Simon

Simon

@simon.blog

WordPress Guy, @notes Taker, Host at @presswerk, Taking care of @pluginkollektiv and @wpletter, 🏳️‍🌈 🌉 bridged from https://dewp.space/@simon on the fediverse by https://fed.brid.gy/

625 followers3 following96 posts

Simon
@simon.blog

Ein größeres Sicherheits-Update für PHP steht heute an. Für @krautpress habe ich aufgeschrieben, was wir bisher über die Sicherheitslücken wissen, und was Betreiber*innen von #WordPress Websites vorbereiten können: https://krautpress.de/2026/kritische-sicherheitsluecken-in-php-das-ist-zu-tun/

krautpress.dekrautpress.deEinfache Updates für PHP, die Programmiersprache, auf der jede WordPress-Website basiert, sind hier für gewöhnlich keine Meldung wert. Sie kommen alle paar Wochen, und laufen bei guten Hostern still im Hintergrund mit. Heute ist eine Ausnahme. Gestern Abend hat das PHP-Security-Team ein Sicherheits-Release für heute Nachmittag angekündigt. Heute, am Mittwoch, 21. Oktober, um 16:00 Uhr mitteleuropäischer Sommerzeit sollen zwei kritische Sicherheitslücken geschlossen werden. Beide Lücken fallen offenbar in den besonders kritischen Bereich der CVSS genannten Klassifizierung für Schwachstellen. Nach offiziellen Berichten erreichen die beiden Lücken offenbar einen Wert von 9,2. Wie genau die beiden Lücken aussehen ist bisher nicht bestätigt. Es ist aber schon sicher, dass ein sofortiges Update von PHP nötig sein wird, sobald offiziell verfügbar. Dieser Beitrag ist für den Moment also ein Zwischenstand. Ich ergänze ihn, sobald die Releases da sind und wir mehr über die Tragweite sagen können. ## Was wir bisher wissen Im Rahmen der offiziellen Kommunikation ist bisher nur der Schweregrad der Lücken und der angekündigte Veröffentlichungszeitpunkt bekannt. Das PHP-Security-Team behält sich außerdem vor, die Updates früher zu veröffentlichen, falls Details zu den Lücken öffentlich werden oder Angriffe auftauchen. Und schon vor der Ankündigung gestern tauchen immer wieder Gerüchte über einzelne Details online auf. Die substanziellsten Informationen stammt aus einem Leak. Demnach haben die Lücken die Kennungen CVE-2026-109618 und CVE-2026-109619 und erlauben Remote Code Execution, also das Ausführen von beliebigem Code auf einem System. Das Sichterheitsunternehmen watchTowr hat bestätigt, dass die geleakten Informationen echt sind. Ein Gerücht, dass alle PHP-Versionen ab PHP 5 betroffen sein sollen, hat das PHP-Security-Team bisher nicht bestätigt. Auch der CVSS-Wert von 10,0, der online kursiert, ist nicht die offizielle bestätigt. Laut der Website BleepingComputer gibt watchTowr an, die Veröffentlichung sei ursprünglich erst für den morgigen Donnerstag geplant gewesen. Sie wurde also offenbar schon um einen Tag vorgezogen. watchTowr hat nach eigener Angaben bisher keine Angriffe in freier Wildbahn beobachtet, die auf die Lücken zurückzuführen sind. Das wird sich heute Nachmittag vermutlich aber schnell ändern. Das CERT-EU ist das Notfallteam, das EU-Institutionen, Agenturen und Einrichtungen, bei Cyberbedrohungen berät und warnt, rät, zum sofortigen Patchen und dazu PHP-Anwendungen notfalls vom Netz zu nehmen, bis ein Update verfügbar ist. _The Repository_ berichtet über eine Website mit angeblich funktionierendem Exploit-Code. Rae hat das nicht verifiziert. Ich habe die selbe Website ## Was jetzt zu tun ist Sprechen wir erstmal kurz darüber, wie diese Lücken behoben werden: wie das Security-Unternehmen _Wordfence_ richtig erwähnt, helfen automatische WordPress-Updates dieses Mal nicht. Es geht um PHP, nicht um WordPress selbst. Im Shared Hosting und bei den meisten Managed-Hosting-Angeboten spielt der Hoster das Update ein. Wer eine VPS (Virtual Privat Server) oder einen eigenen Server betreibt, ist selbst für dieses Update verantwortlich. ### Welche PHP-Version ist im Einsatz? Es könnte heute Abend relevant werden, welche