Für diese außerplanmäßige Bonusfolge haben wir uns mit unserem Gast Hans-Christian Otto, um über die kritischen Sicherheitslücken in PHP zu sprechen, die unter dem Namen PHP2Shell für Aufsehen sorgen. Gemeinsam schauen wir uns an, wie die Schwachstellen in der PHP-Runtime funktionieren, warum sie so gefährlich sind und weshalb ihre Entdeckung und Veröffentlichung für so viel Aufregung gesorgt haben.
Dabei geht es uns nicht nur um die technischen Hintergründe und die Rolle von KI bei der Suche nach Sicherheitslücken. Wir sprechen auch über die Menschen, die solche Probleme in Open-Source-Projekten beheben müssen, über den Umgang mit Sicherheitsmeldungen und über die Frage, wer eigentlich die Verantwortung für die Finanzierung kritischer Software-Infrastruktur trägt.
Unser Sponsor
Alle reden von Automation – aber wo betreibst du eigentlich deine Tools?
Egal ob n8n oder andere Container-Setups: Mit dem Container-Hosting von mittwald läuft deine Anwendung in wenigen Minuten. Die nervige Konfiguration? Geht easy von der Hand – inklusive Vorschlägen für Umgebungsvariablen und Entrypoints.
Also: Fang an zu automatisieren. Dein erster Schritt ist ein Hosting bei mittwald. 👉 mittwald.de/workingdraft
Shownotes
[00:01:05] PHP2Shell: Kritische Sicherheitslücken in PHP
Wir beginnen mit den technischen Hintergründen von PHP2Shell und klären, warum die Schwachstellen nicht etwa in WordPress, TYPO3 oder anderen PHP-Anwendungen stecken, sondern in der PHP-Runtime selbst. Wir besprechen die Möglichkeiten zur Remote Code Execution, die potenziellen Folgen für Datenbanken und sensible Nutzerdaten sowie die Frage, welche Installationen tatsächlich angreifbar sind. Außerdem rekonstruieren wir den ungewöhnlichen Ablauf der Veröffentlichung: von den ersten Entdeckungen durch KI-gestützte Sicherheitsanalysen über vorzeitig bekannt gewordene Informationen bis zu den kurzfristig koordinierten Sicherheitsupdates. Dabei diskutieren wir auch die öffentliche Berichterstattung, die unter anderem heise online und Golem aufgegriffen haben.Anschließend beschäftigen wir uns mit der Rolle künstlicher Intelligenz bei der Entdeckung von Sicherheitslücken. KI-Systeme finden zunehmend auch Fehler, die über Jahre unentdeckt geblieben sind. Das ist einerseits ein Gewinn für die Sicherheit, andererseits stellt es die Maintainer von Open-Source-Projekten vor erhebliche Herausforderungen. Wir sprechen über die steigende Zahl an Security Reports, die aufwendige Prüfung vermeintlicher Schwachstellen und die begrenzten Ressourcen der Projekte. Der Bericht der PHP Foundation gibt uns Einblicke in die Arbeit hinter den Sicherheitsupdates. Wir diskutieren außerdem, wie angemessen die öffentliche Alarmierung bei solchen Sicherheitslücken ist und was passiert, wenn KI-gestützte Sicherheitsforschung künftig immer häufiger vergleichbare Funde liefert.
1:01:41