Aktualisierung der PHP-Versionen 8.2 bis 8.5

TuxCare hat seine Pakete nun auf Grundlage der vom PHP-Projekt veröffentlichten Versionen aktualisiert, zusätzlich zu den bereits eingespielten rückportierten Korrekturen. Auf unseren Hosting-Plattformen sind folgende Versionen installiert:

• `alt-php82`: `8.2.35-1`
• `alt-php83`: `8.3.36-1`
• `alt-php84`: `8.4.27-1`
• `alt-php85`: `8.5.12-1`

Die betreffenden Sicherheitskorrekturen waren bereits in den vorherigen Paketen enthalten. Dieses Update gleicht die Versionsnummern an die des PHP-Projekts an. Der bereits bestehende Schutz vor den am 20. Oktober angekündigten Sicherheitslücken ändert sich dadurch nicht.

Zusätzliche Empfehlung des PHP-Projekts

In seinem Hinweis vom 23. Oktober zur Fortschrittsverfolgung von Uploads empfiehlt das PHP-Projekt, `session.upload_progress.enabled` bis zur nächsten Fehlerkorrekturversion zu deaktivieren.

Diese Empfehlung ist bereits auf allen unseren Webhosting-Plattformen umgesetzt, mit `session.upload_progress.enabled = 0`. Wir behalten diese vorbeugende Maßnahme bis zur angekündigten Korrektur bei.

Sie müssen weder in Plesk noch auf Ihren Websites Änderungen vornehmen. Die Wartung bleibt abgeschlossen.

Heute Morgen haben uns mehrere Fragen zur in Plesk angezeigten PHP-Versionsnummer erreicht. Hier einige Erläuterungen zu den bereits eingespielten Korrekturen.

Die Korrekturen für die am 20. Oktober angekündigten Sicherheitslücken wurden bereits auf alle auf unseren Hosting-Plattformen angebotenen PHP-Versionen mit dem Zusatz „Secured“ angewendet. In Plesk sind keine Änderungen erforderlich.

TuxCare ELS spielt diese Korrekturen durch Rückportierung ein: Der betroffene Code wird korrigiert, ohne dass sich die angezeigte PHP-Versionsnummer zwingend ändert. Die Korrekturen werden anhand der Paketrevision und des Sicherheitsänderungsprotokolls nachverfolgt. Eine ältere Versionsnummer bedeutet daher nicht, dass die Korrekturen fehlen.

So enthält beispielsweise PHP 8.3.35 Secured die betreffenden Korrekturen, die mit PHP 8.3.36 veröffentlicht wurden. Sie müssen die PHP-Version Ihrer Website in Plesk nicht ändern, um davon zu profitieren.

Verwendung auf der Kommandozeile

Der standardmäßig über den Befehl `php` aufgerufene PHP-Interpreter enthält ebenfalls diese Korrekturen. Wir empfehlen dennoch, den vollständigen Pfad zur PHP-Version Ihrer Website zu verwenden, damit bei der Ausführung von Skripten, geplanten Aufgaben oder Composer-Befehlen dieselbe Kompatibilität gewährleistet bleibt.

Beispiel für eine Website mit PHP 8.4: `/opt/plesk/php/8.4/bin/php`.

Weitere Informationen:

• PHP-Updates und Sicherheit mit TuxCare ELS
• SSH-Zugriff und PHP-Pfade beim Plesk-Hosting

Die Wartung ist abgeschlossen. Dieses Update erläutert die bereits eingespielten Korrekturen.

FRWEB14: behoben. Die Websites dieser Plattform laufen jetzt auf PHP-Versionen 7.4 bis 8.5, die gegen beide Schwachstellen gepatcht sind.

Alle unsere Shared-Web-Plattformen verwenden jetzt gepatchte PHP-Versionen. Es ist keine Aktion Ihrerseits erforderlich

PHP 8.0 und 8.2: gepatcht auf FRWEB5 bis FRWEB12 und CHWEB1. Unser Partner hat diese beiden letzten Korrekturen kurz nach Mitternacht veröffentlicht, und wir haben sie umgehend installiert, ohne Auswirkungen auf die Websites.

