https://palm.dev/tags/static-site/Recent content in Static Site on palm.devHugode-DEmail@palm.dev (Alexander Palm)mail@palm.dev (Alexander Palm)Wed, 21 Oct 2026 17:42:52 +0200https://palm.dev/blog/php-critical-update-hugo-vorteil/Wed, 21 Oct 2026 15:00:00 +0200mail@palm.dev (Alexander Palm)https://palm.dev/blog/php-critical-update-hugo-vorteil/<p>Heute Nachmittag, 16 Uhr: Das PHP-Projekt veröffentlicht Updates gegen zwei kritische Schwachstellen. CERT-EU warnt, ein Proof-of-Concept kursiert schon, und die übliche Uhr läuft: Stunden bis Tage, dann gibt&rsquo;s die ersten Exploits in freier Wildbahn.</p> <p>Normalerweise wäre das für mich ein Fall wie bei <a href="https://palm.dev/blog/wp2shell-wordpress-update-timing/">wp2shell</a> – sofort patchen, Logs checken, nervös auf die Uhr schauen. Diesmal nicht. Und genau das ist der Punkt.</p> <hr> <h2 id="was-an-den-php-lücken-sache-ist">Was an den PHP-Lücken Sache ist</h2> <ul> <li>Zwei <strong>Code-Einschleusungs-Schwachstellen</strong>, die Remote Code Execution ermöglichen</li> <li>Betroffen ist laut Berichten praktisch jede PHP-Version seit PHP 5 – die Fehler stecken tief im Code</li> <li>Unbestätigten Berichten zufolge zielt ein kursierender Proof-of-Concept auf LiteSpeeds <code>lsphp8</code>-Server-API</li> <li>Der naheliegende Workaround (<code>session.upload_progress.enabled = 0</code>) <strong>reduziert die Angriffsfläche höchstens, schützt aber nicht vollständig</strong> – patchen bleibt Pflicht</li> <li>CERT-EU und andere Stellen raten zu zügigem Patchen, teils sogar dazu, PHP-Server notfalls kurz offline zu nehmen, bis der Patch sitzt</li> </ul> <p>Das ist kein Nischenproblem. PHP treibt nach wie vor einen riesigen Teil des Webs an – WordPress, Shopsysteme, selbstgebastelte Legacy-Anwendungen, halb das Internet eben.</p>