php2shell: gefährliche Sicherheitslücken in PHP (21.10.2026)

[linrunner]

Moin, wer von euch einen Webserver mit PHP betreibt, sollte sich mit dem Einspielen der Updates wirklich sputen.

php2shell: Kritische Sicherheitslücken erlauben Codeeinschleusung in PHP

Zwei Fehler machen Webserver mit PHP aus dem Netz angreifbar. Betroffen: Versionen der letzten 20 Jahre, Admins sollten patchen.

www.heise.de

Wichtige PHP-Updates am 21. Oktober beheben Codeeinschleusung-Schwachstellen

Technische Details werden um 16 Uhr folgen, doch die Lage ist ernst: Es droht Codeausführung aus der Ferne. Admins sollten das Risiko abwägen.

www.heise.de

Ich hab eben mal nachgeschaut: für Debian Trixie wurden die Updatepakete bereits am 26.09.2026 ausgespielt.
EDITH sagt: so'n Quatsch. Die kamen erst heute (Paketversionen 8.4.27-1~deb13u1).

 

[deltamikeplus01]

...bin wieder mal sehr "glücklich" mit meinem Hoster w4y in Österreich, das Ticketsystem ist seit gestern down, und das verfügbare php Update geht nur bis 8.5.10, nicht auf das notwendige 8.5.12

 

[Sir Charles82]

Meine Universität (Wien) hat auch sicherheitshalber dreiviertel der Seiten offline genommen....

und wir sind immer noch offline... also überwiegend...

 

[Ravensberger]

Nutzen die Seiten denn PHP? Ist zwar verbreitet, aber nutzt ja nun lange nicht jede Seite.

Teilweise. Die Seiten des kürzlich verschlüsselten Stadtwerke lässt sich diesbezüglich von außen nicht abfragen. Ein weiterer nutzt php.
Bei unserem eigenen regionalen Anbieter weiß ich, dass hier im Zweifel sehr schnell eine Webseite vom Netz genommen wird, dann wird in Ruhe nach bereits infizierten Inhalten geschaut, die betroffenen Systeme ermittelt und dann mit Druck auf die technischen Betreuer gepatcht. Das dauert einen Moment und ist für die Betroffenen nicht angenehm. Dafür wurde unser Regionaler Anbieter (noch) nicht verschlüsselt.

 

[der_bader]

Die Ruhr-Universität Bochum hat externe Zugriffe auf alle RUB-Seiten und RUB-Services zunächst bis heute Mittag gesperrt; intern bzw. per VPN sind alle Dienste erreichbar. Auch die Hochschulcloud NRW (Sciebo) war gestern einige Zeit offline.

 

[elchmartin]

Hetzner hat meine Managed Nextcloud Instanzen gestern Mittag geupdated.

 

[Hanu]

gestern Mittag geupdated

Das die Schwachstelle behebende Update kam aber erst gegen 16 Uhr...

 

[elchmartin]

Das die Schwachstelle behebende Update kam aber erst gegen 16 Uhr...

Spoiler: Meldung

Im genannten Zeitraum werden dringende sicherheitsrelevante Softwareupdates auf allen Storage Share-Instanzen durchgeführt.

Aus diesem Grund werden die Storage Share-Instanzen, für wenige Minuten nicht erreichbar sein.

Wir entschuldigen uns für etwaige Unannehmlichkeiten und bedanken uns für Ihr Verständnis.


Typ:  Wartungsarbeiten

Status:  geplant

Start:  2026-10-21, 16:00 Uhr CEST

Mittag....Nachmittag....... Haarspalterei

 

[Mr. Natural]

Mittag....Nachmittag....... Haarspalterei

Oder Herkunft... Meine Frau kommt aus BaWü und da kann Mittag alles zwischen 11 und 17 Uhr bedeuten... Das macht mich regelmäßig fertig. Fuß und Bein ist noch so'n Thema, aber das tut hier eigentlich beides nichts zur Sache

 

[schmatzler]

Ich warte schon gespannt drauf, dass das Repository von ondrej den Build fertig stellt

Hab gestern auch lange gewartet, er hat dann irgendwann geschrieben, dass er keine native ARM64-Hardware hat und vermutlich zwei Tage braucht um alle Builds zu machen, da kam ich schon ein wenig ins Schwitzen.

Zum Glück lag hier noch ein M2-Macbook Air rum, mit dem ich die Builds selbst machen konnte. Wurde knusprig warm, nach 45min hatte ich meine Pakete dann.

 

[linrunner]

php2shell: Updates trudeln ein, viele Webseiten offline, Angriffe laufen

Viele Linux-Distributionen liefern aktualisierte PHP-Pakete. Webseiten gingen offline. Erfolgreiche Exploits sind bislang nicht belegt.

www.heise.de

 

[Aiphaton]

Das die Schwachstelle behebende Update kam aber erst gegen 16 Uhr...

Kam tatsächlich darauf an. Einige Unternehmen sind wohl aus der Reihe getanzt und haben das Update schon 9 Uhr verteilt (die großen Sicherheitsplayer hatten im Vorfeld Zugriff darauf). Und es ist wohl hier und da auch bei Angreifern schon durchgeleaked gewesen.

Golem

Von daher - gerade wichtigere Seiten - war schon sehr vernünftig, das offline zu nehmen.

Hab gestern auch lange gewartet, er hat dann irgendwann geschrieben

Ich hatte noch ein paar Instanzen auf dem alten Launchpad-Repo, hab dann erstmal umgestellt, weil es da nicht verfügbar war, aber auf dem anderen, wo eh hin migriert werden soll. Naja, hätte eh gemacht werden sollen.

