ubuntuusers.de

Offenbar gibt es bei allen PHP seit 5.0 sehr kritische Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619), die noch hezte geschlossen werden sollen. Siehe auch:

• PHP: Kritische Sicherheitslücken ermöglichen Code-Ausführung aus der Ferne und

• PHP warns it plans to release 2 emergency patches imminently

Ich habe meine Server, die PHP nutzen daher vorerst per Deaktivierung der Firewall-Rules von extern unerreichbar gemacht und warte auf die Patches, die für den heutigen 21. Oktober 2026 um 16:00 Uhr angekündigt sind.

Woher hast du die Info bzgl. den Patch-Releases für Ubuntu?

Spezifisch für Ubuntu habe ich keine Info. Aber es gibt ja auch andere Quellen für ein aktuelleres PHP, als das aus den Quellen von Canonical. z.B. die von Ondřej Surý (leider noch nicht für 26.04).

Nachtrag: ich hoffe aber mal, das Canonical bei derart kritischen Sicherheits-Patches nicht Tage oder gar Wochen benötigt diese in die eigenen Paketquellen einzupflegen.

Vorgestern gab es ja bereits verbesserte PHP-Pakete für Ubuntu:

• https://ubuntu.com/security/notices/USN-8936-1

Die neue Lücke ist aber noch nicht dabei gewesen.

Dort steht was zu der neuen Lücke, und auch, was man dagegen vorläufig machen kann:

• https://www.cms-admins.de/news/php2shell-kritische-php-sicherheitsluecken-cve-2026-109618/

Das da als Sofortmaßnahme:

session.upload_progress.enabled = Off

trollsportverein schrieb:

Das da als Sofortmaßnahme:

session.upload_progress.enabled = Off

BTW: Lt. heise:

Auch die angebliche Schutzmaßnahme, session.upload_progress.enabled = 0, ist nach unserem Kenntnisstand unwirksam.

Quelle: https://www.heise.de/news/Wichtige-PHP-Updates-am-21-Oktober-beheben-Codeeinschleusung-Schwachstellen-11495072.html

NurNochDebianUser schrieb:

Nachtrag: ich hoffe aber mal, das Canonical bei derart kritischen Sicherheits-Patches nicht Tage oder gar Wochen benötigt diese in die eigenen Paketquellen einzupflegen.

Canonical war in der Vergangenheit bei kritischen Sicherheitslücken häufig die ersten, die Patches zur Verfügung gestellt haben - noch vor Debian und Red Hat.

Was sagt ihr? Ist das Anlegen einer .htaccess mit notwendiger Anmeldung am Server bei Besuch einer Webseite analog zum Ausschalten des Servers im Sinne dieses CVE? Es heisst ja "isolieren" ist nötig.

Der offizielle Patch ist verfügbar: Security advisory: Critical remote code execution vulnerabilities, update now

Linux-Distributionen und LTS-Anbieter sollen die Patches bereits im Voraus erhalten haben.

Da isser:

• Ubuntu Security Notices USN-8948-1

Ich habe einen 22.04.5 LTS. Kann das sein, dass dafür das Update nicht veröffentlicht wird? Ich habe ein Release-Upgrade probiert. Da kam es aber zu Fehlern und einem unvollständig installierten Release-Zustand. Da ich das nach mehreren Versuchen nicht hinbekommen habe, melde ich mich dazu später noch einmal.

tt33tt schrieb:

Da kam es aber zu Fehlern und einem unvollständig installierten Release-Zustand.

Wie soll es dann Updates kriegen? Also musst du erstmal dein Prob lösen.

Wer veraltete Versionen immer noch nutzt, kann über Ubuntu Pro Updates beziehen:

• https://ubuntu.com/security/notices/USN-8948-2

Klüger dürfte es aber sein, auf aktuelle Versionen zu wechseln.

In den News:

• LinuxNews.de PHP2Shell: Kritische Sicherheitslücken in PHP geschlossen

Interessant übrigens, dass einige Webseiten, die sicherlich ohnehin unter schwerem Beschuss durch Extremist:innende stehen, sogar mit WordPress weiter liefen. Da waren wohl die Admins hellwach. Behördenwebseiten gingen hingegen vom Netz, so behauptete es zumindest die DPA, wie fragwürdig die DPA bei News auch immer sein mag.

Bitte keine politischen Debatten über die "Hintertür" (Links) aufmachen. Hier geht es ausschließlich um "Serverdienste und Dateifreigaben im Netzwerk".

Danke für den Hinweis mit der Möglichkeit auf kostenpflichtige Updates. Ich werde das in Betracht ziehen, wenn ich das mit dem Release Upgrade nicht hinbekomme. Zu der Frage, warum momentan alles läuft: ich habe einen Snapshot wieder eingespielt. Ich werde gegebenfalls einen neuen Thread eröffnen bei Fragen zu dem Release Upgrade

Zitat von der Ubuntu Pro Webseite:

🇩🇪 Ubuntu Pro ist und bleibt für den privaten Gebrauch auf bis zu 5 physischen Rechnern, bzw. auf bis zu 50 Rechnern für offizielle Mitglieder der Ubuntu-Community kostenlos.

• https://ubuntu.com/pro

Privat lässt sich Ubuntu Pro also auch kostenlos nutzen, wenn es nicht zu viele Rechner sind. Für kommerzielle Nutzung wird es wohl ohnehin nicht ganz verkehrt sein, wenn sich Verantwortung auf Dienstleister abwälzen lässt. Oder aber entsprechend gutes Personal einstellen.