Die Schlagzeilen gehörten den fluent Rule-Buildern, aber die Zeile in Laravel 13.36, um die ich mich zuerst kümmern würde, ist Worker::$flushStickyConnections. Sie ist standardmäßig aus, damit bei Apps, die darauf bauen,…
Laravel 13.38 bringt PreventStaleDatabaseReads mit, eine Middleware, die die Lesezugriffe eines Users nach einem Schreibvorgang zwei Sekunden lang auf den Primary legt. Praktisch, und du solltest sie einschalten. Das ehr…
Alle reden über das Modell, das CVE-2026-109618 und CVE-2026-109619 gefunden hat. Unangenehmer ist eine andere Zahl: Laut Cisco läuft etwa die Hälfte des aus dem Internet erreichbaren PHP auf Versionen, die keine Sicherh…
Die php2shell-Exploits hinterlassen nichts in deinen Logs. Du siehst nur, was der Angreifer danach tut, und deshalb hängt die Erkennung davon ab, dass www-data so gut wie nie etwas Interessantes macht. Das ist eine Desig…
Die Fixes für PHP2Shell sind seit dem 21. Oktober draußen, und viele Teams können immer noch nicht sagen, welches PHP-Binary ihren letzten Request beantwortet hat. Kai hält den Interpreter für deine wichtigste Abhängigke…
Als PHP2Shell aufschlug, hat das PHP-Projekt Notfall-Patches im Quellcode für 7.4, 8.0 und 8.1 veröffentlicht, also für Branches, die es längst in Rente geschickt hatte. Sei dankbar, aber versteh die Geste richtig. Über …
Das PHP-Projekt hat die kritischen Fixes für CVE-2026-109618 und CVE-2026-109619 vorab angekündigt, mit Datum und UTC-Uhrzeit, und die Details zurückgehalten. Das war ein fairer Deal. Das Problem: Viele Teams haben die W…
Zwei kritische Lücken im PHP-Core, CVE-2026-109618 und CVE-2026-109619, wurden nur für 8.2 bis 8.5 gepatcht. Wer noch auf 7.4, 8.0 oder 8.1 sitzt, härtet jetzt Konfigurationsdateien gegen einen Bug, der zuschlägt, bevor …
Am 21. Oktober kamen am selben Nachmittag ein Bypass im Laravel-Token-Guard und zwei PHP-Lücken mit CVSS 9.2. Acht Tage später zeigt sich: Die Teams, die schnell ausgeliefert haben, waren nicht besorgter als alle anderen…
Der Fix für den Speicherfehler in session.upload_progress war für den 21. Oktober angekündigt, und die meisten Teams werden updaten und das Thema abhaken. Das ist das falsche Ende. Eine Voreinstellung, die kaum jemand nu…
Zwei Lücken mit CVSS 9.2 in der PHP-Engine, behoben in 8.5.12, 8.4.27, 8.3.36 und 8.2.35, und kein vollständiger Workaround. Das Upgrade dauert Minuten. Was den meisten Teams wirklich fehlt, ist eine verlässliche Liste a…
Am 21. Oktober tauchten mit CVE-2026-109618 und CVE-2026-109619 zwei Lücken in der PHP-Runtime auf, über die sich ohne Anmeldung Code aus der Ferne ausführen lässt. Plötzlich hatten viele Teams keine schnelle Antwort auf…
Am 21. Oktober kamen zwei PHP-Lücken mit einer Bewertung von 9.2, und die gefixten Versionen sind schnell aufgezählt. Schwieriger ist die Frage, ob du genau jetzt belegen kannst, welches Binary auf jedem Vhost, jeder Sta…
Laravel 13.38.0 leitet Lesezugriffe nach einer Datenbankschreiboperation für zwei Sekunden über die Schreibverbindung und führt DB::usingWritePdo() für frische Beziehungsabfragen ein. Rule::unique() akzeptiert nun Float-…
Ein Medium-Bericht vom Oktober schreibt zwei mutmaßlich kritische PHP-Schwachstellen, CVE-2026–109618 und CVE-2026–109619, der Forschung von Wiz und OpenAIs GPT-5.6 Sol zu. Genannt werden eine Bewertung von 9,2, unauthen…
