[Eisfair] Alarm: Schwere Lücke in php

[Martin Faderbauer]

Am 21.10.2026 um 14:28 schrieb Marcus Röckrath:
> Hallo,
> 
> es gibt eine Akutmeldung zu einer schweren Lücke in php:
> 
> https://arstechnica.com/security/2026/10/php-maintainers-tell-web-devs-to-prepare-themselves-for-critical-security-patches/
> 
> https://www.heise.de/news/Wichtige-PHP-Updates-am-21-Oktober-beheben-Codeeinschleusung-Schwachstellen-11495072.html
> 
> Um 16 Uhr (MESZ) wird es von den php-Machern ein Emergency-Update geben, was
> dann natürlich von den einzelnen Distris - so auch eisfair - erstmal
> kompiliert und bereitgestellt werden muss, was ja nicht gleichzeitig
> geschehen kann.
> 
> Ich kann noch nicht sagen, wann wir das Update bereitstellen können.
> 
> Es wird allerdings erwartet, dass eine angriffswelle spätestens mit
> Erscheinen des Patches losgetreten werden wird, da durch Freigabe des
> Patches auch der letzte Hacker weiß, wo genau die Lücke liegt und wie sie
> ausgenutzt werden kann.
> 
> Heise schreibt u. a.:
> 
> "Funktionierende Exploits dürften in Stunden-, spätestens Tagesfrist
> erscheinen. Wer das Risiko einer Kompromittierung nicht eingehen will, hat
> nur noch eine Option: PHP-betriebene Webserver vom Netz zu trennen."
> 
> Die php-Macher formulieren es so:
> 
> "Researchers from another security firm, Sansec, said they “expect mass
> attacks to start within 15 minutes of the release.” A third security firm,
> Webfence, also urged admins to prepare now. Huntress has also issued an
> advisory."
> 
> Wer seinen Webserver mit aktivem php öffentlich verfügbar betreibt, sollte
> ernsthaft überlegen, den erstmal abzuschalten, bis das Update verfügbar ist.
> Ein nur im lokalen Netz laufenden Webserver sollte nicht betroffen sein,
> sofern hier nicht auch nicht hundertprozentig vertrauenswürdige Personen
> Zugriff haben oder man ausgesprochene Hacker in der Familie hat - ihr wisst,
> was ich meine.
> 
> Ein kleiner privater öffentlicher Webserver steht nicht unbedingt im Fokus
> von irgendwelchen Hackern, aber jeder sollte darüber informiert sein, was da
> gerade im Busch ist und seine eigenen Schlüsse ziehen.
> 
Danke für das Update.