Golem
www.golem.de

Nach einem Leak warnt die PHP Group vor zwei kritischen PHP-Lücken, die zahlreiche Webplattformen gefährden. Ein Patch erscheint in Kürze.

Der geplante Veröffentlichungszeitpunkt für die Korrekturen ist der 21. Oktober um 16 Uhr deutscher Zeit.

Angreifer können bei anfälligen PHP-Installationen potenziell Schadcode auf den jeweiligen Webserver schleusen. Hinweise auf eine aktive Ausnutzung von CVE-2026-109618 und CVE-2026-109619 gibt es zwar bisher nicht […]. Die Sansec-Forscher gehen sogar von einer massenhaften Ausnutzung innerhalb von nur 15 Minuten aus.

PHP Group Sicherheitsmeldung: https://www.php.net/archive/2026.php#2026-10-20-1

Infos zu möglichen Gegenmassnahmen vor den Patches: https://www.vincentschmalbach.com/cve-2026-109618-and-cve-2026-109619-what-you-should-do-now/

  • lichtmetzger@discuss.tchncs.de
    3·
    9 days ago

    Ich hab erstmal PHP auf all meinen Servern abgestellt. Besser ein paar Stunden Downtime als sich danach um Einbrüche kümmern zu müssen.

    Netcup hat auch angekündigt erstmal all ihre PHP-basierten Dienste vom Netz zu nehmen:

    Wir werden in den nächsten Minuten das Forum, Customer Control Panel, Plesk, CloudDNS API und Webmail vorsorglich abschalten, bis wir einen Patch haben. Das SCP bleibt online. Zudem werden wir ab der Veröffentlichung des Patches alle Webhosting Pakete (inkl. Managed Server) offline nehmen, bis wir alles durchgepatched haben. Den Zugriff auf Plesk werden wir sofort abschalten. Wir schätzen ungefähr 3-5 Stunden an Downtime für die Webhostings.