PHP Sicherheitswarnung

[Federwolke]

Am 20. Oktober 2026 sind Details zu zwei kritischen Sicherheitslücken in PHP („PHP2Shell“) vorzeitig öffentlich geworden. Sie erlauben Angreifern, auf verwundbaren Webservern ohne Anmeldung beliebigen Code auszuführen, und werden bereits aktiv ausgenutzt.

Als Vorsichtsmassnahme bleibt diese Seite offline, bis der Server aktualisiert und geprüft ist.

Lücken: CVE-2026-109618, CVE-2026-109619
Schweregrad: Kritisch, CVSS v4.0 9.2
Betroffen: Webserver mit PHP, unabhängig von der Anwendung

Diese Meldung erscheint, wenn man z.B. diese Seite aufruft: https://profiwetter.ch

Mehr zum Thema: https://www.derbund.ch/php-sicherheitsl ... 6955700705

Kann also gut sein, dass es nur noch eine Frage der Zeit ist, bis meine Seiten, möglicherweise auch das Sturmforum und das Sturmarchiv nicht mehr erreichbar sind. Nur zur Info, damit sich niemand wundert...

[helios]

In debian ist es schon gefixt.

Code: Alles auswählen

apt update && apt upgrade

zum updaten ...

https://security-tracker.debian.org/tra ... 026-109618
https://security-tracker.debian.org/tra ... 026-109619

[Federwolke]

In debian ist es schon gefixt.

Ja, bei Netzone, wo meine Seiten und das Sturmarchiv (Sturmforum bin ich nicht sicher, ob auch immer noch) gehostet sind, ging das auch ganz fix. In solchen Fällen trennt sich die Spreu vom Weizen. Wenn meine Seiten jetzt immer noch nicht erreichbar wären, würde ich auf den nächsten Termin kündigen.

[Willi]

Nach Angaben von Meteotest wurde auch der Server von Meteoradar sehr schnell gefixt.

Allerdings tut momentan der Button "Bodendaten an/aus" bei metradar.ch auf meinem Iphone nicht. Auf dem PC geht's problemlos. Mich würde interessieren, ob der Bug auch bei anderen Handys auftritt. (gilt nur für eingeloggte User.)

Ich vermute, dass der Upgrade von PHP diesen Bug produziert. PHP ist leider nicht aufwärtskompatibel. Ich bin gespannt auf Rückmeldungen.