Follow #php2shell from Mastodon or any other Fediverse app and its public posts arrive in your timeline. No vutuv account needed.
@php2shell@tags.vutuv.de
53 posts
Colin Percival, FreeBSD maintainer and author of Tarsnap, reflecting on what it was like responsibly disclosing a side-channel attack on RSA private keys back in 2005.
This essay feels very much of this moment, with php2shell and Patrick Stewart in recent memory.
So gelingt das Patchen der #PHP-Schwachstellen 👇️
🔎 Bekannte Hersteller überprüfen regelmäßig, ob ihre Produkte von PHP2Shell betroffen sein könnten und geben Updates. Es empfiehlt sich, Herstellerwebsites auf neue Informationen zu checken.
📄 Wie ihr prüft, ob eure Systeme von PHP-Schwachstellen betroffen sind, und anschließende Vorgehensweisen erklären wir in unserer Anleitung. Ausführliche Informationen findet ihr auf unserer Website: bsi.bund.de/dok/…
Ja gut, inzwischen lernen mehr Leute, was in Security Appliances so drin ist #php2shell golem.de/news/…
PHP Sicherheitslücken sorgen dafür, dass ein Teil des Internets offline war letzte Woche
Ich war heute Morgen beim @RadioCORAX@social.anoxinon.de im Gespräch zu den PHP Sicherheitslücken. Auch wenn ich am Ende vielleicht ein wenig weit ausgeholt hab, ist es doch glaube ein ganz guter Einblick gewesen, was denn da nun letzte Woche los war.
Das Interview zum Nachhören findet ihr hier:
radiocorax.de/php-sicherheitsluecken-so…
Mit freundlicher Erwähnung des @c3d2@c3d2.social und der @saxnit@dresden.network
Wegen der PHP2Shell-Lücken ging das SELFHTML-Wiki vom Netz, denn es lief noch mit MediaWiki 1.27 und PHP 7.0. Nach vier Tagen ist es zurück, mit MediaWiki 1.46, PHP 8.4 und auf einem neuen Server. Hatte schon etwas böse Ironie in sich: Ein Urgesteine der deutschsprachigen Web-Community muss vom Netz, weil der Unterbau aufgrund von Zeit- und Ressourcenmangel nicht mehr gepflegt werden kann.
Neues zum PHP-Sicherheitsproblem
Aller guten Dinge sind drei. In PHP wurde eine dritte Sicherheitslücke (CVE-2026-115560) gefunden. Die wird aber kein Notfall-Update nach sich ziehen. Erstens ist sie schwierig ausnutzbar, und zweitens kann man sich mit der Konfigurationseinstellung “session.upload_progress.enabled=0” vor Angriffen schützen. Apropos schwierig ausnutzbar: Die beiden anderen Sicherheitslücken, die zusammengefasst als PHP2Shell bezeichnet werden, haben sich ebenfalls als schwierig ausnutzbar erwiesen. Zwar wurden schnell reichlich Angriffs-VERSUCHE beobachtet, aber bisher ist kein einziger Fall eines erfolgreichen Angriffs bekannt.
“Zwei Monate lang hatte Dusch bis zu 90 Stunden in der Woche daran gearbeitet, die Öffentlichkeit vor dieser Schwachstelle zu schützen. Und dann stellte sie einfach jemand ins Internet. Doch aufregen konnte er sich nicht mehr. »Ich war zu müde, um wütend zu sein«, sagt der Entwickler. “
Die Zeit mit ein paar Background zum Disclosure Prozess hinter #php2shell (jetzt mal den reißerischen Teil ausgeklammert) zeit.de/digital/… [€]
Unraid 7.3.4 schließt zahlreiche Sicherheitslücken
linuxnews.de/unraid-7-3-4-schliesst-zah… #unraid #php2shell #linux #linuxnews
Seit diesem #php2shell Ereignis kommt man mit updaten kaum hinterher. Ich habe gerade bei diversen Geräten im Heimnetz schon wieder updates eingespielt, nachdem ich das gestern und teilweise vorgestern erst gemacht habe.
Ganz schön viele…
Ich fand es ja witzig, als es in den Nachrichten hieß, die meisten Seiten seien nach dem Patch wieder online.
Tja, die meisten Seiten, die noch zu patchen sind, waren nie offline 🤷
Wie ich sagte, es wird noch etwas dauern, bis das gepatcht wird #php2shell golem.de/news/…
Das wird noch „lustig“. 🤮
Lesenswerter Text: Die #php2shell-Lücke wurde von allen Beteiligten als gravierender eingeschätzt, als sie wohl tatsächlich ist, weil alle sich vom angenommenen Intellekt der LLMs haben überwältigen lassen. Niemand hat mehr selbst nachvollzogen, was es für einen erfolgreichen Angriff braucht (was mir doch schwer fällt zu glauben bei der PHP Foundation, aber nehmen wir das mal als Hypothese).
via
mhoye but seasonally spooky
@mhoye@cosocial.ca
"Hilariously, this results in the LLM giving their younger-brother an unplugged controller."
PHP Warns of Another Unpatched RCE Two Days After Emergency PHP2Shell Patches
PHP warns CVE-2026-115560 may enable code execution in unusual session setups and advises disabling session upload progress pending a routine fix.
Oh, the story continues…
“Es kann keine sichere digitale Welt geben, die auf einem schiefen sozialen Gefüge aufbaut.”
Wenn ihr auch nur einen Satz aus meinem Kommentar für @netzpolitik_feed@chaos.social zu #php2shell mitnehmen wollt, dann den.
Habe gestern zu #php2shell gesprochen, u.a. in der Stuttgarter Zeitung Paywall, aber Details dann gleich stuttgarter-zeitung.de/politik/… (Paywall)
Total geil, wie jetzt die ganzen Betrüger auffliegen. Hoster nehmen endlich mal 8 Jahre alte Joomla-, Wordpress- und Typo3-Seiten offline. Kunden rufen ihre Webseitenbauer an. “Ja, ne, ist zu alt, updaten zu aufwendig, müssen wir neu machen, Angebot kommt. Nächstes Mal Wartungsvertrag buchen”. “Wir haben einen Wartungsvertrag bei Euch.” “tut-tut-tut”.
Teilweise wurden da 20-50 Euro im Monat für berechnet für Leistungen, die nie erbracht wurden.
“Wir hatten 2024 nicht genügend Ressourcen um Dinge zu patchen”
thephp.foundation/blog/…
Es tut alles so weh, anzusehen, wie Geld an der einen Ecke in absurden Mengen vorhanden ist und woanders schmerzlich vermisst wird. 😞
