PHP2Shell - Critical PHP RCE Flaws (CVSS 9.2) [SOLVED]

[Ralph]

...

Whatever the affected range turns out to be, PHP issues fixes only for its four supported branches, and records each branch's changes in its changelog. Versions 8.2 and 8.3 receive only security fixes, and 8.4 and 8.5 are in active support.

Die PHP Interpreter wurden ja bereits am 07 October 2026 aktualisiert, da sollen heute aber noch Updates kommen (Be ready to upgrade at 14:00 UTC.)
Also die Interpreter packages (compiled PHP packages) bräuchten dann wohl auch zeitnah ein Update ...
https://www.php.net/archive/2026.php#2026-10-20-1

Bisher wurde die PHP 7er Reihe in dem Zusammenhang (noch) nicht erwähnt, es wäre allerdings vieleicht gerade jetzt eine Überlegung wert ... die PHP 7 Unterstützung komplett zu entfernen.
Sieht auf den ersten Blick beängstigend aus ... und auf den zweiten auch noch

The leak carried the flaws' existence, a score, a date, and two CVE identifiers, not how the flaws work. The CVSS 10.0 figure is the leak's. PHP's rating is 9.2 on version 4.0 of the scale.

Details:
https://thehackernews.com/2026/10/php2s ... l-php.html

CERT-EU
https://cert.europa.eu/publications/sec ... /2026-018/

und da steht: These vulnerabilities could affect all PHP versions from PHP 5 onwards [2]
das ist echt übel jetzt ...

[Ralph]

Also auf die schnelle, wird das bei mir heute eh nichts ... könnte nur im Notfall alles runterfahren.
Es gibt auch noch zu viele PHP 7.x Nutzer (darunter auch Behörden, Schulen & Feuerwehren etc.).

Wie ist es bei den disabled_functions mit exec,shell_exec, shell (incl. proc, popen) auf OFF, wäre das ein temp. Schutz?

Code: Select all

Allgemeine PHP-Härtung zur Risikominderung
; Verhindert das Einbinden von Code über externe URLs
allow_url_include = Off

; Deaktiviert riskante Funktionen, die ein Webshell nutzen würde, um Systembefehle auszuführen
disable_functions = exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec

; Verschleiert die installierte PHP-Version vor automatisierten Scannern
expose_php = Off

https://share.google/aimode/3jOqkS3rwMoxJPb8z

[mhagge]

Sind aber alles, wenn ich das richtig sehe, bei Keyhelp-Domains Standardeinstellungen. Da muss man nur bei denen schauen, wo das manuell mal entfernt wurde

[Alexander]

Angeblich soll mit dem ini Wert "session.upload_progress.enabled = Off" es zumindest etwas abgeschwächt werden können.

[Ralph]

Ja, momentan gibt es keine große Auswahl ... PHP absichern, aktualisieren sobald wie möglich und beten eventl. noch
Das Teil hier könnte noch für lange Zeit sehr viel Freude bereiten ... verdammt!

In der PHP 7er Reihe könnte es sogar dauerhaft und ausnahmslos gesetzt werden bis es (schnell) durch PHP 8 abgelöst wurde

Code: Select all

session.upload_progress.enabled = Off

usw.
vermutlich kommt heute noch einiges an Detaills ...

[Tobi]

Ralph wir erleben hier erst den Anfang.
Den ganz kleinen Anfang…

[Ralph]

Ralph wir erleben hier erst den Anfang.
Den ganz kleinen Anfang…

Na ja ... wäre sogar noch die beste Situation, falls diese Lücken bereits länger genutzt wurden, dann ist auch mit den PHP Updates nicht mehr viel zu verbessern, also wenn bereits Systeme manipuliert wurden.

[Ralph]

Was ist denn nur los hier ... Apokalypse?
Gestern Roundcube heute PHP Inferno ... ca-certificates, rspamd, pdns-server und der Tag ist noch nicht vorbei ...
Jedenfalls kommt schon einiges durcheinander ... erst war die Rede von release on October 21, 2026 dann musste WHMCS vorhin noch deren Senf hinzugeben - security updates on October 22, 2026 ... also heute oder morgen, dann ... quasi

Die Sury Sourcen bieten seit vorhin bereits Updates an, auch für die älteren PHP Versionen ... (Achtung - Sury ist nicht Keyhelp kompatibel, keinesfalls verwenden).