Stefan Esser hat in diesen Tagen mehrere gravierende Sicherheitslücken in der Scriptsprache PHP entdeckt. Durch einen Dateiupload könne ein Cracker beliebigen PHP-Code auf dem entsprechenden System ausführen und so böswillige Vorgänge ungehindert vollziehen.
Hervorgerufen kann dies durch Seiten, die auf der PHP-Funktionsbibliothek PEAR oder der Boardsoftware vBulletin basieren. Weitere Sicherheitslücken könnten unter Umständen dazu führen, HTML-Code einzuschleusen, der das Auslesen von Domain-Cookies veranlassen könnte. Allerdings wird die dafür zuständige Funktion in aller Regel nur in Testumgebungen eingesetzt.
Die dritte Schwachstelle wird ebenfalls als eher unkritisch gesehen und könnte gegebenfalls den PHP-Kern in einen Ausgangszustand versetzen. Betroffen sind ausnahmslos alle Versionen der Sprache. Nutzern von PHP4 wird empfohlen, auf die neue, nicht anfällige Version 4.4.1 umzusteigen. Für PHP5 steht momentan noch kein Update bereit.