere Dienste blieben weiter online, weil eben kein PHP dahinter steckt.

 

[Lufo]

Ist den der Thinkpad-Forum-Server mittlerweile gepatcht? Das ist ja die viel wichtigere Frage

 

[elchmartin]

Die Zukunft ist eh offline.