Heutige PHP-Sicherheitsveröffentlichung und unsere Maßnahmen zur Stärkung der PHP-Sicherheit

Die PHP Foundation hat heute ein Sicherheitsupdate veröffentlicht, das die gesamte PHP 8.x‑Verzweigung abdeckt und zwei Schwachstellen schließt, die eine Remote-Code-Ausführung ermöglichen. Die Exploits begannen am 20. Oktober in Foren und sozialen Netzwerken zu kursieren, begleitet von falschen Angaben zum Veröffentlichungsdatum und einer überhöhten CVSS‑Bewertung. Vor der breiten Verbreitung kündigte das Projekt seine offizielle Ankündigung vorzeitig an und stellte die gepatchte Version noch am selben Tag bereit, wodurch das ursprünglich geplante Veröffentlichungsdatum verschoben wurde.

Der Disclosure-Prozess wurde erschüttert, als ein Sicherheitsunternehmen, das an der Untersuchung beteiligt war, versehentlich ein Video veröffentlichte, das einen funktionierenden Exploit zeigte und zusätzliche Details enthüllte. Kopien des Materials verbreiteten sich rasch, was die Entwicklung von Proof‑of‑Concepts durch Dritte beschleunigte und die Exposition der betroffenen Systeme erhöhte.

Laut dem Entdeckungs­team begann die Untersuchung im August, wobei unautorisierte Ausführungsversuche gegen Plattformen wie Drupal und WordPress durchgeführt wurden. Die formelle Benachrichtigung an das PHP‑Security‑Team erfolgte Ende August. Der Patch wurde am 21. Oktober veröffentlicht, synchron mit der öffentlichen Bekanntgabe.

Die Meldung ist von großer Bedeutung, weil Millionen von Websites auf PHP angewiesen sind. Die schnelle Implementierung des Patches ist entscheidend, um Datenverlust und Störungen von Online‑Dienstleistungen zu verhindern. Der Vorfall unterstreicht zudem die Notwendigkeit, Informationen im Rahmen verantwortungsvoller Offenlegung sorgfältig zu handhaben.

Originalartikel lesen auf Simon Willison

Diese Zusammenfassung ist eine informationelle Synthese von dataqbs.com. Alle Rechte am Originalinhalt liegen beim Autor und dem genannten Medienunternehmen. Wir handeln ausschließlich als Kuratoren von Technologie-Nachrichten und beanspruchen keine Urheberschaft.