Der Tag, an dem sich nicht jeder Arbeitnehmer an die Arbeitszeitregelung halten konnte.
21. Oktober 2026 / ein sehr langer Tag
Ein Rant von @fiveoutofnine.
Aus dem Englischen ins Deutsche übertragen.
01 / Es fing mit PHP an.
Also, im Grunde hat PHP heute zwei kritische Bugs bekommen, mit denen jeder Code auf deinem Server ausführen kann, ohne sich überhaupt anzumelden, was schlecht ist, und dann sind die Details durchgesickert, bevor der Patch überhaupt draußen war, was noch schlechter ist, und das funktioniert mit WordPress und MediaWiki und Magento und Joomla und Laravel, und laut Censys laufen so ungefähr 1,5 Millionen Server mit einer Version, für die es keinen Fix gibt,
02 / Alle sagen dasselbe.
also meinte die NSA: „Nehmt euer System offline“, und das FBI meinte: „Nehmt euer System offline“, und CISA und Großbritannien und CERT-EU meinten alle: „Nehmt euer System offline“, und dann hat die Premierministerin von Japan, die tatsächliche Premierministerin, um 5:55 Uhr morgens einen Post abgesetzt und 48,8 Millionen Menschen gesagt, sie sollen ihr System offline nehmen,
03 / Dann eben offline.
also haben alle ihr System offline genommen, die niederländische Cybersicherheitsbehörde zum Beispiel ihre eigene Website, und das niederländische Parlament ging offline, und der Hafen von Rotterdam ging offline, und Finnland und Frankreich und Dänemark haben angefangen, Regierungsseiten vom Netz zu nehmen, und Wikipedia war weg, und Archive.org war weg, und Asana und GOG und Something Awful waren weg, und aus irgendeinem Grund auch das Webmail der Universität Wien, und das war nur PHP.
04 / Ach ja. GitLab auch.
Denn GitLab hat auch noch eine CVSS 10,0 rausgehauen, also den höchsten Wert, den sie überhaupt vergeben, für einen Bug, den es seit 2014 gibt, also zwölf Jahre lang in jeder selbst gehosteten GitLab-Instanz,
05 / pip install katastrophe
und dann wurde LiteLLM 1.107.0 gekapert und hat einen Zugangsdaten-Dieb und einen Fernzugriffstrojaner in jedem einzelnen Wheel und in den Docker-Images ausgeliefert, einschließlich
latest, und du musstest es nicht einmal importieren, Installieren hat gereicht, und es ist schon das zweite Mal dieses Jahr,06 / Die Cloud hat auch einen Tag.
und dann hat Railway sämtliche Deployments auf der ganzen Plattform angehalten, weil jemand an die Umgebungsvariablen gekommen ist, also müssen jetzt alle jedes Secret rotieren, das sie dort jemals gespeichert haben, und TiDB Cloud hat gesagt, dass da ungefähr einen Monat lang jemand mit gestohlenen Zugangsdaten herumspaziert ist, und eine Erpressergruppe behauptet, sie hätte 10,6 Terabyte mitgenommen, und Zeabur wurde zum zweiten Mal in zwei Monaten gehackt und macht jetzt einfach zu, also die ganze Firma,
07 / Es hört nicht auf.
und Node.js hat Remote-Code-Ausführung und einen TLS-Bypass gepatcht, und laut CISA wird Plex gerade aktiv angegriffen, und jemand hat über 300 Tor-Exit-Relays übernommen, um SSH-Passwörter zu stehlen, und SafePay-Ransomware hat über 600 Organisationen der kritischen Infrastruktur erwischt, und Indiens größte Bank hat einen Datenverlust gemeldet, und Japan befindet sich seit dem 9. Oktober offiziell im Cyber-Ausnahmezustand, was den Post um 5:55 Uhr ehrlich gesagt erklärt.
08 / Der private Schlüssel.
Ach, und eMudhra, eine Zertifizierungsstelle, die über 60 Millionen Zertifikate ausgestellt hat und deren ganzer Job darin besteht, nachzuweisen, dass Websites wirklich die sind, für die sie sich ausgeben, sollte eigentlich private Schlüssel verwenden, die aus Zufallszahlen mit über hundert Stellen bestehen, und einer davon war 4. Einfach nur 4. Und die anderen waren so was wie 66 und 237.
09 / Feierabend?
Na ja.
Ist halt Mittwoch.
Nach dem Tweet / Microtimeline
Railway / AI API keys
Railway bestätigte einen Angriff auf interne Systeme: Ein Teil gespeicherter Secrets wurde entschlüsselt. AI-API-Keys standen im Fokus.
OpenRouter: Der separate Breach-Vorwurf war laut Bericht vom 22.10. unbestätigt.
Reaktion am 21.10.Builds und Deployments wurden pausiert; Railway empfahl die Rotation gespeicherter Secrets.
AWS / PHP2Shell
AWS meldete einen PHP2Shell-Angriffsversuch vom 17. Oktober in seinem MadPot-Honeypot-Netz: vier Tage vor der öffentlichen Bekanntgabe.
Weitere Akteure folgten am 21.10. vor Ablauf des Embargos. Ob diese frühen Versuche auf echten Systemen erfolgreich gewesen wären, ließ AWS offen.
CVE-2026-109618CVE-2026-109619Neue Erkenntnis, früherer Angriffsbeginn17.10. beobachtet. 21.10. veröffentlicht. Das Advisory war nicht der Startschuss.
