Wichtig: Kritische PHP-Sicherheitslücken

[Alexander]

Hallo,

hier eine kleine Zusammenfassung dessen, was uns heute bevorsteht:

Das PHP-Sicherheitsteam hat für heute, Mittwoch, 21. Oktober, 16:00 Uhr (MESZ) ein Update für zwei kritische Sicherheitslücken angekündigt. Da das Update vorab angekündigt wurde und beide Lücken als äußerst kritisch eingestuft sind, ist die Lage durchaus ernst.

https://www.php.net/
https://www.heise.de/news/Wichtige-PHP- ... 95072.html
https://www.golem.de/news/noch-kein-pat ... .html#cmts


Überblick:
Es gibt aktuell zwei kritische Sicherheitslücken, die Remote Code Execution (Ausführung von Code aus der Ferne) erlauben.
Betroffen sind alle PHP-Versionen von 5.x bis 8.5.
Ob ältere PHP-Versionen (< 8.2) überhaupt Updates bekommen, ist aktuell nicht bekannt. Es sollte damit gerechnet werden, dass diese, wenn überhaupt, erst verzögert zur Verfügung stehen.


Standard-PHP-Version des Betriebssystems:
Es ist davon auszugehen, dass die Standard-PHP-Version des Betriebssystems zeitnah auch von den Betriebssystem-Herstellern aktualisiert wird.

Diese Updates werden mit den KeyHelp-Standardeinstellungen alle zwei Tage zwischen 3 und 4 Uhr eingespielt. Bei einer Veröffentlichung im Laufe des heutigen Tages werden sie also im schlimmsten Fall erst am Freitag eingespielt.
Um die Aktualisierungen sofort einzuspielen, geht ihr zu „Wartungsintervalle → Server-Dienste aktualisieren“ oder führt den Befehl „keyhelp run package-update“ aus.


Zusätzliche PHP-Interpreter:
Die über KeyHelp installierbaren zusätzlichen PHP-Interpreter erhalten so schnell, wie es mir möglich ist, ein Update. Wenn PHP das Release um 16 Uhr veröffentlicht und die Download-Server dem Ansturm der ganzen Welt standhalten, ist gegen 18 Uhr mit der Veröffentlichung zu rechnen.

Diese Updates werden mit den KeyHelp-Standardeinstellungen in den frühen Morgenstunden (05:00–07:00 Uhr) eingespielt, bei einer Veröffentlichung im Laufe des heutigen Tages also erst morgen früh.
Um die Aktualisierungen sofort einzuspielen, geht ihr zu „Wartungsintervalle → PHP-Interpreter aktualisieren“ oder führt den Befehl „keyhelp run php-update“ aus.


Korrigierte PHP-Versionen:
Die folgenden Versionen enthalten den Patch. Sobald diese Versionen bei euch laufen, seid ihr sicher.
- 8.5.12
- 8.4.27
- 8.3.36
- 8.2.35
Wenn ältere PHP-Versionen betrieben werden, ist der Server über diese nach wie vor angreifbar!


EOL-Betriebssysteme:
Betriebssysteme, die ihr End-of-Life erreicht haben, erhalten keine Updates mehr, auch keine PHP-Updates.
Ältere Betriebssysteme (Debian 11 und älter, Ubuntu 20 und älter) müssen zwingend auf eine neuere Version aktualisiert werden, um weitere PHP-Updates zu erhalten. (Anleitung: https://www.keyweb.de/de/keyhelp/suppor ... m-upgrades)

[reitbrud]

Danke für eure immer tolle Arbeit.
Eine Frage noch.

PHP gibt auch versionen für 8.1 und 8.0 und 7.4 frei. Wegen der Schwere der Lücke.

Werden diese dann auch im Update von keyhelp integriert?

Das wäre echt toll. dauert noch ein paar Wochen bis ich mein Mega Projekt auf php 8.5 hab.

[Alexander]

PHP gibt auch versionen für 8.1 und 8.0 und 7.4 frei. Wegen der Schwere der Lücke.

Werden diese dann auch im Update von keyhelp integriert?

Wenn das PHP-Team neue Aktualisierungen für die alten PHP-Versionen heraus bringt (aktuell sind sie noch nicht veröffentlicht), werden diese selbstverständlich auch zeitnah aktualisiert.

[l_fish]

PHP gibt auch versionen für 8.1 und 8.0 und 7.4 frei. Wegen der Schwere der Lücke.

