Startseite
Podcasts
Webprofessionals Podcast -powered by goneo Podcast
Der PHP2Shell-Fall: Wenn das Fundament brennt

Der PHP2Shell-Fall: Wenn das Fundament brennt

Webprofessionals Podcast -powered by goneo vor 3 Wochen

PHP2Shell zerlegt das Web-Fundament – Anatomie des RCE-Bugs, Maschinenraum-Realität und deine 4-Punkte-Checkliste

0:00

31:28

Podcast

Webprofessionals Podcast -powered by goneo

153 Episoden

Themen, die Webmacher, Webworker, Webprofessionals interessieren

Computer Internet Technologie Wirtschaft

Podcaster

mkaekenm

goneo Webmacher & Webprofessionals Podcast – jeden Freitagabend
mit Pains & Gains für Webseitenbetreiber, Freelancer und den
pragmatischen Mittelstand. Eigentlich wollten wir heute gemütlich
über PHP vs. JavaScript sprechen. Doch am Mittwochnachmittag um
13:30 Uhr schlug die Sicherheitsmeldung ein, die jede
Frontend-Debatte beendet hat: PHP2Shell (CVE-2026-109618 und
CVE-2026-109619, CVSS 9.2). Ein Fehler, der seit PHP 5.4 – also
seit 14 Jahren – unbemerkt im C-Kern von PHP schlummerte und Remote
Code Execution erlaubt, noch bevor WordPress, Joomla oder Typo3
überhaupt eine Zeile Code ausführen können. Wenn unten im Keller
das Fundament brennt, diskutiert oben im Penthouse niemand mehr
über die Farbe der Vorhänge. In Episode 160 seziert Markus die
Anatomie dieses Angriffs: Warum ein Speicherüberlauf mit unsauberem
longjmp() die Haustür schmelzen lässt, bevor die Klingel läutet. Er
blickt hinter die Kulissen im Rechenzentrum – von sofortigen
WAF-Filtern bis zum FPM-Rolling-Restart – und kramt eine legendäre
Anekdote aus dem Jahr 2000 hervor, warum man Pufferüberläufe nicht
per Chef-Dienstanweisung verbieten kann. Dazu gibt es die konkrete
Vier-Punkte-Checkliste für dein Setup am Freitag. Kapitelmarken:
00:00 Cold Open: Der Mittwochnachmittag & das brennende
Fundament 02:45 HOUSEKEEPING: KI-Crawler-Stress auf Servern &
hosttest-Abschluss 07:00 Drei News in drei Minuten: - News 1:
Jensen Huang in Berlin – Wenn der Halbleiter-König „Atome statt
Elektronen“ feiert - News 2: Der fliegende Roadster – Wenn das Auto
zur Browser-Animation wird - News 3: EU-Chatkontrolle, die
Palantir-Bombe und die Matrix-Antwort 12:30 DER AUSNAHMEZUSTAND:
PHP2Shell als Meme und Realität (76 % des Webs betroffen) 16:25 DIE
ANATOMIE: Warum die Haustür schmilzt, bevor es klingelt (longjmp
& Stale Global State) 21:19 DER BLICK IN DEN MASCHINENRAUM: Wer
betreibt, wer haftet? (WAF, Pipelines & die ILOVEYOU-Anekdote)
25:24 DAS DIGITALE ASBEST & EURE CHECKLISTE FÜR HEUTE: Staging,
FPM-Restarts & Hygiene Eure 4-Punkte-Checkliste für heute
(Small Web Sanctuary): 1. Aktive PHP-Version prüfen: Im
Kundencenter oder WP-Dashboard nachsehen. Alles unter PHP 8.2 ist
End-of-Life und akut gefährdet. 2. Eigene Server/VMs patchen: Wer
Root-Server oder Docker betreibt, muss Pakete ziehen und zwingend
php-fpm neu starten. 3. Versionssprünge im Staging testen: Nicht
blind live umschalten – 1-Klick-Staging nutzen, Plugins testen,
dann deployen. 4. Upload-Verzeichnisse auditieren: Nach
verdächtigen Webshell-Dateien und aktuellen Änderungsdaten Ausschau
halten. Links zur Episode: - goneo Blog & Social Hub:
https://social.goneo.de - PHP Foundation Notfall-Release &
Sicherheitshinweise: https://thephp.foundation/ - BSI Warnmeldung
zu PHP2Shell (CVE-2026-109618 / CVE-2026-109619):
https://www.bsi.bund.de/ - News 1 – Jensen Huangs Berlin-Rede zu
Industrie-KI: https://www.nvidia.com/ - News 3 – Matrix.org zu
Chatkontrolle & E2EE: https://matrix.org/ - Folge 159 „Die
Domain als Grundbuch“: https://social.goneo.de/podcast-2/