WP Letter

WP Letter

@wpletter.de

Aktuelle WordPress-Themen als wöchentlicher Newsletter. Kostenlos und redaktionell aufbereitet. Von @simon mit ❤️ gemacht. 🌉 bridged from ⁂ https://dewp.space/@wpletter, follow @ap.brid.gy to interact

37 followers0 following126 posts

WP Letter reposted

Simon
@simon.blog

Ein größeres Sicherheits-Update für PHP steht heute an. Für @krautpress habe ich aufgeschrieben, was wir bisher über die Sicherheitslücken wissen, und was Betreiber*innen von #WordPress Websites vorbereiten können: https://krautpress.de/2026/kritische-sicherheitsluecken-in-php-das-ist-zu-tun/

krautpress.dekrautpress.deEinfache Updates für PHP, die Programmiersprache, auf der jede WordPress-Website basiert, sind hier für gewöhnlich keine Meldung wert. Sie kommen alle paar Wochen, und laufen bei guten Hostern still im Hintergrund mit. Heute ist eine Ausnahme. Gestern Abend hat das PHP-Security-Team ein Sicherheits-Release für heute Nachmittag angekündigt. Heute, am Mittwoch, 21. Oktober, um 16:00 Uhr mitteleuropäischer Sommerzeit sollen zwei kritische Sicherheitslücken geschlossen werden. Beide Lücken fallen offenbar in den besonders kritischen Bereich der CVSS genannten Klassifizierung für Schwachstellen. Nach offiziellen Berichten erreichen die beiden Lücken offenbar einen Wert von 9,2. Wie genau die beiden Lücken aussehen ist bisher nicht bestätigt. Es ist aber schon sicher, dass ein sofortiges Update von PHP nötig sein wird, sobald offiziell verfügbar. Dieser Beitrag ist für den Moment also ein Zwischenstand. Ich ergänze ihn, sobald die Releases da sind und wir mehr über die Tragweite sagen können. ## Was wir bisher wissen Im Rahmen der offiziellen Kommunikation ist bisher nur der Schweregrad der Lücken und der angekündigte Veröffentlichungszeitpunkt bekannt. Das PHP-Security-Team behält sich außerdem vor, die Updates früher zu veröffentlichen, falls Details zu den Lücken öffentlich werden oder Angriffe auftauchen. Und schon vor der Ankündigung gestern tauchen immer wieder Gerüchte über einzelne Details online auf. Die substanziellsten Informationen stammt aus einem Leak. Demnach haben die Lücken die Kennungen CVE-2026-109618 und CVE-2026-109619 und erlauben Remote Code Execution, also das Ausführen von beliebigem Code auf einem System. Das Sichterheitsunternehmen watchTowr hat bestätigt, dass die geleakten Informationen echt sind. Ein Gerücht, dass alle PHP-Versionen ab PHP 5 betroffen sein sollen, hat das PHP-Security-Team bisher nicht bestätigt. Auch der CVSS-Wert von 10,0, der online kursiert, ist nicht die offizielle bestätigt. Laut der Website BleepingComputer gibt watchTowr an, die Veröffentlichung sei ursprünglich erst für den morgigen Donnerstag geplant gewesen. Sie wurde also offenbar schon um einen Tag vorgezogen. watchTowr hat nach eigener Angaben bisher keine Angriffe in freier Wildbahn beobachtet, die auf die Lücken zurückzuführen sind. Das wird sich heute Nachmittag vermutlich aber schnell ändern. Das CERT-EU ist das Notfallteam, das EU-Institutionen, Agenturen und Einrichtungen, bei Cyberbedrohungen berät und warnt, rät, zum sofortigen Patchen und dazu PHP-Anwendungen notfalls vom Netz zu nehmen, bis ein Update verfügbar ist. _The Repository_ berichtet über eine Website mit angeblich funktionierendem Exploit-Code. Rae hat das nicht verifiziert. Ich habe die selbe Website ## Was jetzt zu tun ist Sprechen wir erstmal kurz darüber, wie diese Lücken behoben werden: wie das Security-Unternehmen _Wordfence_ richtig erwähnt, helfen automatische WordPress-Updates dieses Mal nicht. Es geht um PHP, nicht um WordPress selbst. Im Shared Hosting und bei den meisten Managed-Hosting-Angeboten spielt der Hoster das Update ein. Wer eine VPS (Virtual Privat Server) oder einen eigenen Server betreibt, ist selbst für dieses Update verantwortlich. ### Welche PHP-Version ist im Einsatz? Es könnte heute Abend relevant werden, welche PHP-Version verwendet wird. In WordPress lässt sich die PHP-Version relativ einfach über das Website-Zustand-Tool ermitteln: _Werkzeuge → Website-Zustand → Info → Server_. Sobald die offiziellen Updates verfügbar sind, werde ich die Versionsnummer(n), die die Lücken schließen hier einfügen. ### PHP-Version ändern Die Support-Mitarbeitenden der verschiedenen Hosting-Unternehmen werden heute einen stressigen Tag haben. Eine Nachfrage beim Hoster, ob und wann er das Update einspielt, ist also nur bedingt sinnvoll. Security-Updates wie das heutige werden bei den meisten Anbietern automatisch ausgespielt. Besondern im Shared-Hosting-Bereich müssen die Haupt-PHP-Versionen aber manuell umgestellt werden. Also etwa PHP 8.3 zu 8.4. PHP 8.1 und älter erhalten keine offiziellen Updates mehr. Wer noch eine dieser Versionen verwendet, sollte also ohnehin auf eine neuere Version wechseln. (Einige Hosting-Anbieter haben kostenpflichtige Updates auch für ältere Versionen, dieser „Service“ ist meist unnötig teuer.) Bei den meisten Hostern lässt sich die PHP-Version pro Website oder pro Domain einstellen. Das passiert in den gängigen Hosting-Panels (cPanel, Plesk oder eigene Control-Center der Anbieter). Hier empfiehlt sich schon heute Mittag ein Wechsel auf 8.3 oder 8.4. Die Version 8.2 bekommt zwar aktuell noch Sicherheitsfixes läuft aber zum Jahresende aus. Wer jetzt auf eine neuere Version umstellt, ist noch nicht sicher, aber schonmal besser aufgestellt für das Update heute Nachmittag. ### DIY für Betreiber*innen von VPS und eigenen Servern Hier bleibt für den Moment vor allem das Warten auf das Release heute Nachmittag. Die neue PHP-Version kann dann über die Paketquellen der jeweiligen Distribution eingespielt werden. Wichtig ist der Anschließende Neustart von PHP-FPM und des Webservers. Sonst läuft der alte Prozess weiter. So kann das in etwa aussehen: sudo apt update && sudo apt upgrade sudo systemctl restart php8.3-fpm # Version und Dienstname bei dir anpassen php -vCode-Sprache: CSS (css) (Debian und Ubuntu spielen teilweise Backports von Patches aus, sodass sich hier Versionsnummer unter Umständen nicht ändern. Ein Blick in die jeweiligen Changelos sollte Klarheit bringen.) ### Eine schnelle spekulative Sicherheitsmaßnahme Bis das Update da ist, können wir nicht viel mit Sicherheit sagen. Es scheint aber hilfreich zu sein `session.upload_progress` abschalten. Einige Hoster tun das offenbar schon für ihre gesamte Infrastruktur. Ben Word vom Roots-Projekt weist darauf hin, dass WordPress dieses Feature sowieso nicht nutzt. Die nötige Anpassung dafür findet in der `php.ini` oder `.user.ini` statt und sieht dann so aus: session.upload_progress.enabled = 0 Aber: es gibt für den Moment keine offiziell Informationen über einen Zusammenhang der Lücken mit `session.upload_progress`. Joe Ferguson, der Release-Lead für PHP 8.6 ist und Einblick in den Code hat, warnt, das Abschalten reiche nicht aus. Wirkliche Sicherheit bringt also nur das PHP-Update. Wer die neue PHP-Version manuell einspielt, sollte das Update für heute Nachmittag planen, nicht erst für das Wochenende. ## Wie groß ist das Problem? Wenn wir rein nach den Statistiken von WordPress.org gehen laufen rund 35 Prozent der WordPress-Seiten auf PHP-Versionen, die keine Sicherheits-Updates mehr bekommen. Allein 16,5 Prozent noch auf PHP 7.4. Ich habe den Verdacht, dass einige davon auch in den schon erwähnten und etwas fragwürdigen „Extended Support“ Angeboten von Hosting-Unternehmen stecken, die sich mit bezahltem Support für alte PHP-Versionen eine goldene Nase verdienen. Zweifellos werden aber viele WordPress-Website weiterhin auf hoffnungslos veralteten PHP-Versionen zurückbleiben und ab heute damit noch angreifbarer sein. Ich ergänze diesen Beitrag, sobald das PHP-Security-Team die Versionsnummern und Details veröffentlicht hat.

