[Eisfair_dev] Alarm: Schwere Lücke in php

[Marcus Röckrath]

Hallo,

es gibt eine Akutmeldung zu einer schweren Lücke in php:

https://arstechnica.com/security/2026/10/php-maintainers-tell-web-devs-to-prepare-themselves-for-critical-security-patches/

https://www.heise.de/news/Wichtige-PHP-Updates-am-21-Oktober-beheben-Codeeinschleusung-Schwachstellen-11495072.html

Um 16 Uhr (MESZ) wird es von den php-Machern ein Emergency-Update geben, was 
dann natürlich von den einzelnen Distris - so auch eisfair - erstmal 
kompiliert und bereitgestellt werden muss, was ja nicht gleichzeitig 
geschehen kann.

Ich kann noch nicht sagen, wann wir das Update bereitstellen können.

Es wird allerdings erwartet, dass eine angriffswelle spätestens mit 
Erscheinen des Patches losgetreten werden wird, da durch Freigabe des 
Patches auch der letzte Hacker weiß, wo genau die Lücke liegt und wie sie 
ausgenutzt werden kann.

Heise schreibt u. a.:

"Funktionierende Exploits dürften in Stunden-, spätestens Tagesfrist 
erscheinen. Wer das Risiko einer Kompromittierung nicht eingehen will, hat 
nur noch eine Option: PHP-betriebene Webserver vom Netz zu trennen."

Die php-Macher formulieren es so:

"Researchers from another security firm, Sansec, said they “expect mass 
attacks to start within 15 minutes of the release.” A third security firm, 
Webfence, also urged admins to prepare now. Huntress has also issued an 
advisory."

Wer seinen Webserver mit aktivem php öffentlich verfügbar betreibt, sollte 
ernsthaft überlegen, den erstmal abzuschalten, bis das Update verfügbar ist. 
Ein nur im lokalen Netz laufenden Webserver sollte nicht betroffen sein, 
sofern hier nicht auch nicht hundertprozentig vertrauenswürdige Personen 
Zugriff haben oder man ausgesprochene Hacker in der Familie hat - ihr wisst, 
was ich meine.

Ein kleiner privater öffentlicher Webserver steht nicht unbedingt im Fokus 
von irgendwelchen Hackern, aber jeder sollte darüber informiert sein, was da 
gerade im Busch ist und seine eigenen Schlüsse ziehen.

-- 
Gruß Marcus
[eisfair-Team]