The PHP Foundation / Security
2024 fand ein Foundation-finanzierter PHP-Entwickler bei der Bearbeitung eines Auditbefunds erste Anzeichen des OOM-Speicherproblems. Eine Ausnutzung wurde vermutet, ein konkreter Angriffsweg fehlte.
Das Team entwickelte mehrere Fixansätze. Schwierige Abwägungen, Entscheidungsprobleme und Personalmangel verzögerten die Behebung — von der Foundation offen als „structural failure“ benannt.
CVE-2026-109618Sicherheitsarbeit langfristig tragenDie Foundation finanziert Sicherheitsarbeit und verbessert Entscheidungswege. Wer auf PHP baut, sollte diese Arbeit mittragen.
Fortinet / Security updates
Fortinet kündigte am 21.10. koordinierte Updates für FortiOS, FortiManager und FortiAnalyzer zum 22.10. an: kritische und hochriskante Lücken aus KI-gestützten Sicherheitstests.
Die vollständigen Advisories wurden für den 10. November angekündigt. Diese Mitteilung bestätigte keine aktive Ausnutzung und nannte keine einzelnen CVE-IDs.
Koordinierter Update-Termin · 22.10.Schnell aktualisieren, forderte Fortinet. Öffentlich erreichbare Geräte zuerst.
Ruby / GitLab
Präparierte Regex-Muster konnten beim Kompilieren in Onigmo Speicher beschädigen und GitLab-RCE ermöglichen.
Relevant bei angreiferkontrollierten Mustern; Regexp.timeout schützt hier nicht.
CVE-2026-89078CVE-2026-93577CVE-2026-97229CVE-2026-110264Fix-ReleasesRuby 4.0.9 / 3.4.12 / 3.3.13
Collabora / Nextcloud
CISA nahm die bereits bekannte Collabora-Lücke in den Katalog aktiv ausgenutzter Schwachstellen auf. Ohne Anmeldung konnten Befehle als Webserver-Benutzer ausgeführt werden.
Betroffen: Nextcloud mit der App richdocumentscode vor 26.4.303, während deren CODE-Server nicht läuft. Eigenständige Collabora-Server sind ausgenommen. Das Advisory stammt vom 14.10.
CVE-2026-110447Aktive Ausnutzung / KEV-Aufnahme · 23.10.App auf mindestens 26.4.303 aktualisieren oder entfernen. Nur deaktivieren reicht laut Hersteller nicht.
PHP / Session upload progress
Ein weiterer RCE-Hinweis: Session-Upload-Progress kann zusammen mit einem Wechsel des Session-Serializers zur Laufzeit einen zusätzlichen Angriffspfad öffnen.
Laut PHP nur bei einer ungewöhnlichen Kombination aus Konfiguration und Anwendungscode. Anwendungen ohne Serializer-Wechsel zur Laufzeit sind von diesem Pfad nicht betroffen.
CVE-2026-115560Behebung im regulären ReleasezyklusPHP empfahl bis dahin session.upload_progress.enabled=0. Wer dies bereits gesetzt hatte, sollte es beibehalten.
Google Brotli / Broccoli2Shell
Googles Brotli-Decoder verwechselt fehlerhafte Daten mit fehlenden Daten und schreibt über einen Acht-Byte-Puffer hinaus. Möglich sind Absturz, Speicherabfluss und Remote Code Execution. Entdeckt von OpenAI Codex Security; auch als Node2Shell bekannt. CVSS 4.0: 9,2 / kritisch; Node.js: High.
Betroffen ist das Entpacken fremder Brotli-Daten, auch indirekt über HTTP-Clients, Link-Vorschauen oder Uploads. Der C-Decoder steckt unter anderem in Node.js, Python, Bun, Envoy und Istio; auch eingebettete Kopien etwa in DuckDB müssen geprüft werden. Reines Komprimieren löst die Lücke nicht aus. Der Quellcodefix datiert vom 27.02., die Sicherheitsreleases folgten am 21.10.: 236 Tage später.
CVE-2026-11149726.10. · Weitere Herstellerupdates treffen einUnter anderem Amazon Linux aktualisiert sein Advisory am 26.10.; Node.js hatte bereits am 21.10. Updates. Fixstände: Brotli 1.2.1 (Backports 1.1.1 / 1.0.10), Node.js 22.23.4 / 24.22.1 / 26.12.1, Python Brotli 1.2.1 / brotlicffi 1.2.1.0. Betroffene Laufzeiten, Bibliotheken und eingebettete Kopien aktualisieren, Container neu bauen und ausrollen, Prozesse neu starten. Ein Systempaket-Update ersetzt keine gebündelten Kopien.
TianoCore EDK II / UEFI
Ein 504-Byte-Puffer im EDK-II-PXE-Treiber kann durch präparierte ICMP-Fehlermeldungen überlaufen. Möglich sind ein hängender Bootvorgang und Codeausführung in der UEFI-Firmware, bevor das Betriebssystem lädt. CVSS 4.0: 9,5 / kritisch.
Der Angriff braucht eine betroffene Firmware im laufenden IPv4-/IPv6-PXE-Netzwerkboot und zustellbare ICMP-Pakete. Gezielte Codeausführung setzt Kenntnis des Firmware-Builds voraus. Reiner Festplattenboot erreicht diesen Angriffspfad nicht. Das ursprüngliche Advisory erschien am 22.10.
CVE-2026-97631Quellcodefix vorhanden / Hersteller-Firmware nötigEin Fix-PR war schon am 28.09. öffentlich; am 15.10. wurde der Quellcodefix integriert. Entscheidend sind passende BIOS-/UEFI-Updates des Geräteherstellers. Nicht benötigten Netzwerkboot bis dahin abschalten.