PHP-Version verwendet wird. In WordPress lässt sich die PHP-Version relativ einfach über das Website-Zustand-Tool ermitteln: _Werkzeuge → Website-Zustand → Info → Server_. Sobald die offiziellen Updates verfügbar sind, werde ich die Versionsnummer(n), die die Lücken schließen hier einfügen. ### PHP-Version ändern Die Support-Mitarbeitenden der verschiedenen Hosting-Unternehmen werden heute einen stressigen Tag haben. Eine Nachfrage beim Hoster, ob und wann er das Update einspielt, ist also nur bedingt sinnvoll. Security-Updates wie das heutige werden bei den meisten Anbietern automatisch ausgespielt. Besondern im Shared-Hosting-Bereich müssen die Haupt-PHP-Versionen aber manuell umgestellt werden. Also etwa PHP 8.3 zu 8.4. PHP 8.1 und älter erhalten keine offiziellen Updates mehr. Wer noch eine dieser Versionen verwendet, sollte also ohnehin auf eine neuere Version wechseln. (Einige Hosting-Anbieter haben kostenpflichtige Updates auch für ältere Versionen, dieser „Service“ ist meist unnötig teuer.) Bei den meisten Hostern lässt sich die PHP-Version pro Website oder pro Domain einstellen. Das passiert in den gängigen Hosting-Panels (cPanel, Plesk oder eigene Control-Center der Anbieter). Hier empfiehlt sich schon heute Mittag ein Wechsel auf 8.3 oder 8.4. Die Version 8.2 bekommt zwar aktuell noch Sicherheitsfixes läuft aber zum Jahresende aus. Wer jetzt auf eine neuere Version umstellt, ist noch nicht sicher, aber schonmal besser aufgestellt für das Update heute Nachmittag. ### DIY für Betreiber*innen von VPS und eigenen Servern Hier bleibt für den Moment vor allem das Warten auf das Release heute Nachmittag. Die neue PHP-Version kann dann über die Paketquellen der jeweiligen Distribution eingespielt werden. Wichtig ist der Anschließende Neustart von PHP-FPM und des Webservers. Sonst läuft der alte Prozess weiter. So kann das in etwa aussehen: sudo apt update && sudo apt upgrade sudo systemctl restart php8.3-fpm # Version und Dienstname bei dir anpassen php -vCode-Sprache: CSS (css) (Debian und Ubuntu spielen teilweise Backports von Patches aus, sodass sich hier Versionsnummer unter Umständen nicht ändern. Ein Blick in die jeweiligen Changelos sollte Klarheit bringen.) ### Eine schnelle spekulative Sicherheitsmaßnahme Bis das Update da ist, können wir nicht viel mit Sicherheit sagen. Es scheint aber hilfreich zu sein `session.upload_progress` abschalten. Einige Hoster tun das offenbar schon für ihre gesamte Infrastruktur. Ben Word vom Roots-Projekt weist darauf hin, dass WordPress dieses Feature sowieso nicht nutzt. Die nötige Anpassung dafür findet in der `php.ini` oder `.user.ini` statt und sieht dann so aus: session.upload_progress.enabled = 0 Aber: es gibt für den Moment keine offiziell Informationen über einen Zusammenhang der Lücken mit `session.upload_progress`. Joe Ferguson, der Release-Lead für PHP 8.6 ist und Einblick in den Code hat, warnt, das Abschalten reiche nicht aus. Wirkliche Sicherheit bringt also nur das PHP-Update. Wer die neue PHP-Version manuell einspielt, sollte das Update für heute Nachmittag planen, nicht erst für das Wochenende. ## Wie groß ist das Problem? Wenn wir rein nach den Statistiken von WordPress.org gehen laufen rund 35 Prozent der WordPress-Seiten auf PHP-Versionen, die keine Sicherheits-Updates mehr bekommen. Allein 16,5 Prozent noch auf PHP 7.4. Ich habe den Verdacht, dass einige davon auch in den schon erwähnten und etwas fragwürdigen „Extended Support“ Angeboten von Hosting-Unternehmen stecken, die sich mit bezahltem Support für alte PHP-Versionen eine goldene Nase verdienen. Zweifellos werden aber viele WordPress-Website weiterhin auf hoffnungslos veralteten PHP-Versionen zurückbleiben und ab heute damit noch angreifbarer sein. Ich ergänze diesen Beitrag, sobald das PHP-Security-Team die Versionsnummern und Details veröffentlicht hat.
Simon
@simon.blog

