PHP-Sicherheitslücken

[LittleWing]

Hallo zusammen,

aufgrund der aktuellen PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 hat sich der Betreiber dazu entschlossen, den Webserver temporär vom Netz zu nehmen, da es schon funktionierende Exploits, aber noch keine Updates gibt. Entsprechende Updates von PHP sollen theoretisch heute gegen 16 Uhr veröffentlicht werden, diese werden dann auch zeitnah eingespielt und danach wird die Plattform wieder verfügbar sein.

Danke für euer Verständnis!

Viele Grüße
LittleWing

 

[LittleWing]

Hallo zusammen,

auch wenn es leider etwas länger gedauert hat, sind die Updates nun eingespielt und der Betrieb geht wie gewohnt weiter.

Danke für eure Geduld!

Viele Grüße
LittleWing

 

[Barungar]

Und vielleicht noch als Tipp an alle anderen, die beiden PHP-Lücken, wegen denen das Forum vom Netz genommen worden war, betreffen alle Systeme mit PHP. Also auch Euer Home-NAS, falls Ihr dessen Web-Ports ins Internet freigegeben hat, dann seid Ihr auch bedroht. Und bis es einen Patch für die meistens angepassten PHPs für die NAS gibt, solltet ihr ggf. auch Eure NAS vom Internet trennen.

Systeme, die in Eurem LAN sein könnten, und die zur Zeit auch vermutlich, verwundbare PHP-Versionen haben können unter anderem:

• Synology NAS
• QNAP NAS
• pfSense Firewalls
• OPNsense Firewalls
• usw.

Prüft also, dass Ihr bis zum Patchen keine "gefährdeten Ports" freigebt.

 

[blurrrr]

Mittlerweile sind ja auch mal ein paar Infos mehr geflossen... https://www.php.net/archive/2026.php#2026-10-21-5. Ich habe da aber so meine Zweifel, ob auch alle Hersteller da "zeitnah" reagieren. Die Distributionen (Debian, Ubuntu, Alma, Rocky, Suse, etc.) werden sicherlich flott dabei sein (bzw. haben ja schon längst). Angeschmiert ist, wer noch älteren Kram laufen hat (z.B. CentOS7), da gibt es kein Update mehr (war aber auch zu erwarten, da schon längst EOL) und dann bleibt da noch das mittlere Segment, eben jene welche, die ggf. noch ihre eigenen Repos pflegen (Synology, QNAP vermutlich auch, etc.).

Zumindestens bei Synology sehe ich davon jedenfalls nichts (ich hab mal extra eine "dickere" Kiste bzgl. der Release-Notes ausgesucht)... https://www.synology.com/de-de/releaseNote/DSM?model=FS6400. Da sieht man schon mal nix bzgl. Update und in der Advisory-Liste ist diesbezüglich nix zu finden, aber bevor hier ein falscher Eindruck entsteht: Vielleicht nutzen die ja auch gar kein PHP... (ich behaupte einfach mal das Gegenteil! ). Falls wer Lust hat, einmal kurz via SSH auf eine aktuelle Syno schalten und php -v ausführen, damit wird dann die genutzte PHP-Version angezeigt.

 

[Barungar]

Eine aktuelle Shodan-Suche ergibt zur Zeit ca. 200.000 deutsche Server mit verwundbaren PHP im Internet.
Dabei sind auch Systeme die sich selbst als "Synology DiskStation Manager (DSM)" identifizieren.

Aber auch ca. 3.500 self-hosted verwundbare NextCloud-Instanzen.

Ich kann daher "jedem Home-User" zur Zeit nur empfehlen, schaltet Internet-Freigaben ab. Das Risiko, dass da ein ungepatchtes PHP seine Finger im Spiel hat ist groß, sehr groß...

 

[framp]

OK. Synos mit Webservern mit PHP sollten nicht aus dem Netz zugreifbar sein.

Ich nutze Photos und Drive über Quickconnect. Ich denke und hoffe da ist kein PHP im Spiel

 

[blurrrr]

Die meisten Applikationen laufen mit PHP (nicht alle, aber sehr viele) und ich habe auf einer Syno noch nie einen Tomcat o.ä. gesehen, PHP dürfte auch nach wie vor noch installiert sein - kannst Du mit via SSH mittels php -v prüfen und wenn es unterhalb von PHP "8.2" ist, ist es schon mal richtig blöd, weil es dann keine Updates gibt. Sprich PHP 8.2 ist "Minimum". Siehe auch auf der php.net-Website im verlinkten Artikel, wo es heisst:

PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 fix two critical vulnerabilities that can allow unauthenticated remote code execution. All PHP users are strongly encouraged to update immediately.

Alles darunter... tja... hat halt "Pech gehabt".

Ich sag mal so: Bei meinem Datengrab (nicht öffentlich erreichbar und hinter 2 Firewalls versteckt)... eine DS218j... Firmware noch auf 7.1 weil es nix neues für so arme Leute wie mich gibt... naja... da ist halt auch PHP an Board. Installiert habe ich es nicht und es läuft auch nichts in Richtung Webstation o.ä. (und war auch nie installiert). Die installierte PHP-Version auf der Büchse? Will man garnicht drüber reden... (7.3.3... EOL war da übrigens schon im Dezember 2021). Wenn man sich einen Überblick über die PHP-Versionen verschaffen möchte, kann man auch mal einen Blick auf die Wikipedia-Seite zur Versionsgeschichte von PHP werfen.

Also Fakt ist: Alles unter PHP 8.2 geht mittlerweile garnicht mehr, wobei 8.2 als nächstes aus dem Support fliegen wird (wie man unter php.net - supported versions auch gut sehen kann).

Wer ggf. noch Dinge mit alten Versionen laufen hat, wäre also gut damit beraten, die Dinge mal auf den neusten Stand zu bringen. Allerdings kann (nicht muss!) sowas auch eine gewisse Upgrade-Orgie mit sich bringen (nicht vom aktuellen Stand direkt auf das neuste Release, sondern immer schön Schritt für Schritt - je nachdem, wie die PHP-Anforderungen so aussehen). Also vielleicht nicht "mal eben kurz" (was ja bekanntlich oftmals in die Hose geht), sondern lieber etwas mehr Zeit dafür einplanen

EDIT: Auf der php.net-Website steht btw auch noch:

PHP 8.1 and older no longer receive updates from the PHP project. Some distributions and LTS vendors provide backported fixes, so contact your vendor for details, or upgrade to a supported version.

Plesk (Webhosting-Panel) hat das z.B. noch gemacht: plesk.com - Vulnerability CVE-2026-109618 and CVE-2026-109619: Remote code execution in PHP shipped with Plesk. Kann natürlich sein, dass andere da auch noch entsprechend Patches liefern (z.B. die NAS-Hersteller, etc.).

Das BSI hat übrigens auch noch einen Artikel dazu verfasst: bsi.bund.de - PHP: BSI warnt vor kritischen Schwachstellen – Sicherheitsupdate noch heute notwendig