php2shell: gefährliche Sicherheitslücken in PHP (21.10.2026)

[linrunner]

Moin, wer von euch einen Webserver mit PHP betreibt, sollte sich mit dem Einspielen der Updates wirklich sputen.

php2shell: Kritische Sicherheitslücken erlauben Codeeinschleusung in PHP

Zwei Fehler machen Webserver mit PHP aus dem Netz angreifbar. Betroffen: Versionen der letzten 20 Jahre, Admins sollten patchen.

www.heise.de

Wichtige PHP-Updates am 21. Oktober beheben Codeeinschleusung-Schwachstellen

Technische Details werden um 16 Uhr folgen, doch die Lage ist ernst: Es droht Codeausführung aus der Ferne. Admins sollten das Risiko abwägen.

www.heise.de

Ich hab eben mal nachgeschaut: für Debian Trixie wurden die Updatepakete bereits am 26.09.2026 ausgespielt.
EDITH sagt: so'n Quatsch. Die kamen erst heute (Paketversionen 8.4.27-1~deb13u1).

 

[deltamikeplus01]

...bin wieder mal sehr "glücklich" mit meinem Hoster w4y in Österreich, das Ticketsystem ist seit gestern down, und das verfügbare php Update geht nur bis 8.5.10, nicht auf das notwendige 8.5.12

 

[Sir Charles82]

Meine Universität (Wien) hat auch sicherheitshalber dreiviertel der Seiten offline genommen....

und wir sind immer noch offline... also überwiegend...

 

[Ravensberger]

Nutzen die Seiten denn PHP? Ist zwar verbreitet, aber nutzt ja nun lange nicht jede Seite.

Teilweise. Die Seiten des kürzlich verschlüsselten Stadtwerke lässt sich diesbezüglich von außen nicht abfragen. Ein weiterer nutzt php.
Bei unserem eigenen regionalen Anbieter weiß ich, dass hier im Zweifel sehr schnell eine Webseite vom Netz genommen wird, dann wird in Ruhe nach bereits infizierten Inhalten geschaut, die betroffenen Systeme ermittelt und dann mit Druck auf die technischen Betreuer gepatcht. Das dauert einen Moment und ist für die Betroffenen nicht angenehm. Dafür wurde unser Regionaler Anbieter (noch) nicht verschlüsselt.

 

[der_bader]

Die Ruhr-Universität Bochum hat externe Zugriffe auf alle RUB-Seiten und RUB-Services zunächst bis heute Mittag gesperrt; intern bzw. per VPN sind alle Dienste erreichbar. Auch die Hochschulcloud NRW (Sciebo) war gestern einige Zeit offline.

 

[elchmartin]

Hetzner hat meine Managed Nextcloud Instanzen gestern Mittag geupdated.

 

[Hanu]

gestern Mittag geupdated

Das die Schwachstelle behebende Update kam aber erst gegen 16 Uhr...

 

[elchmartin]

Das die Schwachstelle behebende Update kam aber erst gegen 16 Uhr...

Spoiler: Meldung

Im genannten Zeitraum werden dringende sicherheitsrelevante Softwareupdates auf allen Storage Share-Instanzen durchgeführt.

Aus diesem Grund werden die Storage Share-Instanzen, für wenige Minuten nicht erreichbar sein.

Wir entschuldigen uns für etwaige Unannehmlichkeiten und bedanken uns für Ihr Verständnis.


Typ:  Wartungsarbeiten

Status:  geplant

Start:  2026-10-21, 16:00 Uhr CEST

Mittag....Nachmittag....... Haarspalterei

 

[Mr. Natural]

Mittag....Nachmittag....... Haarspalterei

Oder Herkunft... Meine Frau kommt aus BaWü und da kann Mittag alles zwischen 11 und 17 Uhr bedeuten... Das macht mich regelmäßig fertig. Fuß und Bein ist noch so'n Thema, aber das tut hier eigentlich beides nichts zur Sache

 

[schmatzler]

Ich warte schon gespannt drauf, dass das Repository von ondrej den Build fertig stellt

Hab gestern auch lange gewartet, er hat dann irgendwann geschrieben, dass er keine native ARM64-Hardware hat und vermutlich zwei Tage braucht um alle Builds zu machen, da kam ich schon ein wenig ins Schwitzen.

