PHP5/6/7/8: CVE-2026-109618/109619 (Remote Code Execution/RCE) [Update #5]

Ich verweise hier auch explizit an https://zerodayclock.com/#when-exploita…relative-to-cve

Wir haben inzwischen 10minuten zwischen Patch und aktivem Exploit. https://anil.recoil.org/notes/rumour-is-the-exploit

Zitat

After some back and forth with the bug reporter about possible fixes, I quietly opened cohttp#1145 publicly to get more eyes⁠ on it. This normally takes a few days and a release within a week or two is reasonable. Within about ten minutes (!) this website was fielding probes for percent-encoded traversal sequences, indicating that automated watchers are keeping an eye on public repositories.

Mal eine realistische Timeline:
Das Source-Update ist für 16:00 MESZ angekündigt, die Builds werden pro Distribution und Architektur rund 30-35 Minuten dauern und dann sukzessive bereitgestellt.

Bei 10 min wird das nicht reichen. Ich bin derzeit am überlegen, den Apachen für die Zeit ab 16:00 Uhr in die Pause zu schicken bis Update installiert.
Gibt vermutlich einen Aufschrei, ich habe aber schon seit 11:25 sehr aufmerksame User, die mich darauf hinweisen.

Für PHP < 8.2 wird aber voraussichtlich noch nicht mit sehr kurzfristigen Updates zu rechnen sein, möglicherweise gibt es aber einen Workaround für zumindest einen von zwei Angriffspfaden.

Ich hab jetzt PHP auf den Produktivsystemen heruntergefahren und zeige lieber noch 2 Stunden eine Wartungsmeldung an als irgendwas zu riskieren.

Zitat von aRaphael

Kann ich mir leider nicht leisten.

Zitat von Ente-Unser

Aber von wegen Leisten: Ich frage mich ja schon ob es nicht den Fall gibt wo man einfach abschaltet weil alles andere ein Würfelspiel ist ob man erwischt wird vor dem Patchen.

Naja, so extrem kristisch sind meine Systeme dann auch nicht. Ein paar Stunden Downtime oder bis morgen ist auch bei mir kein Weltuntergang. Ist halt die Frage wie lange das dauert.
Aber ihr habt wahrscheinlich recht, Ich werde nun auch erstmal alles mit php temporär abschalten.

Re abschalten: habe gerade erfahren es gibt mindestens eine größere Uni die erwägt port 80/443 außerhalb des internen Netzes erst mal ab zu schalten bis die patches durch sind.

Ich habe meine Server vor 10 Minuten erst einmal heruntergefahren. Dann schaue ich mir das Drama erst mal in aller Ruhe genauer an.

Server herunterfahren ist zwar für den Moment theoretisch sicher aber nicht unbedingt sinnvoll.

Es ist besser die Server vom Netz zu isolieren via Firewall oder den Webserver und PHP abzuschalten(Images in Docker oder Podman müssen auch erst neu gebaut werden, also die lieber auch abdrehen).

Ein abgeschalteter Server kann keine Patches installieren und ist nach dem Boot wieder verwundbar bis der Patch drauf ist.

Zitat von Ente-Unser

Re abschalten: habe gerade erfahren es gibt mindestens eine größere Uni die erwägt port 80/443 außerhalb des internen Netzes erst mal ab zu schalten bis die patches durch sind.

Dachte das ist eher üblich. KIT ist schon einige Zeit Offline bis zum Patch: https://scc.fail/

Zitat von Galak

Server herunterfahren ist zwar für den Moment theoretisch sicher aber nicht unbedingt sinnvoll.

Es ist besser die Server vom Netz zu isolieren via Firewall oder den Webserver und PHP abzuschalten(Images in Docker oder Podman müssen auch erst neu gebaut werden, also die lieber auch abdrehen).

Ein abgeschalteter Server kann keine Patches installieren und ist nach dem Boot wieder verwundbar bis der Patch drauf ist.

Aber nicht, wenn ich mir vor dem Start die netcup Firewall entsprechend einrichte, so dass eben nur noch ich an Port 80 und 443 eingehend rankomme. Meine Server sind alle nicht so furchtbar wichtig, dass sie nicht mal ein paar Tage abgeschaltet sein dürfen. Warum soll ich mir also irgendwelchen Stress machen?

Für den Moment ist einkaufen wesentlich lebenswichtiger als die Server wieder ans Netz zu bekommen . Eventuell noch bei netcup die PHP-Sites vom Netz nehmen. Danach sehen wir weiter - nachdem ich die genauen Details gesehen und soweit möglich verstanden habe. netcup Firewall kann ich ja schon mal vorbereiten. Ebenso bei Strota und I0N0S.

