PHP kündigt Sicherheitsrelease gegen zwei kritische Lücken an
Upcoming Critical PHP Security Release
Das PHP-Sicherheitsteam warnt vor zwei kritischen Schwachstellen, beide mit CVSS v4.0 9.2 bewertet. Der Patch erscheint am Mittwoch, 21. Oktober 2026, um 14:00 UTC. Alle PHP-Nutzer sollen sich vorbereiten, um sofort aktualisieren zu können. Sollten Details öffentlich werden oder aktive Ausnutzung beobachtet werden, behält sich das Team einen früheren Release vor.
Wir behalten uns das Recht vor, früher zu veröffentlichen, falls Details einer der beiden Schwachstellen öffentlich werden oder wir Hinweise auf aktive Ausnutzung in freier Wildbahn sehen.
- bwoebi
Für alle, die sich fragen, warum der Patch noch nicht draußen ist:
Es gibt eine Handvoll Leute, die für das Veröffentlichen eines Releases verantwortlich sind. Die schlafen noch.
Um ehrlich zu sein, bin ich auch schockiert, dass der Exploit so schnell veröffentlicht wurde, nach dem geleakten Video (das ja überhaupt der Grund war, warum die Ankündigung zu genau diesem Zeitpunkt erfolgte). Wir hatten mit etwas mehr Zeit gerechnet, selbst mit LLMs ...
- redox99
Der Exploit ist schon draußen. Ja, das sieht so aus, als würde es als die schlimmste Schwachstelle aller Zeiten in die Geschichte eingehen. Und jetzt mit LLMs wirst du wahrscheinlich innerhalb von Stunden zehntausende Agenten sehen, die jede PHP-Website da draußen hacken.
- dawnerd
Ich habe es auf einer privaten Seite ausprobiert und konnte die komplette Datenbank dumpen. Sofort alle meine Seiten abgeschaltet. Das ist übel.
- throwaway82931
Ich helfe bei der Verwaltung einiger Websites, die bei WPEngine gehostet werden, und sie abzuschalten ist keine leichte Entscheidung. Nachdem ich sichergestellt hatte, dass unsere Umgebungen überall das Neueste haben (WordPress-Version, PHP-Version, alle Plugins und Themes auf dem neuesten Stand), habe ich kurz den WPEngine-Support kontaktiert.
Die haben das im Griff, wie ich es von jedem großen PHP-Hosting-Anbieter erwarten würde. Nachdem ich gefragt hatte, ob es irgendetwas gibt, was ich zur Vorbereitung auf php2shell tun kann (scheinbar nicht), habe ich nur darum gebeten, als Erster dranzukommen, wenn sie die Patches ausrollen, und sie machen lassen.
Wie gehen andere in ähnlichen Situationen damit um?
- throwaway800BC
Habe einen kurzen Blick auf den relevanten C-Code geworfen, und die Zeilen, die ich für die problematischen halte, wirken auf den ersten Blick ziemlich verdächtig.
Fil-C hätte das doch abfangen müssen, oder? Ich frage mich, ob es dem PHP-Ökosystem als Ganzes helfen würde, wenn die Releases damit gebaut würden.
- vincent_s
Zwei Dinge, die du jetzt tun kannst:
1. Session Upload Progress ausschalten
2. Multipart-Requests am Webserver blockieren
Mehr Infos:
https://www.vincentschmalbach.com/cve-2026-109618-and-cve-20...
- joshuat
Wenn die Gerüchte stimmen, dass diese Exploits auf Twitter geteilt werden, wird das ein Albtraum. Es würde mich nicht wundern, wenn VPS-Hoster eingreifen, um das irgendwie abzumildern, da auf diesen Servern so viele billige/ungewartete LAMP-Installationen laufen.
- Gigachad
Das Demo-Video ging heute auf Twitter herum, und offenbar wird auch der Proof of Concept privat herumgereicht. Das Video zeigt, wie man etwas in die URL einfügt und dann eine Shell auf dem Server bekommt. Es sieht komplett katastrophal aus.
Ich denke, das Beste ist, den Server einfach abzuschalten, bevor der Patch live geht, und ihn dann wieder hochzufahren, nachdem man gepatcht hat.