php2shell: gefährliche Sicherheitslücken in PHP (21.10.2026)

[linrunner]

Moin, wer von euch einen Webserver mit PHP betreibt, sollte sich mit dem Einspielen der Updates wirklich sputen.

php2shell: Kritische Sicherheitslücken erlauben Codeeinschleusung in PHP

Zwei Fehler machen Webserver mit PHP aus dem Netz angreifbar. Betroffen: Versionen der letzten 20 Jahre, Admins sollten patchen.

www.heise.de

Wichtige PHP-Updates am 21. Oktober beheben Codeeinschleusung-Schwachstellen

Technische Details werden um 16 Uhr folgen, doch die Lage ist ernst: Es droht Codeausführung aus der Ferne. Admins sollten das Risiko abwägen.

www.heise.de

Ich hab eben mal nachgeschaut: für Debian Trixie wurden die Updatepakete bereits am 26.09.2026 ausgespielt.
EDITH sagt: so'n Quatsch. Die kamen erst heute (Paketversionen 8.4.27-1~deb13u1).

 

[deltamikeplus01]

...bin wieder mal sehr "glücklich" mit meinem Hoster w4y in Österreich, das Ticketsystem ist seit gestern down, und das verfügbare php Update geht nur bis 8.5.10, nicht auf das notwendige 8.5.12

 

[Sir Charles82]

Meine Universität (Wien) hat auch sicherheitshalber dreiviertel der Seiten offline genommen....

und wir sind immer noch offline... also überwiegend...

 

[Ravensberger]

Nutzen die Seiten denn PHP? Ist zwar verbreitet, aber nutzt ja nun lange nicht jede Seite.

Teilweise. Die Seiten des kürzlich verschlüsselten Stadtwerke lässt sich diesbezüglich von außen nicht abfragen. Ein weiterer nutzt php.
Bei unserem eigenen regionalen Anbieter weiß ich, dass hier im Zweifel sehr schnell eine Webseite vom Netz genommen wird, dann wird in Ruhe nach bereits infizierten Inhalten geschaut, die betroffenen Systeme ermittelt und dann mit Druck auf die technischen Betreuer gepatcht. Das dauert einen Moment und ist für die Betroffenen nicht angenehm. Dafür wurde unser Regionaler Anbieter (noch) nicht verschlüsselt.

 

[der_bader]

Die Ruhr-Universität Bochum hat externe Zugriffe auf alle RUB-Seiten und RUB-Services zunächst bis heute Mittag gesperrt; intern bzw. per VPN sind alle Dienste erreichbar. Auch die Hochschulcloud NRW (Sciebo) war gestern einige Zeit offline.

 

[elchmartin]

Hetzner hat meine Managed Nextcloud Instanzen gestern Mittag geupdated.