WP Letter reposted

KrautPress
@krautpress.de

Das WordCamp Europe geht 2027 wieder nach Spanien! Dieses Mal geht's nach Malaga. https://krautpress.de/2026/wordcamp-europe-2027-malaga/

krautpress.deWordCamp Europe 2027 – MalagaDas WordCamp Europe 2026 in Krakau ist vorbei! Und wie jedes Jahr wurde zum Ende des Camps die nächste Stadt bekanntgegeben: 2027 fahren wir nach Málaga! Das WordCamp Europe 2027 findet vom 27. bis 29. Mai 2027 an der andalusischen Mittelmeerküste statt. Málaga klingt nicht nur nach Sonne, Tapas und Meer. Ende Mai werden wir mit Temperaturen zwischen 25 und 30 Grad rechnen dürfen. ## WordCamp Europe unter der Sonne Andalusiens Málaga ist weit mehr als nur Strand und Pablo Picasso. Die Stadt hat in den letzten Jahren eine beeindruckende kulturelle Entwicklung durchgemacht und gilt heute als eine der lebendigsten Städte Südspaniens, mit einer gut vernetzten Tech-Community und einer starken spanischen WordPress-Community im Rücken, die sich sehen lassen kann. Und wer nach den Sessions noch Energie hat: Die Altstadt von Málaga, die Alcazaba und der Hafen sind zu Fuß gut erreichbar. Ein Abendspaziergang entlang der Küstenpromenade mit einer Tapa in der Hand — das gehört dann einfach dazu. ## Ein Gespräch mit einer Organisatorin Ich habe mich mit Delia Carballo unterhalten, die als Local Lead einen wichtige Rolle im Orga-Team des nächsten WordCamp Europe spielen wird. Die passende Podcast-Folge gibt’s im englischen Feed des KrautPress-Podcast.