FYI: CVE-Embargo läuft offiziell übermorgen um 17:00h (CEST/UTC+2) ab; PHP-Nutzer sollten aber ab sofort die Augen aufhalten bzgl. Patches.
CVSS v4.0 Score: 9,2 (kritisch)
Update #1: "The PHP security team would like to give advance notice of an upcoming security release. It is scheduled for Wednesday, 21 October 2026 at 14:00 UTC. […] Full details, affected versions, and the fixed versions will be published with the release."
Update #2: Trotz mehreren aufgetauchten POCs* (inkl. "php2shell") wurde obiges Veröffentlichungsdatum bislang nicht vorgezogen; temporäre partielle Abhilfe siehe hier (Zusatz: "Block multipart/form-data requests on routes that do not require uploads as well" [x.com] – vgl. "php2shell-protection" [github.com]); weil erwartungsgemäß nur PHP 8[.2?] oder neuer einen Patch bekommt (zur Erinnerung: PHP 5.x/7.x/8.0/8.1 sind EOL [eosl.date]), ist es wichtig, die eigene Konfiguration/PHP-Verwendung genauer zu prüfen – von "Neo23x0" (Florian Roth) gibt es hierzu einen "process-watcher" für PHP auf GitHub.
Fehlerbereinigte PHP-Versionen (wenn verfügbar) laut Nicolas Krassas [x.com]: 8.5.12, 8.4.27, 8.3.36, 8.2.35
Update #3: Es ist ratsam, die eigenen PHP-basierten Serverdienste spätestens kurz vor Veröffentlichung der neuen PHP-Versionen herunterzufahren (denn ab diesem Zeitpunkt sind die konkreten Schwachstellen jedem Interessierten/AI-Bot uneingeschränkt zugänglich – entsprechende bösartige Akteure agieren schnell) und erst nach lokaler Einspielung/lokalen Tests wieder öffentlich verfügbar zu machen. (Hier ein paar Betreiber größerer Webpräsenzen, welche mit gutem Beispiel vorangehen. [x.com])
Nach Aussage mehrerer Entwickler aus dem "PHP-Kern-Team" sind reine Konfigurationsänderungen (php.ini/user.ini) nicht ausreichend.
Update #4: Das offizielle Security advisory wurde veröffentlicht! Auch Canonical hat einen Backport mit Korrekturen veröffentlicht: php8.5_8.5.9-0ubuntu2.1 (damit sind ab jetzt die konkreten Angriffspunkte analysierbar!) [vgl. Canonical-Blog-Beitrag]
Update #5: Ondřej Surý hat für Debian (Bullseye,Bookworm,Trixie) / Ubuntu (Jammy/22.04,Noble/24.04,Resolute/26.04) inzwischen Updates für die PHP-Versionen 5.6, 7.0–7.4, 8.0–8.6(RC3) bereitgestellt; anhand der mitveröffentlichten Quellen/Patches lassen sich damit indirekt auch eigene Kompilate älterer PHP-Versionen erstellen.
Es gibt erste Berichte, nach welchen bspw. PHP 8.5.12 immer noch mindestens eines Sicherheitslücke aufweist, dies ist aber vermutlich ein "Beifang" der getesteten Exploits – im Umkehrschluss bedeutet dies, dass man zumindest in den nächsten Tagen darauf achten sollte, ob weitere Updates anstehen. Ein guter Zeitpunkt, um die Vorgehensweise/gelernten Lektionen beim aktuellen Update sauber zu dokumentieren, um sie dann schneller erneut durchführen zu können. Und: Die Fußnote unten nicht vergessen!
Hintergrundartikel: "PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet" [wiz.io]
* Damit gilt automatisch: "After patching, check for compromise. An update doesn't remove an existing webshell or invalidate stolen credentials." [x.com]