Alle PHP-Versionen von 7.4 bis 8.5 sind jetzt gepatcht auf FRWEB5 bis FRWEB12 und CHWEB1.

FRWEB14: Die gepatchten Versionen von PHP 7.4 bis 8.5 sind installiert, und wir schließen derzeit deren Einrichtung auf den Websites dieser Plattform ab.

Ihrerseits ist keine Aktion erforderlich. Nächstes Update am Ende des Eingriffs auf FRWEB14.

PHP 8.5: behoben auf FRWEB5 bis FRWEB12 und CHWEB1. Unser Partner hat den Fix um 23:38 Uhr veröffentlicht, und wir haben ihn umgehend installiert, ohne Auswirkungen auf die Websites.

Status der PHP-Versionen auf unseren Shared-Web-Plattformen:
- PHP 7.4, 8.1, 8.3, 8.4 und 8.5: behoben auf allen Plattformen außer FRWEB14, das auf die Veröffentlichung der Fixes für sein System wartet.
- PHP 8.0 und 8.2: ausstehend auf die Fixes unseres Partners. Sie werden automatisch installiert, sobald sie veröffentlicht sind. Bis dahin blockiert die Anwendungsfirewall bekannte Angriffe.

Nächstes Update bei Veröffentlichung der letzten Fixes.

Die Wartungs- und Bereitstellungsarbeiten werden fortgesetzt, im Zuge der Veröffentlichung von Sicherheitspatches durch unseren Patch-Anbieter.

Gleichzeitig halten unsere Teams eine sehr hohe Wachsamkeit zu diesem Thema aufrecht, und wir setzen weiterhin zahlreiche WAF-Regeln ein, um jede Exposition zu begrenzen, im Zuge der Entwicklung der beobachteten Angriffsvektoren.

Die Wartung ist abgeschlossen.

PHP 8.4: behoben auf FRWEB5 bis FRWEB12 und CHWEB1. Unser Partner hat den Fix um 22:10 veröffentlicht, und wir haben ihn umgehend installiert, ohne Auswirkungen auf die Websites.

Stand der PHP-Versionen auf unseren Shared-Web-Plattformen:
- PHP 7.4 und PHP 8.4: behoben auf allen Plattformen außer FRWEB14, das auf die Veröffentlichung der Fixes für sein System wartet.
- PHP 8.0, 8.1, 8.2, 8.3 und 8.5: warten auf die Fixes unseres Partners. Sie werden automatisch installiert, sobald sie veröffentlicht sind. Bis dahin blockiert die Anwendungsfirewall bekannte Angriffe.

FRWEB4: Die auf dieser Plattform gehosteten Websites laufen mit PHP 7.4 in einer gegen diese beiden Schwachstellen behobenen Version. Da FRWEB4 eine ältere Plattform ist, planen unsere Teams, ihre Websites auf eine vollständig gewartete Plattform zu migrieren.

Nächstes Update bei Veröffentlichung der anderen PHP 8.x-Fixes.

Web Application Firewall (WAF): Um 19:17 Uhr hat unser Partner neue Regeln veröffentlicht. Sie blockieren weitere Varianten des Angriffswerkzeugs und erkennen fehlerhafte Datei-Uploads, die zur Ausnutzung dieser Schwachstellen verwendet werden. Diese Regeln sind auf allen unseren Shared-Web-Plattformen aktiv.

Stand der PHP-Versionen auf unseren Shared-Web-Plattformen:
- PHP 7.4: behoben auf allen Plattformen außer FRWEB14, das auf die Veröffentlichung des Fixes für sein System wartet.
- PHP 8.0, 8.1, 8.2, 8.3, 8.4 und 8.5: ausstehend. Unser Partner kündigt die Fixes gegen 22 Uhr an. Sie werden automatisch installiert, sobald sie veröffentlicht sind. Bis dahin blockiert die Web Application Firewall bekannte Angriffe.

Nächstes Update bei Veröffentlichung der PHP 8.x-Fixes.