 

[elchmartin]

Hoster All-Inkl schrieb hierzu folgendes:

Spoiler: All-Inkl

Warnung
Kritische Sicherheitslücken in PHP – Sicherheitsupdates eingespielt

Am 21.10.2026 wurden zwei kritische Sicherheitslücken in der Programmiersprache PHP veröffentlicht, die unter bestimmten Umständen einen unberechtigten Zugriff auf Webserver ermöglichen könnten.

Wir haben unmittelbar reagiert und bereits vor Veröffentlichung der Sicherheitsupdates zusätzliche Schutzmaßnahmen auf unseren Servern aktiviert.

Inzwischen haben wir sämtliche bei uns angebotenen PHP-Versionen mit den notwendigen Sicherheitskorrekturen versehen. Dies gilt auch für ältere PHP-Versionen, die vom PHP-Projekt offiziell nicht mehr unterstützt werden.

Zum Schutz unserer Infrastruktur und Ihrer Daten haben wir außerdem vorsorglich einige unserer eigenen Dienste vorübergehend abgeschaltet. Diese werden nach Abschluss der Sicherheitsprüfungen wieder vollständig zur Verfügung gestellt. Die Webseiten unserer Kunden waren von diesen Abschaltungen nicht betroffen.

Nach unserem bisherigen Kenntnisstand liegen uns keine konkreten Hinweise auf eine erfolgreiche Ausnutzung der Sicherheitslücken auf unseren Systemen vor. Eine Ausnutzung vor Installation der Sicherheitsupdates lässt sich jedoch nicht grundsätzlich ausschließen.

Wir empfehlen Ihnen daher, Ihre Webseiten und Anwendungen auf ungewöhnliche Veränderungen zu überprüfen, insbesondere auf unbekannte Dateien, unerwartete Änderungen oder neu angelegte Benutzerkonten.

Unsere Techniker überwachen die Systeme weiterhin und prüfen auffällige Aktivitäten.

Weitere technische Informationen finden Sie in der offiziellen Sicherheitsmeldung des PHP-Projekts.

Also auch recht rasch agiert ;-)

 

[linrunner]

php2shell: Millionen PHP-Dienste in Deutschland verwundbar

Die IT-Sicherheitsfirma Censys scannt PHP-Server auf für php2shell anfällige Versionen. Millionen in Deutschland sind noch verwundbar.

www.heise.de

Deutschland ist nicht Weltspitze, aber immerhin Zweiter...

php2shell: Wer nun was machen muss

Sämtliche PHP-Versionen der letzten 20 Jahre sind durch zwei Sicherheitslücken gefährdet. Updates einzuspielen ist das einzig wirksame Mittel.

www.heise.de

EDITH reicht noch einen Artikel zu den gesellschaftlichen Aspekten:

Wir stehen auf den Schultern vieler kleiner Giganten

Auch wenn „das Internet“ nach der Aufregung der vergangenen Tage vielerorts wieder stabil läuft, ist es kaputt. Und das hat viel mit dem schiefen sozialen Gefüge der digitalen Welt zu tun.

netzpolitik.org

 

[Mornsgrans]

Ist auch kein Wunder:
- sehr viele Seiten sind in PHP programmiert und teilweise "in Vergessenheit" geraten
- der Generationswechsel in der IT sorgt dafür, dass so mancher Webauftritt nicht mehr die volle Aufmerksamkeit seitens der Nachfolger erhält
- nicht alle Admins sind ständig bezglich solcher Warnungen up-to-date und führen mehr oder weniger einfach wöchentlich oder monatlich die Updates aus - so entsteht eine "Reaktions-Lücke" zwischen Veröffentlichung derartiger Warnungen und dem einspielen von Updates.
- die Warnung erschien zum Dienstschluss - ein absolut tödlicher Zeitpunkt - da reagiert niemand mehr...

 

[linrunner]

Es war übrigens ein Mittwoch. Davon abgesehen ist zu jeder beliebigen Uhrzeit irgendwo auf dem Globus Dienstschluss...

 

[Mornsgrans]

Tag korrigiert - wir sind nicht "irgendwo auf dem Globus", sondern in der Zeitzone, in der um 16 Uhr MESZ je nach Arbeitsbeginn der "Dienstschluss" beginnt - also just zu dem Zeitpunkt, als die Warnung veröffentlicht wurde.
Die einen waren schon unterwegs nach Hause, andere fuhren schnell die Server runter und führen heim, wieder andere legten eine Nachtschicht ein. Der Rest steht oben

 

[Aiphaton]

der um 16 Uhr MESZ je nach Arbeitsbeginn der "Dienstschluss" beginnt - also just zu dem Zeitpunkt, als die Warnung veröffentlicht wurde.

Die Warnung wurde bereits 1-2d davor veröffentlicht. Der Patch kam 16 Uhr.

 

[der_ingo]

Dieser automatisierte Scan nach angeblich verwundbaren Versionen ist allerdings ein Trugschluss. Diverse Linux-Distributionen patchen ja die mitgelieferte Paketversion, ohne die eigentliche Softwareversion anzupassen. Ein Ubuntu 24.04 hat vorher und hinterher ein PHP 8.3.6 und nur der Zusatz des Pakets zeigt die neue Version. Das kann man aber halt von extern nicht auslesen.

Bei einem sauber konfigurierten System dürfte man die PHP-Version extern eh nicht auslesen können. Diese Angaben von angeblich verwundbaren Seiten sind somit irgendwie für den Hintern.