Böses PHP

Wie Stefan Esser vom Hardened-PHP Project mitteilt, liegen gleich mehrere Probleme in den aktuellen PHP-Releases sowohl in der 4.4.0 als auch in der 5.0.5 vor. Für die 4er Versionen gibt es bereits ein Bugfix-Release, nämlich Version 4.4.1 (Changelog) - bei meinen morgentlichen Updates war es allerdings noch nicht einmal in Debian Sid aktualisiert.
Offenbar lässt sich das $GLOBALS - Array teilweise überschreiben, auch wenn register_globals in der php.ini auf Off steht (was es ja im besten Fall sollte!). Logischerweise werden natürlich besonders PEAR und vBulletin im Advisory erwähnt, wo ich doch beides sehr aktiv einsetze. Normal Wie das Überschreiben der Var's dann konkret aussieht, wird auch gleich beschrieben.

Spontan hat mich dieser Bug in PHP auch dazu angeregt, mir direkt mal Hardened-PHP genauer anzuschauen bzw. zu Überlegungen geführt, das auch in meinen Produktivumgebungen einzusetzen. Allerdings habe ich dazu bislang keine Erfahrungsberichte gelesen. Kann da jemand mit Erfahrungen prahlen?

Für mich heisst das auf jeden Fall in den nächsten Tagen etwas Arbeit durch Updates auf diversen Servern. der eAccelerator muss ja in den meisten Fällen auch wieder neu kompiliert werden ...

PS: Für alle, die noch in der Sommerzeit leben: Bitte schnell ntpdate ntp.ubuntulinux.org ausführen! Ich habe die Stunde an "Mehrschlaf" auf jeden Fall genossen. Nach dem Aufstehen war ich dann auch erfreut zu sehen, dass sämtliche wichtigen Server automatisch die Zeit aktualisiert hatten ...