Die PHP Foundation hat heute Nachmittag die Patches für die Schwachstellen CVE-2026-109618 und CVE-2026-109619 für PHP 8.2, 8.3, 8.4 und 8.5 veröffentlicht. Die Versionen 7.4, 8.0 und 8.1 werden durch unser Partner-Wartungsprogramm korrigiert.

Status des Schutzes unserer Shared-Web-Plattformen (FRWEB5 bis FRWEB12, FRWEB14, CHWEB1):

• Web Application Firewall (WAF): Blockierregeln für bekannte Angriffe sind seit der letzten Nacht auf allen diesen Plattformen aktiv.
• Gepflegte PHP-Versionen: Alle Websites wurden auf PHP-Versionen umgestellt, die von unserem Partner gewartet und kontinuierlich gepatcht werden, von PHP 7.4 bis PHP 8.5, ohne Versionsänderung für Ihre Websites.
• PHP 7.4: korrigiert auf FRWEB5, FRWEB6, FRWEB7, FRWEB8, FRWEB9, FRWEB10, FRWEB11, FRWEB12 und CHWEB1. FRWEB14 wird korrigiert, sobald der Patch für sein System veröffentlicht wird.
• Webmails: korrigiert auf allen Plattformen.
• PHP 8.0 bis 8.5: Die Patches werden heute Abend erwartet. Sie werden automatisch bereitgestellt, sobald sie veröffentlicht sind.
• Plesk-Verwaltungspanel: Der Hersteller hat einen Patch für heute angekündigt. Er wird angewendet, sobald er verfügbar ist.

Diese Bereitstellungen erfolgen transparent. Kurze Unterbrechungen von einigen Sekunden bis einigen Minuten können auf einigen Websites aufgetreten sein.

Die PHP Foundation hat gestern Abend die Entdeckung von zwei kritischen Sicherheitslücken im PHP-Projekt bekannt gegeben, die alle PHP-Versionen seit PHP 5.0 betreffen: Es handelt sich um CVE-2026-109618 und CVE-2026-109619. Diese Sicherheitslücken stehen direkt mit PHP in Zusammenhang und ermöglichen potenziell die Übernahme der Kontrolle über jede Website, die PHP ausführt, unabhängig von ihrer Konfiguration.

Die genauen Details dieser Sicherheitslücken sind noch nicht veröffentlicht: Die PHP Foundation hat die Veröffentlichung der Details für heute um 16 Uhr (Pariser Zeit) zusammen mit den ersten Sicherheitspatches angekündigt.

Dennoch sind einige Elemente zu diesen Sicherheitslücken bereits absehbar: Sie würden alle PHP-Versionen seit PHP 5.0 (seit 2004) betreffen, und die PHP Foundation würde Patches nur für Websites unter PHP 8.1, 8.2, 8.3, 8.4 und 8.5 anbieten.

Unser Team hat ein vollständiges Audit unserer gemeinsamen WEB-Infrastrukturen (Plesk) durchgeführt, die aufgrund der sehr hohen Anzahl von Websites, die PHP auf diesen Plattformen nutzen, hauptsächlich betroffen sind. Wir haben außerdem in der Nacht ein erstes Paket von Sicherheitspatches bereitgestellt (insbesondere dynamische WAF-Firewall-Regeln), um die Exposition unserer Kunden gegenüber diesen Sicherheitslücken zu verringern.

Wir werden außerdem die Sicherheitspatches für die PHP-Versionen 8.1, 8.2, 8.3, 8.4 und 8.5 bereitstellen, sobald sie von der PHP-Version veröffentlicht werden.

Schließlich planen wir auch Sicherheitspatches für die PHP-Versionen 7.4, 8.0 und 8.1: Diese Versionen sind EOL, werden aber weiterhin auf unseren Infrastrukturen angeboten und erhalten regelmäßige Sicherheitspatches über ein Partner-Wartungsprogramm. Wir schätzen, dass diese Patches sehr schnell nach der Veröffentlichung der Patches für neuere PHP-Versionen verfügbar sein werden.