Security

Artikel zum Thema Security von Sebastian Bergmann

Ein verschlossener Versandkarton wird über einen Tresen gereicht, dazu ein Klemmbrett mit einem Formular. Auf dem Karton klebt ein Lieferschein, der die enthaltenen Artikel mit Anzahl und Preis auflistet. Ein Sinnbild für eine Stückliste, die beim Packen entsteht und zum Paket gehört, statt nachträglich erraten zu werden.

5. August 2026

Dein composer.lock weiß, was ein Autohersteller nur vermutet

Ein Autohersteller führt in seiner Open Source-Attribution ein Android-Botnet auf. Der Eintrag verrät, wie die Liste entstanden ist: durch Scannen statt durch Deklaration. Warum eine deklarierte Abhängigkeitsliste mehr wert ist als eine gescannte und wie das PHPUnit-PHAR seinen eigenen Inhalt offenlegt.

Eine Hand drückt den roten Not-Aus-Schalter einer Industriemaschine. Ein visuelles Sinnbild für einen Schalter, der die Ausführung von Code anhält: genau das, was zend.disable_eval für eval() tut.

29. Juli 2026

Wenn statische Analyse deinen Code ausführt

Eine Sicherheitslücke in PHPCSUtils zeigt: Ein statisches Analysewerkzeug führt Code aus, den es nur lesen sollte. Warum disable_functions gegen eval() machtlos ist und wie ein Schalter in der PHP-Engine aussehen könnte, der eval() abschaltet.

Eine schwere stählerne Kette liegt auf dunklem Grund. An der Stelle eines fehlenden Kettenglieds verbindet ein dünnes, verknotetes orangefarbenes Seil die beiden Enden. Eine bildliche Metapher für eine Lieferkette, deren Stärke sich am schwächsten Glied entscheidet.

15. Juli 2026

Composer und Packagist im Supply Chain-Stresstest

2025 und 2026 waren ein Stresstest für die Lieferketten aller Package-Ökosysteme. Eine Bilanz für Composer und Packagist: was PHP richtig macht, was es lernen kann — und wem unsere Infrastruktur gehört.

Eine mechanische Stoppuhr liegt auf einer verwitterten Holzfläche und wartet darauf, gestartet zu werden. Ein Sinnbild dafür, dass die Dauer eines Testlaufs zu einer messbaren Größe geworden ist, die über mehr entscheidet als nur über Entwicklerkomfort.

12. Juni 2026

Geschwindigkeit als Sicherheitsmerkmal

Wie schnell ist deine Testsuite, und welche Schwachstellen findet ein LLM-Agent deshalb nicht? Was lange ein Produktivitätsthema war, gehört heute in die Security-Diskussion.

Ein junger Mann in Jeans und einem weißen Langarmhemd, in Schwarz-Weiß dargestellt, schwingt einen großen grünen Schild mit einem leuchtend roten Häkchen darauf und schlägt damit eine Flut zerknüllter Papierbälle vor einem sanften pfirsichfarbenen Hintergrund weg – eine Metapher dafür, wie Tests als aktive Verteidigung eingesetzt werden, um Sicherheitslücken auszuschalten, bevor sie in die Produktion gelangen können.

10. Juni 2026

Test-Driven Security

Für jede Schwachstelle, die wir in Produktion finden, gibt es einen Test, der sie verhindert hätte, wenn er existiert hätte. Test-Driven Security behandelt die CWE-Liste als Checkliste und PHPUnit als das Werkzeug, das wir ohnehin schon in unserem Workflow haben.

Nur was existieren muss, hat eine Tür. Die sicherste Tür ist die, die nie eingebaut wurde.

20. Mai 2026

Angriffsfläche beginnt im Repository

Wir schützen, was existiert. Aber fragen wir oft genug, ob es überhaupt existieren sollte? Wie das Entfernen ungenutzter Branches vor Poisoned Pipeline Execution schützen kann.