Zitat von Ente-Unser

Re abschalten: habe gerade erfahren es gibt mindestens eine größere Uni die erwägt port 80/443 außerhalb des internen Netzes erst mal ab zu schalten bis die patches durch sind.

Von meinem Kollegen hab ich erfahren dass die Uni Darmstadt ihre Services nur noch über VPN laufen hat. Bin mal gespannt was für Wellen das noch schlagen wird, vor allem wenn man an einigen Stellen wieder ewig auf Patches warten kann.

Zusätzlich dazu gibt es eine Sicherheitsmeldung vom BSI: https://www.bsi.bund.de/SharedDocs/Cyb…icationFile&v=3

Hallo zusammen,

wichtige Ankündigung:
Wir werden in den nächsten Minuten das Forum, Customer Control Panel, Plesk, CloudDNS API und Webmail vorsorglich abschalten, bis wir einen Patch haben. Das SCP bleibt online.

Zudem werden wir ab der Veröffentlichung des Patches alle Webhosting Pakete (inkl. Managed Server) offline nehmen, bis wir alles durchgepatched haben. Den Zugriff auf Plesk werden wir sofort abschalten. Wir schätzen ungefähr 3-5 Stunden an Downtime für die Webhostings.

Sorry für die Unannehmlichkeiten, aber der CVE ist laut unseren Informationen, die uns offiziell und inoffiziell vorliegen, viel zu kritisch und wir gehen auf Nummer sicher. Wir arbeiten schnellstmöglich am Patching der Systeme und bringen alle wieder schnellstmöglich online.

Wir werden euch alle auf der Status Seite (https://www.netcup-status.de) auf dem Laufenden halten.

Liebe Grüße
Alex

Noin! Aber ja... Verständlich!

Bis die Tage Leute!

Zitat von tab

Aber nicht, wenn ich mir vor dem Start die netcup Firewall entsprechend einrichte, so dass eben nur noch ich an Port 80 und 443 eingehend rankomme. Meine Server sind alle nicht so furchtbar wichtig, dass sie nicht mal ein paar Tage abgeschaltet sein dürfen. Warum soll ich mir also irgendwelchen Stress machen?

Ja, wie gesagt ist die Firewall auch eine gute Option. Mir war es primär wichtig, dass hier nicht "herunterfahren" als sichere Lösung so stehen bleibt.

Es gibt sicherlich viele unerfahrenere Serverbetreiber die hier mitlesen und nach Lösungen schauen. Für diese sollten wir schon ein bisschen darauf achten, dass sie die Hinweise hier auch halbwegs nutzen können ohne ihre Server zu gefährden. Die Lücke ist einfach zu gravierend um da Risiken einzugehen.

Kann ich eine Firewalleinstellung auf alle meine Server anwenden?

Ich möchte ein Drop all, allow mail & SSH quasi

Zitat von SilSte

Kann ich eine Firewalleinstellung auf alle meine Server anwenden?

Ich möchte ein Drop all, allow mail & SSH quasi

Erstelle eine Policy mit den Regeln (allow zuerst und am Ende drop all) und füge diese Policy bei jeden Server ganz oben als erste Policy hinzu bzw. nach den Policys, die ICMP, DNS und NTP erlauben.

Alle Angaben ohne Gewähr. Ich habe das nur schnell aus der Hüfte geschossen ohne es zu testen oder noch weiter drüber nachzudenken, da gleich das Forum weg ist.

Bye, bis nach dem Patch.

Ich habe (zum ersten mal) all meine 5 Server im RZ nun für ein paar Stunden down bis ich das Update einspielen kann.

Habe vor dem herunterfahren bei allen 5 Server nochmals Update gemacht was sonst noch so neues dabei war. Nach dem wieder hochfahren in ein paar Stunden dann PHP Update.

Habe jetzt auch alles runtergefahren. Die Firewallregel davor und wieder wegemachen ist vermutlich anstrengender

Zitat von SilSte

Kann ich eine Firewalleinstellung auf alle meine Server anwenden?

Ich möchte ein Drop all, allow mail & SSH quasi

Für meinen mailserver hab ich fix das gebaut und erfolgreich getestet.

HTTP(S) und SSH laufen über extra Regeln

Ansonsten hab ich alle Public Services von mir dicht gemacht und nagel gleich alles HTTP(S) zu.

Und dann wird irgendwann gepached, sobald es patches gibt

image.png

Zitat von Borgqueen

all meine 5 Server im RZ nun für ein paar Stunden down

Ich rate nur php ab zu schalten (oder die container oder dienste..). Ansonsten fährt der ja wieder hoch und ist sofort angreifbar während du noch nach updates suchst.