Werden diese dann auch im Update von keyhelp integriert?

Wenn das PHP-Team neue Aktualisierungen für die alten PHP-Versionen heraus bringt (aktuell sind sie noch nicht veröffentlicht), werden diese selbstverständlich auch zeitnah aktualisiert.

Es scheint schon was zu geben, laut https://www.php.net/archive/2026.php#2026-10-21-5 :
"Given the severity of these vulnerabilities, the PHP security team provided minimal source-backports for PHP 7.4, PHP 8.0, and PHP 8.1 to help people building from source or without access to an LTS vendor." (die PHP Versionsnummern verlinken dort dann auf entsprechende Branches bei github, z.B. https://github.com/php/php-src/tree/PHP ... 618-109619)

Grüße,
Lars

[reitbrud]

Hallo Alexander, Hallo Team.
ich hoffe, ich störe euch nicht bei eurem Mammuttag heute! Vielen Dank für die gewohnt schnelle Rückmeldung und eure tolle Arbeit.
Ich hätte noch eine kurze Verständnisfrage bezüglich der alten EOL-Versionen (7.4, 8.0, 8.1): Da das PHP-Sicherheitsteam für diese Versionen ja kein offizielles neues Versions-Release (also keine neue Versionsnummer) mehr veröffentlichen wird, sondern den PHP2Shell-Fix ausschließlich als Git-Backport (Source-Commit) bereitstellt – besteht die Möglichkeit, dass dieser Code-Commit trotzdem in die zusätzlichen KeyHelp-Interpreter einfließen wird?
Das wäre für viele von uns, die noch Altprojekte migrieren müssen, eine riesige Erleichterung.
Viele Grüße und danke für deinen unermüdlichen Einsatz!

[Alexander]

Hallo Alexander, Hallo Team.
ich hoffe, ich störe euch nicht bei eurem Mammuttag heute! Vielen Dank für die gewohnt schnelle Rückmeldung und eure tolle Arbeit.
Ich hätte noch eine kurze Verständnisfrage bezüglich der alten EOL-Versionen (7.4, 8.0, 8.1): Da das PHP-Sicherheitsteam für diese Versionen ja kein offizielles neues Versions-Release (also keine neue Versionsnummer) mehr veröffentlichen wird, sondern den PHP2Shell-Fix ausschließlich als Git-Backport (Source-Commit) bereitstellt – besteht die Möglichkeit, dass dieser Code-Commit trotzdem in die zusätzlichen KeyHelp-Interpreter einfließen wird?
Das wäre für viele von uns, die noch Altprojekte migrieren müssen, eine riesige Erleichterung.
Viele Grüße und danke für deinen unermüdlichen Einsatz!

Hallo,

Ich würde mir das morgen im Detail nochmal anschauen, wie es mit dem Patch für ältere Versionen aussieht, und mich dann nochmal melden.

[Mutschas]

Hallo zusammen,

erstmal, vielen Dank an Alex & Co. für die Arbeit!

Auf Sury gibt es Patches für Versionen ab 5.6.
Besteht die Möglichkeit, dass damit die Interpreter gepatcht werden können?

Danke.

[encendedor]

Hallo, vielleicht bin ich zu ungeduldig Sorry.

Im Betriebssystem wurde das Update bereits ausgespielt und ich habe soeben auf php 8.4.27 upgedatet. "keyhelp run package-update" bleibt auf 8.4.26. Gibt's dazu was Neues?

[24unix]

Hallo, vielleicht bin ich zu ungeduldig Sorry.

Im Betriebssystem wurde das Update bereits ausgespielt und ich habe soeben auf php 8.4.27 upgedatet. "keyhelp run package-update" bleibt auf 8.4.26. Gibt's dazu was Neues?

Einiges

viewtopic.php?t=14644

[Alexander]

@reitbrud

Die Versionen 7.4, 8.0 und 8.1 kommen in den nächsten Stunden.

[reitbrud]

Vielen Dank
Ich weiß ja warum wir Keyhelp nutzen.
Weil es selten wo anders so engagierte Leute gibt wie Ihr es seid!
Und das Produkt einfach der Hammer ist.

[encendedor]

Vielen Dank
Ich weiß ja warum wir Keyhelp nutzen.
Weil es selten wo anders so engagierte Leute gibt wie Ihr es seid!
Und das Produkt einfach der Hammer ist.

Besser als alle anderen! Großartig. Danke euch!