Eine schwere Stahlkette zerbricht an ihrem mittleren Glied in einem Schauer rotoranger Funken, während Fragmente binärer Ziffern vor einem tiefblauen, von Schaltkreisen durchzogenen Hintergrund nach außen stieben. Ein visuelles Sinnbild für das Supply-Chain-Sicherheitsversagen, das die Härtung von Workflows verhindern soll.

17. Mai 2026

GitHub Actions Workflows härten

Ein Rundgang durch die GitHub Actions-Schwachstellen in den Workflows von PHPUnit: wie jede einzelne hätte ausgenutzt werden können und was geändert wurde, um sie zu schließen.

Ein Türsteher in schwarzem Anzug, mit Ohrhörer, erhebt die Hand zu einer bestimmten „Stopp“-Geste am Eingang eines Clubs. Hinter ihm wartet eine Schlange hoffnungsvoller Gäste hinter einer goldenen Samtkordel. Eine bildliche Metapher für einen Wächter, der entscheidet, wer hineinkommt und wer nicht.

18. April 2026

Der Türsteher im Dependency-Resolver

Composer 2.9 verlagert die Durchsetzung von Security-Advisories aus einem optionalen Drittanbieter-Paket in den Resolver selbst. Dieser Artikel zeigt, wie der Mechanismus funktioniert, wie er sich zu den älteren Paketen verhält, die er ersetzt, und an welchen Stellen das neue Verhalten dich auf eine Weise treffen kann, wie es das alte, passive Audit nie getan hat.

Das Bild zeigt ein abstraktes, futuristisches Design, dessen zentrales Motiv ein dominantes, leuchtendes Fragezeichen ist. Es entsteht aus einer chaotischen, wellenförmigen Landschaft aus geometrischen Pixeln und Voxel-ähnlichen Strukturen in intensiven Pink-, Violett- und Blautönen. Diese erzeugen Tiefe und Dynamik. Der chaotische Untergrund wirkt wie ein brodelndes, digitales Terrain, das Unordnung und Komplexität symbolisiert. Das Fragezeichen ragt stabil und fragend aus ihm auf – perfekt als visueller Mood für Fuzz Testing, bei dem zufälliges Chaos Sicherheit aufdeckt.

8. April 2026

Sicherheit durch Chaos

Dieser praxisnahe Deep Dive in die Philosophie hinter "Security through chaos" zeigt, dass Sicherheit nicht aus perfekter Voraussicht entsteht, sondern aus dem Überleben von Chaos.

Das Bild zeigt ein gelbes Verkehrsschild in Rautenform mit der schwarzen Aufschrift "DEAD END". Es steht in einer urbanen Umgebung, vor einem Gebäude mit großen Fenstern und einem Metallgitter. Im Hintergrund sind weitere Gebäude mit typischen Außentreppen aus Metall zu sehen, wie sie in manchen Stadtteilen häufig vorkommen. Das Schild signalisiert, dass die Straße an dieser Stelle endet und keine Durchfahrt möglich ist.

28. November 2022

PHP 7: Security-Support endet. Was nun?

Der Security-Support für PHP 7 ist beendet. Was bedeutet das für dich?

Das Bild zeigt ein hölzernes Schild mit der Aufschrift "CLOSED". Das Schild ist schräg fotografiert und wirkt durch die warme, bräunliche Farbgebung sowie die Unschärfe und das starke Korn im Bild besonders stimmungsvoll und nostalgisch. Es erinnert an eine Aufnahme aus einem kleinen, gemütlichen Laden oder Café zur Schließzeit.

21. Februar 2020

PHPUnit: Ein Sicherheitsrisiko?

Die lange Geschichte einer Sicherheitslücke, die keine hätte sein müssen.

Bleib auf dem Laufenden

Erhalte alle zwei Monate eine umfassende Analyse neuer PHPUnit-Funktionen, Implementierungsdetails sowie der strategischen Überlegungen hinter jeder Verbesserung per E-Mail.

Newsletter abonnieren