PHP5/6/7/8: CVE-2026-109618/109619 (Remote Code Execution/RCE) [Update #5]

Von mir auch ein Danke an das netcup Team für alle Maßnahmen die schnell ergriffen wurden.

Zitat von aRaphael

Also auf php8.3 für Ubuntu 24.04 habe ich bis eben gerade warten müssen, bis es verfügbar war.

Ich habe sowohl Ubuntu 24.04 und auch Ubuntu 26.04 Server mit dem offiziellen Mirror (Also kein Deutscher Server oder so) und da waren alle genutzten PHP pakete mit der Version 8.3.6-0ubuntu0.24.04.13 um 16:45 Uhr da. Ist mir persönlich zwar unangenehm spät geworden, dass ich um kurz vor 16 Uhr alle Server runtergefahren habe, aber bis jetzt gerade eben hat es nicht gedauert.

Auf was sind denn deine package mirrors eingestellt?

Oder hattest du die noch offizielleren Ondrej Server als mirror? Wäre natürlich auch interessant...

Zitat von aRaphael

Also auf php8.3 für Ubuntu 24.04 habe ich bis eben gerade warten müssen, bis es verfügbar war.
Und auch jetzt bricht das Upgrade immer wieder ab, weil der Updateserver zeitweise nicht erreichbar ist.
Ich mache dann morgen weiter...

(Soll aber keine Beschwerde sein, nur eine Feststellung)

Nutzt du https://packages.sury.org/php/ ?

Zitat von Hille

Kann ich nicht bestätigen. Konnte mehrere Server problemlos patchen.

Die ARM64-Builds dauern bei ihm deutlich länger, da er keine native Hardware hat. Er baut die virtualisiert über QEMU und das dauert sehr lange. Er ist aktiv in diesem Issue auf Codeberg.

Ich werde gleich ins Bett gehen, meine PHP-basierten Projekte bleiben somit über Nacht offline. Die Kunden wird es nicht freuen, die würden sich jedoch noch weniger freuen wenn ihre Websites automatisiert übernommen werden.

Von allen Hostern meiner Meinung nach am besten mit umgegangen und kommuniziert
Ich bin froh, bei euch Kunde zu sein.

Hay,

was für ein Ritt. 100 Webpräsenzen umgestellt und getestet.

Ich sehe vor allem Folgefehler dort, wo die PHP nutzende Software mit der neuen Version nicht zurechtkommt. Habe Kunden, die setzen Typo3 ein und noch Version 8. Die kann man nicht einfach so auf Version 14 heben, da die Updates schrittweise erfolgen sollen und auf dem Webserver nicht älteres mehr als PHP 8.2.35 existiert. D.h. man kann nicht auf 9 und 10 wechseln, bevor man im 8er Versionsbereich von PHP ist. D.h. die Migration müsste man lokal machen und das Ergebnis dann wieder hochspielen.

Kann mir vorstellen, dass der eine oder andere, der seinen selbstgehosteten Shop betreibt vor demselben Problem steht. Gerade vorgestern habe ich den Webserver von einem Bekannten gecheckt, da läuft noch PHP 5.6. Soll er mal machen...

Jetzt ist aber erstmal "Gute Nacht"

CU, Peter

Liegt es an mir oder kommt sonst auch keiner ins WCP?
CCP eingeloggt > Produkte > beim entsprechenden Account auf die Lupe geklickt
>> dauerhafter Ladebildschirm

Dulli bei mir das selbe. Laut Statusseite sind die Patches bei rund 60%.
Einfach abwarten, geht bald wieder.

"Beim Webhosting sind rund 60% der Webseiten bereits gepatcht, abgesichert und wieder online."

Zitat von Dulli

Liegt es an mir oder kommt sonst auch keiner ins WCP?
CCP eingeloggt > Produkte > beim entsprechenden Account auf die Lupe geklickt
>> dauerhafter Ladebildschirm

Siehe RE: PHP5/6/7/8: CVE-2026-109618/109619 (Remote Code Execution/RCE) [Update #5]

Es wird noch dran gearbeitet

Ok verstehe. Weil meine Webseiten sind alle wieder erreichbar. Dann muss noch gewartet werden.

Zitat von aRaphael

Also auf php8.3 für Ubuntu 24.04 habe ich bis eben gerade warten müssen, bis es verfügbar war.
Und auch jetzt bricht das Upgrade immer wieder ab, weil der Updateserver zeitweise nicht erreichbar ist.
Ich mache dann morgen weiter...

Verwendest Du direkt das Repo von Sury oder das alte PPA?

Kontext: Moving Ubuntu from PPA to the packages.sury.org

Der Feed ist noch deaktiviert:
https://www.netcup-status.de/feed/ => 404

Zitat von daq4th

Der Feed ist noch deaktiviert:
https://www.netcup-status.de/feed/ => 404

Das ist seit einigen Stunden offenbar eine statische HTML-Seite, Direktlinks auf einen Eintrag funktionieren deshalb vorübergehend auch nicht.

So eine Schwachstelle zeigt zum Teil auch, warum es nicht nur Vorteile hat, wenn man alles auf Container (k8s, docker, ...) umgestellt hat. Bis solche Patches den Weg in die Container Images gefunden haben, dauert dann zum Teil doch etwas länger. Zum großen Teil ist man hier auch auf andere Images angewiesen, bis diese ein Update ausrollen. Nicht immer kann man sämtliche Images selbst bauen. Da bei mir auch mittlerweile alles containerisiert ist, war das heute gar nicht so einfach.

Zitat von daq4th

Der Feed ist noch deaktiviert:
https://www.netcup-status.de/feed/ => 404

Status Page ist seit ein paar Stunden eine statische Website, damit die uns nicht weggehackt wird zwischenzeitlich

Netcup zeigt diesen Sonntag und heute vorallem eines: man war jeweils vorbereitet.

Das ist viel wert!

Dankeschön!

Zitat von CmdrXay

Gerade vorgestern habe ich den Webserver von einem Bekannten gecheckt, da läuft noch PHP 5.6. Soll er mal machen...

Nur mal als Tipp: Ich bekomme prinzipiell auch noch packages bis 5.6 runter (5.6 ist gerade fertig geworden, aktuell fehlen noch 7.0, 7.1, 7.2 und 7.3), siehe:
https://www.liveconfig.com/de/blog/2026/10/php-sicherheitsl%C3%BCcke/

Bei mir waren von 16:00 bis 18:45 port 80 und 443 geblockt, da real noch 8.3, 8.4 und 8.5 (alle auf demselben Server) im Einsatz sind. Aktuell bekommt auch mein Grommunio (opensuse 16 leap) ein PHP-Update.

Seid ihr bereit für den nächsten?

Zitat von [netcup] Alexander W.

Status Page ist seit ein paar Stunden eine statische Website, damit die uns nicht weggehackt wird zwischenzeitlich

Gibt es nochmal ein Update wann der Rest der Webhosting Server zurück kommt? Letztes Update auf netcup-status ist fast eine Stunde her und das in der Mail genannte Zeitfenster bereits deutlich überschritten... Das geht besser von der Kommunikation....

Wichtiger Hinweis, weil wir dazu gerade einige Anrufe bekommen:

Wenn euer Managed Server oder euer Webhosting-Paket wieder online ist, läuft es mit einer gepatchten und abgesicherten PHP-Version. Auch wenn die euch angezeigte PHP-Version unverändert aussieht, handelt es sich in jedem Fall um eine von uns gepatchte Version. Auf unseren Managed Servern und Webhosting-Paketen ist keine ungepatchte PHP-Version (CVE-2026-109618 und CVE-2026-109619) online.