close Warning: Can't synchronize with repository "keplertools" (/srv/svn/keplertools does not appear to be a Subversion repository.). Look in the Trac log for more information.

Opened 10 days ago

Last modified 10 days ago

#5829 assigned Defekt

PHP-Sicherheitslücke php2shell

Reported by: bau Owned by: bau
Priority: unverzüglich erledigen Milestone: Schuljahr 2026/27
Component: Server: allgemein Severity: Unterricht ist schulweit beeinträchtigt
Keywords: Cc: netzwerk

Description

Durch die PHP-Sicherheitslücke ​https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032.pdf?__blob=publicationFile&v=3 sind unsere WebServer mit aktiven PHP bedroht.

Change History (6)

comment:1 by bau, 10 days ago

Cc: netzwerk added

comment:2 by bau, 10 days ago

apache (172.23.16.17)

Ist unsere Anlaufstelle für

  • cloud.kg-fds.de samt testcloud, collabora und podcast
  • moodle.kg-fds.de
  • unifiportal.kg-fds.de
  • services.kg-fds.de

Hier läuft nur ein apache ohne PHP -> nicht betroffen!

Version 0, edited 10 days ago by bau (next)

comment:3 by bau, 10 days ago

SOGo (172.23.16.9)

SOGo selbst in ein C-Programm, das auf Port 20000 seine Dienste anbeitet.
Weitergeleitet wird es von apache.kg-fds.de (sogo.kg-fds.de).
Auf dem Server läuft noch ein apache, der auch sinnloserweise PHP installiert hatte.

  • PHP deinstalliert 
    aptitude purge libapache2-mod-php libapache2-mod-php7.4 libphp-adodb php-common php-imagick php-mysql php-pear php-pgsql php-xml php7.2-common php7.2-mbstring php7.4-cli php7.4-common php7.4-json php7.4-mysql php7.4-opcache php7.4-pgsql php7.4-readline php7.4-xml phppgadmin
  • apache mal abgeschaltet 
    systemctl stop apache2.service
systemctl disable apache2.service
    Das war dann auch gleich mal nix, da der apache auf apache.kg-fds.de den auf den apache auf sogo weiterleitet: 
    systemctl disable apache2.service
systemctl start apache2.service
  • auf apache.kg-fds.de wieder eingeschaltet 
    a2ensite sogo
systemctl reload apache2
Last edited 10 days ago by bau (previous) (diff)

comment:4 by bau, 10 days ago

moodle (172.23.16.40)

Rüdiger hatte bereits die PHP-Version auf PHP 8.1.2-1ubuntu2.28 upgedatet:

root@moodle:~# zgrep "CVE-2026-1096" /usr/share/doc/php8.1-cli/changelog.Debian.gz
    - debian/patches/CVE-2026-109618_109619.patch: Avoid state corruption via
    - CVE-2026-109618
    - CVE-2026-109619

Nach dem Update hatte der Server Schwierigkeiten, den DB-Server zu erreichen. Ich habe in der Config der VM die neue IP fix eingetragen und die Routen angepasst.

comment:5 by bau, 10 days ago

unifi (172.23.16.7)

auch der wurde wohl schon upgedatet:

root@unifi:~# zgrep "CVE-2026-1096" /usr/share/doc/php8.1-cli/changelog.Debian.gz
    - debian/patches/CVE-2026-109618_109619.patch: Avoid state corruption via
    - CVE-2026-109618
    - CVE-2026-109619

comment:6 by bau, 10 days ago

nextcloud (172.23.16.16|cloud.kg-fds.de)

Die Kepler-Cloud lief gestern als erstes wieder:

root@nextcloud:~# zgrep "CVE-2026-1096" /usr/share/doc/php8.5-cli/changelog.Debian.gz 
   + (CVE-2026-109618, CVE-2026-109619): Avoid state corruption via
Note: See TracTickets for help on using tickets.