I went to WordCamp Belgrade and came back with more photos than I anticipated. The local community and the event itself were also top-notch, but that’s what I expected. 🙃

simon.blogsimon.blog
Simon
@simon.blog

Warum meine Autokorrektur immer über Maoismus sprechen möchte, ist mir schleierhaft. Echte WordPress-Nachrichten gibt es gleich im @wpletter. 😬

Simon reposted

PressWerk
@presswerk.net

In wenigen Minuten wird WordPress 7.1 erscheinen 🎉 Wie bei den letzten Updates auch schon, haben @bph und @simon auf die wichtigsten Neuerungen geschaut und besprechen sie in unserer neuesten Folge: https://presswerk.net/pw075/

presswerk.netWordPress 7.1 mit Birgit Pauli-HaackEs ist schon wieder Zeit für das nächste WordPress-Update. Und wie immer begehen wir dieses Ereignis mit Birgit Pauli-Haack um gemeinsam eine Blick auf die wichtigsten Änderungen in WordPress zu sprechen. Simon Kraft Birgit Pauli-Haack ## Shownotes * Link zu dieser Folge * @presswerk@dewp.space im Fediverse ### Allgemeines * WordPress 7.1 Field Guide (Make WordPress Core) * WordPress 7.1 Source of Truth von Birgit Pauli-Haack (Gutenberg Times) * WordPress 7.1 Source of Truth auf Deutsch (KrautPress) * Alle Dev Notes zu WordPress 7.1 (Make WordPress Core) * Roadmap zu WordPress 7.1 (Make WordPress Core) * Release-Post zu WordPress 7.1 (wordpress.org/news) ### Responsive Editor * Responsive Block Styles und konfigurierbare Viewports (Dev Note) * Call for Testing: Responsive Styling (Make WordPress Test) * Konfigurierbare Breakpoints und theme.json-Integration (Tracking-Issue #75707) ### Interaktive Zustände im Editor * Pseudo- und Custom-Style-States in WordPress 7.1 (Dev Note) * Custom States: Iteration für WordPress 7.2 (Tracking-Issue #79283) ### Medien-Geschichten * Dynamische Galerien und post-attached Media (Tracking-Issue #77117) * „Use attached images“ im Galerie-Block (PR #78796) ### Besserer Image-Editor * Media Editor Modal (Tracking-Issue #73771) * Hintergrundbild im Cover-Block zuschneiden, inkl. Overlay-Anpassung (PR #79258) ### Bildoptimierung * Client-Side Media Processing in WordPress 7.1 (Dev Note) * Serverseitige Hooks, die nicht mehr wie gewohnt feuern (Issue #74333) ### Eigene Icons für den Icons-Block * SVG-Icons registrieren und ausgeben (Dev Note) * SVG Icon API: Iteration für WordPress 7.1 (Tracking-Issue #75715) ### Adminbar überall * Durchgängige Navigation mit persistenter Toolbar (Dev Note) ### Neue Blöcke #### Playliste * Playlist-Block: Iteration für 7.1 (Tracking-Issue #77421) * WaveformPlayer-Visualisierung (PR #75203) #### Tabs * Stabilize Tabs Blocks (Tracking-Issue #73230) * Tabs-Pattern im W3C ARIA Authoring Practices Guide ### Block-Transformationen * Direkt in eine Block-Variation umwandeln (PR #78713) * Embed-Shortcodes werden zu echten Embed-Blöcken (PR #77937) ### Verläufe und Bildhintergründe * Neuer Block-Support: Background Gradient (Dev Note) ### Cover-Blöcke mit Video-Steuerung * Dokumentation zum Cover-Block (Block Editor Handbook) * Video-Anbieter im Cover-Block einschränken (PR #80092) ### Bilder als dekorativ auszeichnen * „Als dekorativ markieren“ im Bild-Block (PR #78064) ### Updates für Navigation und Suche * Login/Logout-Block in Untermenüs verschachteln (PR #75497) * Neue Links direkt aus der Listenansicht anlegen (PR #75918) * Suche-Block im nativen search-Element (PR #78485) ### Query-Loop-Block * Abfrage-Loop: aktuellen Beitrag ausschließen (Trac #65373) * Umsetzung im Gutenberg-Repository (PR #64916) ### Real-Time-Collaboration * Outreach-Initiative zum kollaborativen Editieren (Make WordPress Core) * Gutenberg-Plugin zum Testen (WordPress.org) ### Ergänzungen für Anmerkungen * Notes: Iteration für WordPress 7.1 (Tracking-Issue #76316) * Anmerkungen an einzelnen Textstellen (PR #78218) * Autovervollständigung für @-Erwähnungen (PR #79604) ### „Identität“ im Site-Editor * Eigener Identity-Bereich im Site-Editor (PR #76264) ### Kommandopalette aufgeräumt * Kommandopalette mit Zuletzt-verwendet und Vorschlägen (PR #75691) * Die WordPress-Befehlspalette erklärt (kulturbanause) ### Inhalte jetzt auch ohne Titel * Textauszug bei Beiträgen ohne Titel (Trac #65022) ### Mediathek scrollt wieder endlos * Endloses Scrollen in der Mediathek, mit Opt-out pro Benutzer (Dev Note) ### Editor im iFrame * Iframed Editor Changes in WordPress 7.1 (Dev Note) * Ryan Welcher: Was Block-Entwickler vor 7.1 wissen müssen (Gutenberg Times) * Migrationsleitfaden für iFrame-Kompatibilität (Block Editor Handbook) * Find My Blocks (WordPress.org) ### HTML in Blöcken * Bearbeitbare Blöcke im Custom-HTML-Block (Dev Note) ### Kleinere Änderungen im Überblick * Miscellaneous Editor Changes in WordPress 7.1 (Dev Note) * Neuer Block-Support: Mindestbreite (Dev Note) * Barrierefreie Tooltips und Toggletips (Dev Note)

Simon reposted

Patrick | sieben-grafik.de
@sieben-grafik.norden.social.ap.brid.gy

RE: https://dewp.space/@wpletter/117030325721150111 Spannend zu lesen wie neue Plugins entstehen, Danke @simon und es freut mich sehr das Plugins so aktiv weiterentwickelt werden, denn das @pluginkollektiv liefert wirklich konsequent hilfreiche Standard-Plugins für #Wordpress die ich wirklich […]

norden.socialOriginal post on norden.social
WP Letter@wpletter.de

WP Letter #478 ist da 🚂 Dieses Mal mit dabei: 🖼️ Experimentelles Plugin 📊 Tracking-Plugin 🦮 Barrierefreiheit 🇺🇸 Datenschutz https://wpletter.de/archive/478/

wpletter.dePlugin-Experiment, Statify und Barrierefreiheit – WP LetterDiese Woche mit zwei guten Nachrichten von Plugins und zwei mittelprächtige Nachrichten von Datenschutz und Barrierefreiheit.