OpenAI hat einen Checker für Codex veröffentlicht, der prüft, ob eine Website öffentlich eine PHP-Version aus einem betroffenen Bereich meldet. Die Skill phpcheck-url arbeitet mit einer URL, phpcheck-server kontrolliert …
PHP schloss am 21. Oktober 2026 CVE-2026-109618 und CVE-2026-109619, zwei unauthentifizierte Lücken zur Remotecodeausführung mit CVSS 9.2. Ein unabhängiger Wazuh-Ansatz überwacht Prozesse und PHP-Dateien, um Folgeaktivit…
Kevin Lopez meldet zwei semantische Fragen zum Entwurf des PHP-RFCs für Pattern Matching. Array-Muster sollen einen fehlenden Schlüssel von einem ausdrücklich gesetzten null unterscheiden und dafür array_key_exists() ver…
OpenAI, Google und weitere KI-Labore setzen Frontier-Modelle ein, um PHP-Schwachstellen zu finden, Exploits zu entwickeln und vorgeschlagene Korrekturen zu prüfen. Die aktuelle Krise betrifft strukturelle Fehler, die Rem…
Ein Reddit-Beitrag versteht sich als Antwort aus dem PHP-Sicherheitsteam auf kursierende Behauptungen zu PHP2Shell. Der verfügbare Auszug nennt weder die strittigen Aussagen noch betroffene PHP-Versionen. Eine CVE oder B…
Eine Untersuchung von OffSeq wertet die ersten 48 Stunden von PHP2Shell in der Mirage-Honeypot-Flotte aus. Nach Angaben des Unternehmens war PHP2Shell bereits vor der Verfügbarkeit des Patches durchgesickert. Die erste a…
Aktualisierte setup-php-Builds enthalten Korrekturen für CVE-2026-109618 und CVE-2026-109619 in PHP 5.3 bis 8.7. Sie stehen für Linux, macOS und Windows bereit und enthalten Sicherheits-Backports für nicht mehr unterstüt…
Petecooper hat sich auf Hacker News für einen früheren Beitrag zu den geplanten PHP-RCE-Veröffentlichungen CVE-2026-109618 und CVE-2026-109619 entschuldigt. Nach eigenen Angaben wusste die Person nichts von einem Embargo…
Neue Details zu PHP2Shell ordnen CVE-2026-109618 und CVE-2026-109619 als kritische Fehler in der PHP-Laufzeit mit einem PHP-seitigen CVSS-v4.0-Wert von 9,2 ein. Die geplanten Fixes gelten nur für 8.2 bis 8.5. PHP 8.1 und…
Zwei mit 9.2 bewertete Engine-Bugs, behoben in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, trafen Server, deren Anwendungscode makellos war. Kai meint, die Lösung ist eine Frage der Kultur: Anwendungsteams sollten den Interpr…
Der Medium-Beitrag liefert keine neuen technischen Angaben über die bereits gemeldeten PHP-Schwachstellen. Er empfiehlt, die tatsächlich für Website oder API eingesetzte PHP-Version zu prüfen, einschließlich PHP-FPM oder…
Composer 2.11.0-RC1 steht vor der stabilen Veröffentlichung zum Testen bereit. Die Version entfernt den vorläufigen Source-Fallback und führt eine konfigurierbare Wartezeit für neue Pakete ein. TLS-Prüfungen und Bin-Prox…
Ein Beitrag von Elias Taylor vom 21. Oktober 2026 kommt zu dem Schluss, dass sich die jüngst diskutierte PHP-Schwachstelle nicht zuverlässig gegen eine unveränderte PHP-Installation ausnutzen lässt. Laut Taylor setzen Ta…
PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 schließen CVE-2026-109618 und CVE-2026-109619. Betroffen sind Web-SAPIs, unter geeigneten Bedingungen ist unauthentifizierte Remote Code Execution möglich. Das größte Risiko sieht PH…
