Elriwa offline

[Carsten]

Bei Facebook schrieb Elriwa:

"Sicherheit geht vor – elriwa vorübergehend offline!
Aufgrund einer aktuell bekannt gewordenen, schwerwiegenden Sicherheitslücke in der weltweit eingesetzten Programmiersprache PHP haben wir unseren Onlineshop vorsorglich offline genommen.
Wichtig: Bei elriwa gab es keinen Sicherheitsvorfall! Es handelt sich um eine allgemeine PHP-Sicherheitslücke und nicht um ein spezifisches Problem unseres Shops.
Da uns der Schutz eurer Kundendaten besonders wichtig ist, warten wir die notwendigen Sicherheitsupdates ab und prüfen unsere Systeme sorgfältig.
Wir hoffen, schnellstmöglich wieder für euch online zu sein, und danken euch für euer Verständnis!
Euer elriwa-Team"

 

[jenos]

zwei kritische Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619) in PHP
betrifft aktuell viele Shops und allgemeine Webseiten

 

[Zilli]

Das betrifft alle Server die PHP in den Versionen ab PHP 5.x bis 8.x nutzen und somit auch Foren.

 

[RoFra]

5 sollte ja eh schon tot sein, aber es ist trotzdem das halbe Internet.
Ich bin ja ein großer python Freund...

 

[iwii]

Watt ein Glück, dass das bei mir nur noch Hobby ist. Erst mal zur Sicherheit (also eher aus Faulheit) eine aktuelle Kopie meiner VMs gezogen und dann werde ich einfach mal abwarten. Panik war noch nie ein guter Berater.

 

[RoFra]

Ich hab mir auch gerade gedacht "gut dass ich hier nur rumsitze". Bei mir wär schon wieder die Hölle los... so guck ich entspannt zu was, wann wieder geht

tl;dr: This is potentially one of the most serious security issues PHP has ever faced. Working exploits are publicly available, and you should upgrade immediately. No ifs, no buts. Get upgraded today to the latest patched PHP version your environment can support.

 

[AG_2_67]

Der Fremo hat auch vorsorglich die Webseite offline genommen. Man wartet auf den Patch.

 

[mcpilot]

Die Elriwa Seite ist wieder online.

 

[iwii]

Hatte ich doch den richtigen Riecher. Hier ist es gut zusammengefasst:

und am Ende heißt es mal wieder: ja, es gibt eine Lücke und ja, es müssen viele Zufälle zusammenkommen, dass man damit wirklich was machen kann. Vor ein paar Jahren hätte es nie so einen Aufstand deswegen gegeben. Man hätte es einfach irgendwann mitgepatcht und keiner hätte es gemerkt. Alles nur noch Vibecoder mit Flatternerven.

 

[chap]

Bei einer aktuellen Distribution hat gegen 17uhr ein apt update && apt upgrade (beliebig auch dnf, yum, ...) ausgereicht und php war aktualisiert.
Wer natürlich schon seit ewigen Zeiten unsupportete Versionen nutzt, dem sei der Mehraufwand gegönnt.

 

[dampfbahner]

Nach dem Video war die Sicherheitslücke seit über 20 Jahren bekannt. Und heute haben die Angreifer KI. Lieber rechtzeitig eingreifen.