Simon reposted

PressWerk
@presswerk.net

Auf dem #WCEU in Krakau haben sich @simon und @Crixu über Lucas's neuen "Job" als Global Lead des WordCamp Europe 2027 unterhalten. 🇪🇸 https://presswerk.net/pw074/

presswerk.netDas WordCamp Europe 2027 in MálagaNoch auf dem diesjährigen WordCamp Europe haben sich Simon und Lucas zusammengesetzt und über die Ausgabe des großen europäischen Camps gesprochen, die für das nächste Jahr geplant werden wird. Lucas wird in 2027 einer der drei Global Leads des Camps sein und hat deshalb einen besonderen Einblick in die Vorbereitung. Simon Kraft Lucas Radke ## Shownotes * Link zu dieser Folge * @presswerk@dewp.space im Fediverse ### Lucas ist einer der Lead Organiser des WCEU27 * WordCamp Europe 2027 in Malaga ### Das WCEU endet nicht nach der Afterparty * Call for Organizers WCEU 2027 (wordcamp.org) ### Kick-Off im September und Venue-Visits * FYCMA Malaga – Venue-Infos ### Besonderheit hinter den Kulissen: Slack-Umstellung * Make WordPress Slack (make.wordpress.org/chat)

Simon reposted

KrautPress
@krautpress.de

Das WordCamp Europe geht 2027 wieder nach Spanien! Dieses Mal geht's nach Malaga. https://krautpress.de/2026/wordcamp-europe-2027-malaga/

krautpress.deWordCamp Europe 2027 – MalagaDas WordCamp Europe 2026 in Krakau ist vorbei! Und wie jedes Jahr wurde zum Ende des Camps die nächste Stadt bekanntgegeben: 2027 fahren wir nach Málaga! Das WordCamp Europe 2027 findet vom 27. bis 29. Mai 2027 an der andalusischen Mittelmeerküste statt. Málaga klingt nicht nur nach Sonne, Tapas und Meer. Ende Mai werden wir mit Temperaturen zwischen 25 und 30 Grad rechnen dürfen. ## WordCamp Europe unter der Sonne Andalusiens Málaga ist weit mehr als nur Strand und Pablo Picasso. Die Stadt hat in den letzten Jahren eine beeindruckende kulturelle Entwicklung durchgemacht und gilt heute als eine der lebendigsten Städte Südspaniens, mit einer gut vernetzten Tech-Community und einer starken spanischen WordPress-Community im Rücken, die sich sehen lassen kann. Und wer nach den Sessions noch Energie hat: Die Altstadt von Málaga, die Alcazaba und der Hafen sind zu Fuß gut erreichbar. Ein Abendspaziergang entlang der Küstenpromenade mit einer Tapa in der Hand — das gehört dann einfach dazu. ## Ein Gespräch mit einer Organisatorin Ich habe mich mit Delia Carballo unterhalten, die als Local Lead einen wichtige Rolle im Orga-Team des nächsten WordCamp Europe spielen wird. Die passende Podcast-Folge gibt’s im englischen Feed des KrautPress-Podcast.

Simon reposted

PressWerk
@presswerk.net

Heute kommt endlich #WordPress 7.0 🥳 @bph und @simon haben sich, wie die Tradition es will, also zusammengesetzt und über die wichtigsten Neuerungen gesprochen. https://presswerk.net/pw073/

