Ganz interessant, laut diesem Post soll es noch keinen vollständigen Exploit für FPM geben
https://www.kernel-error.de/2026/10/21/php2shell-php-freebsd-ports-gepatcht/
PHP5/6/7/8: CVE-2026-109618/109619 (Remote Code Execution/RCE) [Update #5]
-
m_ueberall -
20. Oktober 2026 um 21:30 -
Unerledigt
-
-
Bis solche Patches den Weg in die Container Images gefunden haben
Ich habe mich auch schon gefragt, was mit den neuen Apps im SCP ist. Da sind ja sicher auch einige betroffen und müssen aktualisiert werden (Wordpress beispielsweise).
-
Gibt es nochmal ein Update wann der Rest der Webhosting Server zurück kommt? Letztes Update auf netcup-status ist fast eine Stunde her und das in der Mail genannte Zeitfenster bereits deutlich überschritten... Das geht besser von der Kommunikation....
Aktuelles Update kam soeben.
-
Was ist denn mit den Reseller-Servern? Ich lese nur von Webhosting, Managed,...
-
Was ist denn mit den Reseller-Servern? Ich lese nur von Webhosting, Managed,...
Ist im Webhosting integriert und läuft noch.
-
Bei Ondrej, der sonst immer recht schnell ist, dauerts diesmal länger. Und die Server sind ziemlich überlastet.
Also meine x86-Systeme Debian waren um kurz vor 16:00 Uhr mit den Paketen von sury.org gepatcht, sogar inklusive PHP 5.6.
Debian 12 war etwas zäh
Ja, bei mir kam da auch ewig nichts für PHP 8.2. Hab dann zu sury.org-Paketen gewechselt.
Mühsam war aber alles, was mit Docker zu tun hatte. Da haben die offiziellen Base Images gefühlt "ewig" gebraucht, da gab es erst so ca. um 18:40 Uhr etwas. Bis dann die ganzen davon abhängigen Projekte aktualisiert waren, wars dann bei mir für Nextcloud AIO und Mailcow fast 20:00 Uhr.
-
Mühsam war aber alles, was mit Docker zu tun hatte.
Eine unbeliebte Meinung aber ich sag ja immer, Containerisierung hat nicht nur Vorteile.
-
Bei mir kommen aktuell keine E-Mails mit dem Token zur Anmeldung im CCP an?
-
Trixie (Debian 13) war super, quasi sofort da, da basieren auch die Container drauf.
Debian 12 war etwas zäh, da lagen eine Weile nur armhf builds rum
Ubuntu hat teilweise Backports auf den alten LTS Systemen, aber auch ziemlich zügig da.
Remi mit Remi Repos für EPEL war auch schnell, bis php7.4 runter sogar.Redhat/Alma/Rocky eigene Builds bewegt sich nix, oder hat jemand was anderes gesehen?
Ich bin schon immer ein ganz großer Debian Fan. Ein paar Jahre lang lag Ubuntu/Debian bei solchen Patches immer gleichauf, mittlerweile ist Debian aber viel schneller und zuverlässiger.
Was mich aber bei dem PHP-Gedöns bei Debian gerade echt irritiert, ist, dass unstable immer noch nicht gepatched wurde.
-
Bei mir kommen aktuell keine E-Mails mit dem Token zur Anmeldung im CCP an?
Sollte eigentlich klappen.
-
Sollte eigentlich klappen.
Geht hier gerade auch nicht. Vorhin hatte ich noch eine Mail bekommen (um 20:32 Uhr).
-
Geht hier gerade auch nicht. Vorhin hatte ich noch eine Mail bekommen.
Wir checken gerade.
Update: Mailqueue gerade recht voll, arbeiten dran.
Update 2: Mailqueue wieder frei, Tokens sollten wieder kommen.
-
Update: Mailqueue gerade recht voll, arbeiten dran.
Hier ist die Mail gerade angekommen. Danke!
-
OK, die Token kommen wieder, jetzt noch warten auf Plesk ...
-
Hallo,
danke für den Einsatz.
Wann kann man in etwa mit den Plesk Panels rechnen? -
Ich bin schon immer ein ganz großer Debian Fan. Ein paar Jahre lang lag Ubuntu/Debian bei solchen Patches immer gleichauf, mittlerweile ist Debian aber viel schneller und zuverlässiger.
Das kann man so pauschal nicht sagen. Es stimmt schon, dass manche Paket Updates in letzter Zeit etwas später kamen als bei Debian. Was Stabilität von Ubuntu angeht, kann ich nichts schlechtes berichten. Gab in den letzten Jahren keine Probleme.
-
Wann kann man in etwa mit den Plesk Panels rechnen?
Siehe Statusseite:
ZitatUpdate 22:51 CEST: [...] Das Update des Webhosting Control Panels (WCP) ist fertig und wird nach einer letzten Verifizierung in Kürze online geschaltet.
Wird also gleich wieder funktionieren.
-
Wow, Respekt und Danke an euch. Was für ein Wochenende, gefolgt von so einem Tag. Ich sitze hier auch schon am Patchen und sehe, wie viel Arbeit das im Kleinen ist...
-
Redhat/Alma/Rocky eigene Builds bewegt sich nix, oder hat jemand was anderes gesehen?
Alma hat ein eigenes Paket gebaut (ohne auf RHEL Upstream zu warten) und verteilt es in einem testing.
https://almalinux.org/blog/2026-10-21-php2shell-cve-2026-109618-cve-2026-109619/
-
Hallo zusammen,
kurzes Update zum heutigen Tag: Alle Webhosting-Pakete (inklusive Reseller) und alle Managed Server sind gepatcht, abgesichert und wieder online. Danke euch für die Geduld, das war ein langer Tag für alle.
Was noch fehlt, ist das Webhosting Control Panel (WCP). Dafür warten wir noch auf einen Patch von Plesk, der bisher nicht vorliegt. Deshalb lassen wir das WCP vorsorglich offline. Eure Webseiten und E-Mails laufen davon unabhängig ganz normal, nur die Verwaltung über das WCP geht gerade nicht. Wir stehen mit Plesk in Kontakt und spielen den Patch ein, nachdem er bereitgestellt wurde. Danach schalten wir das WCP wieder frei.
Den aktuellen Stand dazu findet ihr laufend auf https://www.netcup-status.de
Falls ihr Root Server, VPS oder Managed Cloud Cluster habt und dort PHP einsetzt: Bitte spielt das offizielle Update ein, falls noch nicht passiert. Die Details zur Lücke sind seit heute Nachmittag öffentlich.
Liebe Grüße
Alex
