Hallo,
können wir damit rechnen, zeitnah entsprechende PHP-Updates über die LiveConfig Repositories zu bekommen?
CVE-2026-109618 und CVE-2026-109619
-
-
Wir wurden auch gerade danach gefragt.
CERT-EU warnt vor zwei kritischen PHP-Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619):
-
Wir stehen bereits seit kurz nach Mitternacht in den Startlöchern. Das Source-Update ist für 16:00 MESZ angekündigt, die Builds werden pro Distribution und Architektur rund 30-35 Minuten dauern und dann sukzessive bereitgestellt.
Für PHP < 8.2 wird aber voraussichtlich noch nicht mit sehr kurzfristigen Updates zu rechnen sein (wir haben hierfür die Security-Backports von Remi Collet im Auge), möglicherweise gibt es aber einen Workaround für zumindest einen von zwei Angriffspfaden (Details folgen in Kürze, wir recherchieren noch und bereiten einen separaten Beitrag dazu vor).
Viele Grüße
-Klaus Keppler
-
One security firm, Sansec, expected "mass attacks to start within 15 minutes of the release".[2]
Wir setzen im shared Hosting die Ausführung von PHP temporär aus.
-
Die ersten Exploits sind leider bereits im Umlauf.
Einige Webhoster nehmen sensible Server und Shared-Hosting-Umgebungen derzeit in den "Wartungsmodus". In Anbetracht des Impacts vielleicht keine so schlechte Idee.
Aktuelle Warnung des BSI: https://www.bsi.bund.de/Shared…2026/2026-297981-1032.pdf
-
Mehr Infos:
https://github.com/php/php-src…ories/GHSA-w8hw-w9fx-j79w
https://github.com/php/php-src…ories/GHSA-6wmf-4rv5-p3rp
Dann warten wir mal auf PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35Bislang nicht genannte Mitigation:
fatal_error_backtraces=0 für PHP 8.5
memory_limit=-1 (ok, das könnte hier und da weh tun) -
https://www.liveconfig.com/de/…hp-sicherheitsl%C3%BCcke/
Wir haben beschlossen, einige PHP-basierte Dienste vorübergehend abzuschalten, darunter auch dieses Forum.
-
Debian hat die Updates grade bereitgestellt
-
Das LiveConfig-Forum läuft wieder.
Die Infos unter https://www.liveconfig.com/de/…hp-sicherheitsl%C3%BCcke/ werden weiterhin laufend aktualisiert. -
Danke an dieser Stelle für die heutige Arbeit! Alle Updates wurden erfolgreich installiert.
-
Wir haben leider noch lange nicht Feierabend, gleich startet die Build-Pipeline für PHP 5.6.x...
-
Danke Herr Keppler für Ihre Mühen!
-
ich schließe mich dem Dank an, super Service !!!
-
Danke für die Arbeit!!!!
-
Auch von meiner Seite vielen, vielen Dank!!
-
Auch von mir hier ein dickes Danke!
Ich weiß den Aufwand sehr zu schätzen.
Viele Grüße
Sebastian Tänzer
-
Eine herzliche Danksagung auch aus Erfurt.
Für allle eine ruhige Zeit nach der Aufregung.
Beste Grüße - Mario Pohle
-
Vielen Dank!
Und ich drücke allen hier die Daumen, dass alle Webseiten "sauber" geblieben sind. -
Danke Herr Keppler. Heute sind Sie und Ihr Team echt der Wahnsinn. Wenn wir auch sonst viel meckern, wenn etwas nicht vorangeht, aber heute sind Sie vorbildlich!!!!!!!!!!
Wir haben unsere Server heute auch temporär offline genommen, aktuell sind noch alle Websites, die PHP< 7.4 nutzen vom PHP abgeklemmt. -
Vielen, vielen Dank!
Jetzt mitmachen!
Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!