Post by @scotty86@mastodon.social

Kuketz-Blog 🛡
@kuketzblog @social.tchncs.de
Public de

Zwei kritische PHP-Lücken (CVE-2026-109618/109619, CVSS 9,2) ermöglichen unter bestimmten Bedingungen die Ausführung von Schadcode auf Webservern.

Dringend patchen! Für PHP 8.4 ist Version 8.4.27 erforderlich. Unter Debian 13 sind die Updates bereits verfügbar:

apt update && apt upgrade

Anschließend PHP-FPM neu starten:

systemctl restart php8.4-fpm

Auch andere Distributionen sollten jetzt aktualisiert werden!

php.net/archive/2026.php

#PHP #ITSecurity

Replying to @kuketzblog@social.tchncs.de
scotty86 🇺🇦🕊️
@scotty86 @mastodon.social
Unlisted de

@kuketzblog Nicht nur bestimmte Bedingungen. Default settings reichen.
Patchs scheinen auch nur bedingt zu helfen. 8.5.12 schreint weiter angreifbar. 🙈

Replying to @scotty86@mastodon.social
Alvar Freude
@alvar @freude.social
Unlisted de

@scotty86 Wenn letzteres stimmt wäre das mal wieder typisch PHP: Bugs nicht fixen und gleichzeitig neue Bugs einbauen, weil Tests fehlen. Ich dachte eigentlich, die wären darüber hinweg …
@kuketzblog

Replying to @alvar@freude.social
scotty86 🇺🇦🕊️
@scotty86 @mastodon.social
Unlisted de

@alvar @kuketzblog Ich konnte den UAF mit 8.5.12 und 8.4.27 leicht verschoben reproduzieren. Aber nur unter der Prämisse unserialize mit kontrolliertem Input aufrufen zu können.
"Meine" Anwendungen scheinen damit sicher, aber bei frameworks wie Nextcloud, Wordpress und Co wäre ich vorsichtig.

Replying to @scotty86@mastodon.social
Igel31🦔🐾
@t28c302 @mastodon.social
Unlisted de

@scotty86 @alvar @kuketzblog Ich bin jetzt irgendwie total verunsichert. Ich hab auf 8.4.27 aktualisiert aber meinen Heimrechner mit nextcloud komplett vom Netz genommen. Was bedeutet "unserialize mit kontrollierten Input aufrufen"? Ich kann das Risikolevel nicht einschätzen. Danke für eine Einschätzung 👍

Replying to @t28c302@mastodon.social
scotty86 🇺🇦🕊️
@scotty86 @mastodon.social
Unlisted de

@t28c302 @alvar @kuketzblog Außer die übliche Phrasen "aktiv in Nutzung" sind mir zu dieser Schwachstelle keine echten Hacks bisher bekannt.
Es gibt immernoch eine Lücke. Aber sie auszunutzen geht nur unter speziellen Bedingungen. Wordpress in Verbindung mit Plugins ist daher definitiv noch in Gefahr.
Ich weiß nicht, wie Nextcloud intern arbeitet. Wenn es Userm indirekt oder direkt Zugriff auf besagte Methode gibt, kann auch hier noch Gefahr herrschen.
Auf meinem Honeypot ist allerdings Ruhe.

Replying to @scotty86@mastodon.social
scotty86 🇺🇦🕊️
@scotty86 @mastodon.social
Public de

@t28c302 @alvar @kuketzblog Der Verge Artikel ist objektiv und untermauert meine persönliche Meinung, dass diese Schwachstelle wieder von KI-Firmen extra gehypt wurde.

Viel Software bietet solche Ansatzpunkte, aber sie werden erst in Verbindung mit anderen Schwächen wirklich relevant. Die Kommunikation ist wieder durch FUD in den Medien entglitten.

Die eigentliche Gefahr ist, dass Menschen Systeme betreiben, die sie weder beherrschen noch verstehen.

theverge.com/tech/1015906/php2