// LINUX-MAGAZIN — LINUX & OPEN SOURCE
Kritische PHP-Schwachstellen waren seit Jahren bekannt
In einem ungewöhnlich offenen Statement räumt die PHP Foundation auf ihrer Webseite ein, dass die Schwachstellen hinter “PHP2Shell” bereits seit einem Audit im Jahr 2024 bekannt waren. Angst vor Inkompatibilitäten und starre Entscheidungsstrukturen blockierten monatelang den nötigen Fix der Zend-Engine.
Der Auslöser der Notfall-Updates für PHP (CVE-2026-109618 und CVE-2026-109619) erweist sich bei genauerem Hinsehen als hausgemachtes Governance-Debakel. Wie die PHP Foundation in einer ungewöhnlich offenen Stellungnahme einräumte, waren Kernkomponenten der unter “PHP2Shell” bekannten Sicherheitslücken bereits seit zwei Jahren im Projekt bekannt. Im Rahmen eines von der deutschen Sovereign Tech Agency geförderten Audits stieß die Sicherheitsfirma Quarkslab bereits 2024 auf die kritischen Speicherfehler in der Zend-Engine.
Dass dennoch zwei Jahre bis zur Bereitstellung von Patches vergingen, liegt an tiefgreifenden Zielkonflikten und gelähmten Strukturen innerhalb der Organisation. Ein zentraler Knackpunkt war das Dilemma der Abwärtskompatibilität: Eine saubere Behebung der fehlerhaften Speicherbereinigung bei Out-of-Memory-Abbrüchen hätte fundamentale Eingriffe in die C-APIs des Zend Memory Managers erfordert. Dies hätte das Aus für zahlreiche etablierte C-Extensions bedeutet und gedroht, das gesamte Ökosystem zu spalten. Um diese Inkompatibilitäten zu vermeiden, versuchte das Team monatelang, das Problem ohne tiefgreifende Architekturänderungen zu lösen.
Erschwerend kam eine Entscheidungslähmung im Sicherheitsteam hinzu. Da das Gremium nach dem Prinzip strikter Einstimmigkeit arbeitete, führte jedes Bedenken bezüglich möglicher neuer Denial-of-Service-Vektoren oder Schnittstellenbrüche dazu, dass Entwürfe verworfen wurden. Der Mangel an dedizierten Kernentwicklern mit tiefem Verständnis für die Interna der Zend-Engine verzögerte den Prozess zusätzlich. Erst als externe Sicherheitsforscher mit modernen Analysewerkzeugen voll funktionsfähige Exploit-Ketten demonstrierten, geriet das Projekt unter Handlungszwang. Die PHP Foundation bezeichnete die Verzögerung als “strukturelles Versagen” und kündigte an, künftig Mehrheitsentscheidungen im Security-Board einzuführen, um weitere Blockaden zu verhindern.
Mit PlanetFOSS hat der ehemalige Redaktionskollege Christoph Langner einen neuen Aggregator für Nachrichten aus der Linux- und Open-Source-Welt geschaffen, der derzeit News aus 172 deutsch- und englischsprachigen Quellen zusammenfasst.
Eine kritische Sicherheitslücke in mehreren Data-Center-Produkten von Atlassian ermöglicht Angriffe über das Internet. Angreifer können die Authentifizierung umgehen und ohne reguläre Anmeldung bestimmte Dateien auslesen. Die Schwachstelle wird bereits angegriffen.
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken im Kern der Programmiersprache PHP veröffentlich. Die unter dem Namen "PHP2Shell" zusammengefassten Schwachstellen ermöglichen unauthentifizierten Angreifern das Ausführen von beliebigem Schadcode auf Servern. Aktuellen Informationen...
Laut einer Umfrage von Washington Post, ABC News und Ipsos lehnt eine deutliche Mehrheit der Amerikaner den Bau neuer Rechenzentren in den Vereinigten Staaten ab, glaubt, dass künstliche Intelligenz viele Arbeitsplätze vernichten wird, und kritisiert den Umgang von Präsident Donald Trump mit...
Der „leichtgewichtige VM-Manager“ von Canonical fährt mit einem knackigen Befehl ein komplettes Ubuntu hoch. Die neue Version kann das endlich auch mit Debian und Fedora. Obendrauf gibt es Availability Zones und einen neuen HCS-Treiber für Windows.
Grundlage der neuen Chips ist Googles Neural Processing Unit (NPU) Coral, deren Accelerator-Design im vergangenen Jahr unter Apache-2.0-Lizenz veröffentlicht wurde, was es anderen Firmen gestattet, die Technologie kostenfrei in ihre Prozessoren zu integrieren. Im aktuellen Fall ist es der...