Zum Glück lag hier noch ein M2-Macbook Air rum, mit dem ich die Builds selbst machen konnte. Wurde knusprig warm, nach 45min hatte ich meine Pakete dann.

 

[linrunner]

php2shell: Updates trudeln ein, viele Webseiten offline, Angriffe laufen

Viele Linux-Distributionen liefern aktualisierte PHP-Pakete. Webseiten gingen offline. Erfolgreiche Exploits sind bislang nicht belegt.

www.heise.de

 

[Aiphaton]

Das die Schwachstelle behebende Update kam aber erst gegen 16 Uhr...

Kam tatsächlich darauf an. Einige Unternehmen sind wohl aus der Reihe getanzt und haben das Update schon 9 Uhr verteilt (die großen Sicherheitsplayer hatten im Vorfeld Zugriff darauf). Und es ist wohl hier und da auch bei Angreifern schon durchgeleaked gewesen.

Golem

Von daher - gerade wichtigere Seiten - war schon sehr vernünftig, das offline zu nehmen.

Hab gestern auch lange gewartet, er hat dann irgendwann geschrieben

Ich hatte noch ein paar Instanzen auf dem alten Launchpad-Repo, hab dann erstmal umgestellt, weil es da nicht verfügbar war, aber auf dem anderen, wo eh hin migriert werden soll. Naja, hätte eh gemacht werden sollen.

 

[elchmartin]

Hoster All-Inkl schrieb hierzu folgendes:

Spoiler: All-Inkl

Warnung
Kritische Sicherheitslücken in PHP – Sicherheitsupdates eingespielt

Am 21.10.2026 wurden zwei kritische Sicherheitslücken in der Programmiersprache PHP veröffentlicht, die unter bestimmten Umständen einen unberechtigten Zugriff auf Webserver ermöglichen könnten.

Wir haben unmittelbar reagiert und bereits vor Veröffentlichung der Sicherheitsupdates zusätzliche Schutzmaßnahmen auf unseren Servern aktiviert.

Inzwischen haben wir sämtliche bei uns angebotenen PHP-Versionen mit den notwendigen Sicherheitskorrekturen versehen. Dies gilt auch für ältere PHP-Versionen, die vom PHP-Projekt offiziell nicht mehr unterstützt werden.

Zum Schutz unserer Infrastruktur und Ihrer Daten haben wir außerdem vorsorglich einige unserer eigenen Dienste vorübergehend abgeschaltet. Diese werden nach Abschluss der Sicherheitsprüfungen wieder vollständig zur Verfügung gestellt. Die Webseiten unserer Kunden waren von diesen Abschaltungen nicht betroffen.

Nach unserem bisherigen Kenntnisstand liegen uns keine konkreten Hinweise auf eine erfolgreiche Ausnutzung der Sicherheitslücken auf unseren Systemen vor. Eine Ausnutzung vor Installation der Sicherheitsupdates lässt sich jedoch nicht grundsätzlich ausschließen.

Wir empfehlen Ihnen daher, Ihre Webseiten und Anwendungen auf ungewöhnliche Veränderungen zu überprüfen, insbesondere auf unbekannte Dateien, unerwartete Änderungen oder neu angelegte Benutzerkonten.

Unsere Techniker überwachen die Systeme weiterhin und prüfen auffällige Aktivitäten.

Weitere technische Informationen finden Sie in der offiziellen Sicherheitsmeldung des PHP-Projekts.

Also auch recht rasch agiert ;-)