Kritische PHP-Lücken ermöglichen Serverübernahme ohne Login; PHP veröffentlicht am 21. Oktober Notfall-Patches — alle PHP-Seiten müssen sofort aktualisieren

PHP hat am 21. Oktober offiziell die Notfallversionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht und damit zwei kritische Schwachstellen (CVE-2026-109618 und CVE-2026-109619, von Forschern PHP2Shell genannt) geschlossen, die es Angreifern ermöglichen, mit einer manipulierten Anfrage beliebigen Code auf dem Server auszuführen — ganz ohne Login. Schätzungsweise 70 % aller Websites laufen auf PHP, darunter WordPress, Drupal und Magento; OpenAI zufolge hat die Sicherheitsfirma Calif die Lücken mit GPT-5.6 Sol im Rahmen ihrer Initiative Patch the Planet entdeckt. Das ist wichtig, weil das Problem in der PHP-Engine selbst steckt und keine Schutzmaßnahme auf Site-Ebene hilft — die offizielle Linie: Ein Upgrade ist die einzige vollständige Lösung.

• 宝玉 (Baoyu)2026-10-21 15:50
• OpenAI2026-10-21 14:04
• IT之家2026-10-21 08:00
• LinuxDo2026-10-21 03:00
• IT之家2026-10-21 13:23