PHP5/6/7/8: CVE-2026-109618/109619 (Remote Code Execution/RCE) [Update #5]

Vielen Dank für die regelmäßigen Updates und das schnelle Einspielen der Patches. Gibt es schon eine Prognose, wie lange Plesk mit dem Patch noch braucht?

Zitat von weiss

Vielen Dank für die regelmäßigen Updates und das schnelle Einspielen der Patches. Gibt es schon eine Prognose, wie lange Plesk mit dem Patch noch braucht?

Wir rechnen damit, dass wir das morgen im Laufe des Vormittags einspielen. Noch ist leider kein Patch vorhanden.

Ganz lieben Dank für die vielen Updates und laufende Aktualisierung zum Status!

Ich glaube da habt ihr Euch die viele Kritik vom vergangenen Wochenende, wo die Vorab-Infos vergleichsweise spärlich waren, sehr zu Herzen genommen. Ich war jedenfalls sehr beeindruckt wie es diesmal ablief mit Mail, Status-Seite, auch Telegram etc.. Also wer's diesmal nicht mitbekommen hat trotz Kommunikation auf allen möglichen Kanälen, dann weiß ich auch nicht ...

Zitat von m3rl1n

Ich glaube da habt ihr Euch die viele Kritik vom vergangenen Wochenende, wo die Vorab-Infos vergleichsweise spärlich waren, sehr zu Herzen genommen. Ich war jedenfalls sehr beeindruckt wie es diesmal ablief mit Mail, Status-Seite, auch Telegram etc.. Also wer's diesmal nicht mitbekommen hat trotz Kommunikation auf allen möglichen Kanälen, dann weiß ich auch nicht ...

Vielen Dank für das Feedback. Das waren alles Learnings aus dem letzten Incident (der ja noch gar nicht lange her ist :)).

Ich finde es auch top, wie hier informiert wird. Vielen Dank dafür! 👍

Was auf der Statusseite vielleicht noch fehlt, ist der Hinweis, dass nicht nur das WCP nicht erreichbar ist,
sondern bei Managed Servern auch Plesk blockiert bleibt, bis ein entsprechender Patch verfügbar ist.

Jetzt hoffe ich nur, dass [netcup] Alexander W. für Verpflegung und ein gutes Feierabendbier gesorgt hat

Ich bereue gerade, vorhin den PHP-Handler in einem Abo im meinem Resellerpaket deaktiviert zu haben

Wieder alles tot?

Hmm, bei mir hat der Ping an meinen Webhost&Mailserver gänzlich um 00:40 Uhr aufgegeben. Das ist schon was ungünstig wenn erst um 00:15 Uhr die Email kam, die vollständige Funktion wieder angekündigt hat. Timing ey - immerhin jetzt Nachts.

Zitat von Simonmicro

Hmm, bei mir hat der Ping an meinen Webhost&Mailserver gänzlich um 00:40 Uhr aufgegeben. Das ist schon was ungünstig wenn erst um 00:15 Uhr die Email kam, die vollständige Funktion wieder angekündigt hat. Timing ey - immerhin jetzt Nachts.

Es laufen aktuell noch andere Wartungen aufgrund nötiger Hostsystem-Kernelupdates, welche wir am Dienstag per E-Mail angekündigt haben. Es sollte in Kürze wieder alles funktionieren.

Hallo zusammen,
wenn etwas gut war, muss man es auch sagen: Der Ablauf war inkl. Kommunikation diesmal wirklich absolut vorbildlich - das kann man kaum besser machen. Daumen hoch!

Zitat von Hille

Nutzt du https://packages.sury.org/php/ ?

Zitat von CuzImBisonratte

Auf was sind denn deine package mirrors eingestellt?

Oder hattest du die noch offizielleren Ondrej Server als mirror? Wäre natürlich auch interessant...

