Aufgrund einer PHP-Sicherheitslücke werden wir vor dem kommenden PHP-Release um ca. 15:45 alle PHP-Services auf uberspace deaktivieren, das betrifft u.a. alle Wordpress-Instanzen. Nachdem wir dann einen Workaround oder Patch ausgerollt haben, nehmen wir die Services etwas nach 16 Uhr wieder online. Ihr müsst nichts dazu tun.
Details: https://www.php.net/archive/2026.php#2026-10-20-1 https://arstechnica.com/security/2026/10/php-maintainers-tell-web-devs-to-prepare-themselves-for-critical-security-patches/
0 Boosts
0 Likes
@ubernauten Das killt leider alles, nicht nur PHP…
@MoritzGlantz @ubernauten ja das ist jetzt eine grobe allgemeine Lösung, wenn du weißt welche deiner Pfade auf PHP apps zeigen kannst du die auch explizit sperren mit `web backend set /php-app ...` oder `web backend set wordpress.example.com...`
@ubernauten Danke dass ihr dran seid und Bescheid sagt!
@ubernauten Ich hätte nix dagegen bis dahin PHP auszuschalten. Geht das?
@MoritzGlantz das ist doch explizit was sie im Toot geschrieben haben? PHP wird bis zum Update ab sofort deaktiviert :D
@MrGamy Nee, von 15:45 bis kurz nach 16 Uhr.
@MoritzGlantz nein?
Ich lese die Nachricht so:
Im vorfeld des für 15:45 angekündigten PHP release, werden wir PHP abschalten. (As in: ab sofort)
Voraussichtlich geht PHP um 16:00 wieder online.
@MrGamy Also bei mir läuft es noch.
@MoritzGlantz hmm, dann wäre es praktisch wenn @hallo das nochmal klarstellt.
Bist du dir sicher dass PHP aktiv funktioniert, und nicht nur "vorhanden" ist?
(php shell vs php -v I guess?)
@MoritzGlantz fair enough, sorry 😄
Es wird von vereinzeltem Ausnutzen der PHP2Shell Lücke berichtet, wir halten uns an die offizielle Mitigation vom PHP Team und schalten, wie angekündigt, zur Veröffentlichung der Lücke und des Patches um 15:45 PHP global ab.
Falls ihr euer PHP bereits jetzt selbst sperren wollt könnt ihr z.B. ein kaputtes Backend setzen mit:
`uberspace web backend set / --http --port 9999`
und dann später wiederherstellen mit:
`uberspace web backend set / --apache`