Hallo! Aktuell gibt es für Debian ja bereits einen Patch, für Ubuntu sehe ich jedoch derzeit den Status noch auf "Needs evaluation". Wir beobachten ja derzeit, dass die Zeitfenster Patches einzuspielen immer kürzer werden. Insoweit also Debian bereits anerkannt hat, dass es hier zeitnah ein Patch braucht, ist es dann so wahrscheinlich, dass dies für Ubuntu nicht ebenso der Fall wäre?
https://ubuntu.com/security/CVE-2026-111497
Aktuell bin ich auf einer ungepatchten curl Version etc. Soweit ich weiß und diese Lücke verstanden habe, ist es aber recht unwahrscheinlich fernab Node.JS usw. sich hier unter Apache & nginx etwas einzufangen, da es um den Decoder-Prozess geht? Aber wenn ich z.B. via PHP folgendes Aufrufe und manipulierte Eingaben erhalte, bringt mir auch Apache / nginx hier nichts:
$ch = curl_init('https://example.com/api');
// Aktiviert alle unterstützten Kompressionsverfahren
curl_setopt($ch, CURLOPT_ENCODING, '');
$response = curl_exec($ch);
curl_close($ch);
Wichtig: WordPress scheint genau dies zu machen, also alle Kompressionsverfahren zu supporten. Und mal angenommen mein Zahlungsanbieter oder andere APIs spielt den php2shell Patch oder anderes nicht schnell genug ein, könnte nun via brotli doch alles andere angegriffen werden, indem man auf den Decoder Prozess geht.
Kann man generell sagen, dass Debian hier in der Regel schneller bei Patches ist? Oder ist hier mal Ubuntu und mal Debian ein paar Tage schneller, sodass es sich im Kern nichts nimmt?
