Hugo

Heute Nachmittag, 16 Uhr: Das PHP-Projekt veröffentlicht Updates gegen zwei kritische Schwachstellen. CERT-EU warnt, ein Proof-of-Concept kursiert schon, und die übliche Uhr läuft: Stunden bis Tage, dann gibt’s die ersten Exploits in freier Wildbahn.

Normalerweise wäre das für mich ein Fall wie bei wp2shell – sofort patchen, Logs checken, nervös auf die Uhr schauen. Diesmal nicht. Und genau das ist der Punkt.

Was an den PHP-Lücken Sache ist

• Zwei Code-Einschleusungs-Schwachstellen, die Remote Code Execution ermöglichen
• Betroffen ist laut Berichten praktisch jede PHP-Version seit PHP 5 – die Fehler stecken tief im Code
• Unbestätigten Berichten zufolge zielt ein kursierender Proof-of-Concept auf LiteSpeeds lsphp8-Server-API
• Der naheliegende Workaround (session.upload_progress.enabled = 0) reduziert die Angriffsfläche höchstens, schützt aber nicht vollständig – patchen bleibt Pflicht
• CERT-EU und andere Stellen raten zu zügigem Patchen, teils sogar dazu, PHP-Server notfalls kurz offline zu nehmen, bis der Patch sitzt

Das ist kein Nischenproblem. PHP treibt nach wie vor einen riesigen Teil des Webs an – WordPress, Shopsysteme, selbstgebastelte Legacy-Anwendungen, halb das Internet eben.

Meine PullRequests wurden genehmigt

Ich wartete ja noch auf die Freigabe meiner PRs , diese wurden gerade genehmigt und die Version 0.10.0 veröffentlich. Daher wechsle ich wieder auf den Orginal-Brunch von Nightfall zurück.

Neues Templatesystem in Hugo v0.146.0

Hugo hat mit Version 0.146.0 ein neues Template-System eingeführt. Ich habe dafür PRs für diese Anpassungen und für mein Pagination‑Update erstellt; beide wurden inzwischen zusammengeführt (Pagination: 25.08.2025; Anpassungen: 28.08.2025).

Da ich mir unsicher war, wie lange die „alten“ Theme-Layouts noch unterstützt werden, ich aber mit der aktuellen Hugo-Version arbeiten möchte, habe ich einen Clone dieses Themes erstellt und meine Anpassungen erst einmal dort übernommen.

Da man in Hugo das Theme einfach in der Config umstellen kann, ist es relativ unkompliziert, hier auf meine Version zu wechseln. Kompliziert wird es erst dann, wenn der Theme-Owner nicht alle meine Änderungen übernimmt und ich später wieder den aktuellen Stand von ihm beziehen möchte.