Der Fix ist mittlerweile draussen.
Betroffen sind ALLE PHP-Versionen seit v5 (aktuell ist 8)
Den Fix gibt es allerdings nur für die folgenden Versionen (8.2,8.3,8.4,8.5)
In den folgenden Versionen ist der Fix dann enthalten.
PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35
Mehr Details hier
https://www.php.net/archive/2026.php
Man geht auch davon aus, das entsprechende exploits relativ schnell im Netz umhergehen werden um das auszunutzen.
Gegenstand der Lücke ist eine sogenannte remote code execution.
Das bedeutet, das jemand ohne Authorisierung auf dem Server code ausführen lassen kann und dann im Rahmen der Nutzerberechtigung alles machen kann. uU auch Dinge, die ihr als Kunde nicht mal selbst machen könnt. Die wirklichen Auswirkungen wird man in den nächsten Tagen dann sicherlich der Presse entnehmen können.
Aufgrund der hohen Einstufung (9.2 von 10) werden diese Auswirkungen meiner Meinung nach gewaltig sein.
v8.1 und früher wird nicht behoben.
PHP kann von https://www.php.net geladen werden.
Auch in den offiziellen docker images gab es die Aktualisierung bereits
https://hub.docker.com/_/php
Wer darauf aufbauende images verwendet (und die Software öffentlich im Internet steht, sollte dringend seine Container aktualisieren.
Bitte prüft, ob die aktualisierten Images eurer Software dieses Basis-Images bereits berücksichtigen oder PHP die richtigen Versionen direkt beim image build herunterladen.
Bei Nextcloud ist is im Imagetag 33 bereits so.
https://hub.docker.com/_/nextcloud
Bei wordpress in den heute (21.10.25) aktualisierten images
ebenfalls
https://hub.docker.com/_/wordpress
Beides sind official Images auf dockerhub, denkt dran es gibt ggfs auch gleich- oder ähnlich namige images, bei denen es nicht so ist.
Nachtrag:
Davon sind auch eure Provider betroffen bei denen Ihr evtl Dienste (Webserver, oben genannte Software und mehr) gehostet habt.
Da im Web-Bereich PHP mehr oder weniger Standard ist, wollt ihr nicht, das die Instanz übernommen oder Daten kopiert werden.
Hier der aktuelle Artikel auf heise
https://www.heise.de/news/php2shell-Kritische-Sicherheitsluecken-erlauben-Codeeinschleusung-in-PHP-11492938.html