presswerk.netWordPress 7.0 mit Birgit Pauli-HaackNach einer kleinen Verschiebung wird heute Abend mit WordPress 7.0 endlich eine neue WordPress-Version veröffentlicht werden. Wie so oft, wenn es wichtigen Neuerungen in WordPress zu besprechen gibt, haben wir Birgit Pauli-Haack eingeladen. Sie arbeitet bei Automattic und schreib seit Jahren auf gutenbergtimes.com über den Block-Editor. In dieser Funktion hat sich auf für diese Version von WordPress um die _Source of Truth_ gekümmert, in der alle relevanten Änderungen des Updates gesammelt werden. Wir haben diese Folge noch vor der Verschiebung des Veröffentlichungstermins Ende März aufgenommen. Simon Kraft Birgit Pauli-Haack ## Shownotes * Link zu dieser Folge * @presswerk@dewp.space im Fediverse ### Allgemeines * WordPress 7.0 Source of Truth * WordPress 7.0 Field Guide ### Real-Time-Collaboration (nicht in 7.0) * Gutenberg Phase 3: Collaboration * Verschiebung von Real-Time-Collaboration ### Anmerkungen jetzt mit E-Mails * Notes feature in WordPress 6.9 (vorherige Folge) ### Neue Revisionen * Visuelle Revisionen im Block-Editor (Dev Note) ### Navigation-Overlays * Navigation Overlays in WordPress 7.0 (Dev Note) * Nick Diegos Developer-Blog-Artikel zu Mega-Menus mit Navigation & Template Parts * OlliWP Plugin von Mike Allister * ### Neue Blöcke #### Breadcrumb-Block * Breadcrumb-Block Filters * Breadcrumb Plugin von Justin Tadlock ### Individuelles CSS für Blöcke * 14 Stellen für Custom CSS in WordPress (Gutenberg Times) * Block-Level Custom CSS ### Viewport-basierte Blocksichtbarkeit * Viewport-basierte Blocksichtbarkeit (Dev Note) * Block Visibility Plugin von Nick Diego * Block Control Plugin von Matze Kittsteiner ### Kleinere Änderungen bei Blöcken * Cover-Block mit YouTube- und Vimeo-Videos * Gallery-Block: Navigation in der Lightbox * Paragraph-Block: automatische Spalten ### Sonstiges * Die WordPress Befehlspalette (Command Palette) * Schriftverwaltung auch für Classic Themes ### „KI“ in WordPress #### Konnektoren * Konnektoren für externe APIs in WordPress 7.0 (Dev Note) #### AI Client API * AI Client API (Dev Note) #### Abilities API * Abilities API in WordPress 6.9 * Client-Side Abilities API in WordPress 7.0 (Dev Note) #### MCP (Model Context Protocol) * What is the Model Context Protocol (MCP)? * WordPress MCP Adapter Plugin ### PHP-only Blöcke * PHP-only Block Registration (Dev Note)

Simon reposted

PressWerk
@presswerk.net

Auf dem #WCEU im letzten Jahr hat sich @simon mit Jeff Chi zusammengesetzt. Letzterer arbeitet bei Required und hat auf dem WordCamp Europe in einem Vortrag eine Case-Study zu Barrierefreiheit präsentiert. https://presswerk.net/pw072/

presswerk.netPragmatische Barrierefreiheit mit Jeff ChiAuf dem WordCamp Europe 2025 in Basel hat Jeff Chi von required einen Vortrag über Barrierefreiheit gehalten. Mit einem Ansatz, der ganz sympathisch ist und recht pragmatisch an das gruselige Thema heran geht. Wir haben uns am Rande des Camps zusammengesetzt und über seinen Talk gesprochen, über das konkrete Kundenprojekt mit der Schweizer Kulturstiftung _Pro Helvetia_ , das dahintersteht, und über den Stand von Accessibility im WordPress-Projekt. Simon Kraft Jeff Chi ## Shownotes * Link zu dieser Folge * @presswerk@dewp.space im Fediverse * Folge des Englischen KrautPress Podcast zu Barrierefreiheit: Accessibility Testing and WP Accessibility Day 2024 * Jeff bei required * Jeffs eigene Website * Jeffs Talk beim WordCamp Europe 2025 * Begleitender Blogpost zum Talk: „Barrierefreiheit in freier Wildbahn: Pro Helvetia, ein Schweizer Beispiel“ * Pro Helvetia – die Schweizer Kulturstiftung * `@wordpress/a11y` – das WordPress-Accessibility-Package