PHP warnt vor zwei kritischen Lücken mit CVSS 9.2
Upcoming Critical PHP Security Release
Das PHP-Sicherheitsteam kündigt für Mittwoch, den 21. Oktober 2026, um 14:00 UTC ein dringendes Sicherheitsrelease an. Es schließt zwei kritische Schwachstellen, die beide mit CVSS v4.0 9.2 bewertet sind. Alle PHP-Nutzer sollen sich jetzt vorbereiten, um sofort nach der Veröffentlichung aktualisieren zu können. Sollten Details öffentlich werden oder Hinweise auf aktive Ausnutzung auftauchen, behält sich das Team einen früheren Release vor. Betroffene und korrigierte Versionen folgen mit der Veröffentlichung.
Wir behalten uns das Recht vor, früher zu veröffentlichen, falls Details zu einer der beiden Schwachstellen öffentlich werden oder Hinweise auf eine aktive Ausnutzung in freier Wildbahn auftauchen.
- devttyeu
@dang wenn die kursierenden Spekulationen auch nur annähernd zutreffen, dann ist das apokalyptisch und verdient es, verstärkt zu werden, damit die richtigen Leute es sehen, bevor es zu spät ist.
CERT-EU schlägt sogar vor, alle Systeme zu isolieren, die möglicherweise exponiert sind und nicht schnell gepatcht werden können.
Die Spekulation ist, dass das betroffene Subsystem vor jeglichem Anwendungscode läuft und alle Standardinstallationen betrifft.
- Numerlor
Nun, schlimmer geht's kaum, also wird das Internet wohl ein bisschen auf die Probe gestellt und alte Foren werden zu Botnetzen.
- unethical_ban
Gerüchteweise Abhilfe aus anderen HN-Threads:
>Abhilfe für betroffene Versionen ist, `session.upload_progress.enabled = Off` in der php.ini zu setzen
Das ist ein Feature, das mein Wiki nicht nutzt, also hat es mir nicht geschadet, den Schalter umzulegen, auch wenn ich so schnell wie möglich patche. Tatsächlich könnte ich wohl einfach meinen Server für den Tag abschalten ...
Edit: Ich habe einfach mein dokuwiki für den Tag abgeschaltet. Außer mir nutzt es sowieso niemand.
Edit2: https://old.reddit.com/r/PHP/comments/1xb2utu/upcoming_criti...
Jemand, der behauptet, ein Releng für PHP zu sein, sagt, INI-Einstellungen werden dich nicht retten.