php2shell: gefährliche Sicherheitslücken in PHP (21.10.2026)

[linrunner]

Moin, wer von euch einen Webserver mit PHP betreibt, sollte sich mit dem Einspielen der Updates wirklich sputen.

php2shell: Kritische Sicherheitslücken erlauben Codeeinschleusung in PHP

Zwei Fehler machen Webserver mit PHP aus dem Netz angreifbar. Betroffen: Versionen der letzten 20 Jahre, Admins sollten patchen.

www.heise.de

Wichtige PHP-Updates am 21. Oktober beheben Codeeinschleusung-Schwachstellen

Technische Details werden um 16 Uhr folgen, doch die Lage ist ernst: Es droht Codeausführung aus der Ferne. Admins sollten das Risiko abwägen.

www.heise.de

Ich hab eben mal nachgeschaut: für Debian Trixie wurden die Updatepakete bereits am 26.09.2026 ausgespielt.
EDITH sagt: so'n Quatsch. Die kamen erst heute (Paketversionen 8.4.27-1~deb13u1).

 

[deltamikeplus01]

...bin wieder mal sehr "glücklich" mit meinem Hoster w4y in Österreich, das Ticketsystem ist seit gestern down, und das verfügbare php Update geht nur bis 8.5.10, nicht auf das notwendige 8.5.12

 

[Sir Charles82]

Meine Universität (Wien) hat auch sicherheitshalber dreiviertel der Seiten offline genommen....

und wir sind immer noch offline... also überwiegend...

 

[Ravensberger]

Nutzen die Seiten denn PHP? Ist zwar verbreitet, aber nutzt ja nun lange nicht jede Seite.

Teilweise. Die Seiten des kürzlich verschlüsselten Stadtwerke lässt sich diesbezüglich von außen nicht abfragen. Ein weiterer nutzt php.
Bei unserem eigenen regionalen Anbieter weiß ich, dass hier im Zweifel sehr schnell eine Webseite vom Netz genommen wird, dann wird in Ruhe nach bereits infizierten Inhalten geschaut, die betroffenen Systeme ermittelt und dann mit Druck auf die technischen Betreuer gepatcht. Das dauert einen Moment und ist für die Betroffenen nicht angenehm. Dafür wurde unser Regionaler Anbieter (noch) nicht verschlüsselt.

 

[der_bader]

Die Ruhr-Universität Bochum hat externe Zugriffe auf alle RUB-Seiten und RUB-Services zunächst bis heute Mittag gesperrt; intern bzw. per VPN sind alle Dienste erreichbar. Auch die Hochschulcloud NRW (Sciebo) war gestern einige Zeit offline.

 

[elchmartin]

Hetzner hat meine Managed Nextcloud Instanzen gestern Mittag geupdated.

 

[Hanu]

gestern Mittag geupdated

Das die Schwachstelle behebende Update kam aber erst gegen 16 Uhr...

 

[elchmartin]

Das die Schwachstelle behebende Update kam aber erst gegen 16 Uhr...

Spoiler: Meldung

Im genannten Zeitraum werden dringende sicherheitsrelevante Softwareupdates auf allen Storage Share-Instanzen durchgeführt.

Aus diesem Grund werden die Storage Share-Instanzen, für wenige Minuten nicht erreichbar sein.

Wir entschuldigen uns für etwaige Unannehmlichkeiten und bedanken uns für Ihr Verständnis.


Typ:  Wartungsarbeiten

Status:  geplant

Start:  2026-10-21, 16:00 Uhr CEST

Mittag....Nachmittag....... Haarspalterei

 

[Mr. Natural]

Mittag....Nachmittag....... Haarspalterei

Oder Herkunft... Meine Frau kommt aus BaWü und da kann Mittag alles zwischen 11 und 17 Uhr bedeuten... Das macht mich regelmäßig fertig. Fuß und Bein ist noch so'n Thema, aber das tut hier eigentlich beides nichts zur Sache

 

[schmatzler]

Ich warte schon gespannt drauf, dass das Repository von ondrej den Build fertig stellt

Hab gestern auch lange gewartet, er hat dann irgendwann geschrieben, dass er keine native ARM64-Hardware hat und vermutlich zwei Tage braucht um alle Builds zu machen, da kam ich schon ein wenig ins Schwitzen.

Zum Glück lag hier noch ein M2-Macbook Air rum, mit dem ich die Builds selbst machen konnte. Wurde knusprig warm, nach 45min hatte ich meine Pakete dann.

 

[linrunner]

php2shell: Updates trudeln ein, viele Webseiten offline, Angriffe laufen

Viele Linux-Distributionen liefern aktualisierte PHP-Pakete. Webseiten gingen offline. Erfolgreiche Exploits sind bislang nicht belegt.

www.heise.de

 

[Aiphaton]

Das die Schwachstelle behebende Update kam aber erst gegen 16 Uhr...

Kam tatsächlich darauf an. Einige Unternehmen sind wohl aus der Reihe getanzt und haben das Update schon 9 Uhr verteilt (die großen Sicherheitsplayer hatten im Vorfeld Zugriff darauf). Und es ist wohl hier und da auch bei Angreifern schon durchgeleaked gewesen.

Golem

Von daher - gerade wichtigere Seiten - war schon sehr vernünftig, das offline zu nehmen.

Hab gestern auch lange gewartet, er hat dann irgendwann geschrieben

Ich hatte noch ein paar Instanzen auf dem alten Launchpad-Repo, hab dann erstmal umgestellt, weil es da nicht verfügbar war, aber auf dem anderen, wo eh hin migriert werden soll. Naja, hätte eh gemacht werden sollen.