Die offiziellen Ubuntu-Pakete waren recht schnell. Nur die Server auf denen ich das Ondrej-Repo (https://ppa.launchpadcontent.net/ondrej/php/ubuntu/) nutze haben länger gedauert.
Auf https://launchpad.net/~ondrej war ja auch tatsächlich erst recht spät, so gegen 20:00-21:00 ein grüner Haken bei php8.3 - 8.3.36-1+ubuntu24.04.1+deb.sury.org+1
Da gab es dann in dieser Zeit auch immer wieder Erreichbarkeitsprobleme.
Eben gerade lief es dann aber schnell durch.

Spannend, wie zeitversetzt die Mails kommen. Aber eh klar bei so vielen Kunden. Zuerst habe ich gedacht, je niedriger die Kundennummer desto früher. Aber ganz ging meine Theorie bei der 2. Runde nicht auf:

Vorabinfo:

Kd 13xxx / 19xxxx um 12:41 Uhr
Kd 381xxx um 13:33 Uhr
Kd 388xxx um 13:50 Uhr

Entwarnung:

Kd 13xxx / 19xxxx um 00:14 Uhr
Kd 381xxx um 01:22 Uhr
Kd 388xxx um 00:49 Uhr

Beim 2. Durchgang war also meine höchste Kundennummer 33 Minuten früher dran als die ähnlich hohe zweithöchste, beim 1. Durchgang hatte sie hingegen 17 Minuten Vorsprung.

Super jedenfalls, dass netcup kurzerhand einen externen Dienstleister genutzt hat (Brevo/Sendinblue), um die Mails wirklich an alle Kunden hinauszuschicken.
(Auch wenn das ihnen wohl um die 1.000 € gekostet hat. )

Zitat von [netcup] Lars S.

Es laufen aktuell noch andere Wartungen aufgrund nötiger Hostsystem-Kernelupdates, welche wir am Dienstag per E-Mail angekündigt haben. Es sollte in Kürze wieder alles funktionieren.

Die per Mail angekündigte Dauer ist jetzt um das dreifache überschritten. Muss man annehmen, dass sowas jedes mal passiert? (Dann kann man sich das angeben von Dauern auch eigentlich gleich ganz sparen.)

Oder liegts eventuell doch an etwas anderem?

So, der Mailserver ist wieder am Netz und PHP Update ist durch. Webzugriffe lasse ich aber trotzdem erst mal auf mich beschränkt, wer weiss, ob heute nicht noch eine weitere Aktion notwendig wird. Ist schon traurig, dass einige Leute wohl meinen sich profilieren zu müssen, indem sie CVE-Details zu früh bekanntgeben. Und die verursachen dann bei Millionen von Menschen Mehrarbeit und Downtime.

Die anderen Server starte ich dann heute wieder. Hatte in der Eile versehentlich alle runtergefahren, auch die Resolverchen und Jumpserver, die gar kein PHP installiert haben . Aber gut, wenn die Mail- und Webserver nicht laufen, dann braucht es die auch nicht zwingend.

Zitat von maxgripp

Die per Mail angekündigte Dauer ist jetzt um das dreifache überschritten. Muss man annehmen, dass sowas jedes mal passiert? (Dann kann man sich das angeben von Dauern auch eigentlich gleich ganz sparen.)

Oder liegts eventuell doch an etwas anderem?

Es gab leider bei der Wartung eine Komplikation, die behoben wurde und aktuell werden alle Hostingserver wieder gestartet. Das entspricht nicht dem Regelfall und wir bitten dafür um Entschuldigung.

Und wieder 502 Bad Gateway Fehler

Hallo zusammen,

Plesk hat vor kurzer Zeit eine Aktualisierung veröffentlicht. Dies hat es uns ermöglicht, diese nun auszurollen, den Rollout zu validieren und das Webhosting Control Panel (WCP) für alle Nutzer wieder freizuschalten.

Vielen Dank an das gesamte Netcup-Team!

Die armen Jungs und Mädels von netcup - an Schlaf ist derzeit nicht zu denken…