Reddit-Diskussion fordert schnelle Prüfung von PHP-Updates

Der vorliegende Beitrag ist ein ELI5-artiger Reddit-Post, der davor warnt, dass PHPs Nutzung von setjmp und longjmp aus C Angreifern das Verketten von Fehlern erleichtern könnte. Im Auszug fehlen eine CVE und eine betroffene PHP-Version. Ein offizielles Advisory oder Datum nennt der Text nicht.

Die zentrale These lautet, dass PHP in C geschrieben ist und setjmp sowie longjmp für die Fehlerbehandlung verwendet. Nach Darstellung des Autors habe PHP-Code seit etwa 2004 bestimmte Fehler falsch verarbeitet. Damals habe die Dokumentation diese C-Mechanismen bereits als schwer nachvollziehbar beschrieben. Der Beitrag behauptet, ein Angreifer könne einen Fehler auslösen und ihn mit einer weiteren Schwachstelle ausnutzen. Technische Belege oder eine Liste betroffener Versionen nennt er nicht.

Die Diskussion meint, LLMs könnten das Verketten solcher kleiner Fehler erleichtern. Sie bezieht die angebliche Gefahr auf Software wie WordPress und Drupal und schätzt, dass ein Viertel bis die Hälfte aller Webserver betroffen sein könnte. Für diese Zahl liefert sie keine Begründung. Empfohlen wird ein Upgrade auf PHP-Versionen ohne die genannten Mechanismen, konkrete Versionsnummern fehlen.

Als Schutzmaßnahmen nennt der Beitrag eine kleinere Angriffsfläche und einen begrenzten langfristigen Datenbestand. Gehärtete Infrastruktur und verlässliche Wartung folgen, geübte Reaktionen auf Vorfälle beschließen die Liste. AppArmor und SELinux könnten die Folgen eines Einbruchs begrenzen. Der Autor zieht Weinbergs Gesetz als Vergleich heran und erwartet weitere C-Sicherheitsprobleme, ähnlich wie bei früheren Fortschritten durch Fuzzing. Seine These lautet, dass LLMs vorhandene Fehler sichtbar machen und nicht selbst erzeugen.