Security

Artikel zum Thema Security von Sebastian Bergmann

Alle Artikel per RSS abonnieren

Eine weiße Stempeluhr mit großem schwarzem Zifferblatt steht im Vordergrund auf einer Ablage, unter dem Zifferblatt sitzt ein Schlüsselschloss. Dahinter hängen unscharf Reihen von Stempelkarten in ihren Fächern an der Wand. Eine bildliche Metapher für eine verschlossene Uhr, die niemand verstellen kann, der an ihr stempelt.

30. Oktober 2026

Composer lernt zu warten

Composer 2.11 hält neue Releases zurück, bis jemand Gelegenheit hatte, sie sich anzusehen, und misst die Wartezeit an einer Uhr, die Paketautoren nicht stellen können. Warum ich die Uhr für die wichtigere Entscheidung halte, und warum der fehlende Default mehr bedeutet, als das Changelog vermuten lässt.

Sebastian Bergmann sitzt in einem gelben T-Shirt mit Ansteckmikrofon an einem langen Holztisch und erklärt etwas mit erhobener Hand. Im Vordergrund sitzen zwei Personen mit dem Rücken zur Kamera: Links sitzt Ines Chargui mit langen dunklen Haaren in einem grünen Strickpullover vor einem aufgeklappten Laptop, rechts filmt jemand in einem schwarzen Hoodie mit der Aufschrift „TEAM entwickler.de“ das Interview mit einem Smartphone auf einem Gimbal, auf dessen Display Sebastian zu sehen ist. Im Hintergrund stehen eine Stehlampe mit schwarzem Schirm und ein niedriges Regal mit Zeitschriften und silbernen Vasen vor einer hinterleuchteten Wand.

29. Oktober 2026

Ungeprüft

Ein Interview auf der International PHP Conference über das neue Sicherheitsverhalten von Composer, PHP2Shell, Supply Chain Security und LLM-basierte Werkzeuge.

Dieses Bild zeigt ein altes, verschmutztes Manometer im Vordergrund eines Maschinenraums. Der schwarze Zeiger steht zwischen fünf und sechs bar, mitten im rot markierten Bereich der Skala. Im unscharfen Hintergrund sind Rohre, Ventile und weitere Anzeigen in rotem und blauem Licht zu erkennen. Die Bildsprache trifft den Kern des Artikels: Das Problem stand lange im roten Bereich, und ob die Anlage hält, hängt an den wenigen, die sie warten.

22. Oktober 2026

Hass behebt keine Sicherheitslücken

Die PHP-Releases vom 21. Oktober 2026 beheben zwei kritische Sicherheitslücken, und du solltest sofort aktualisieren. Dass die Behebung zu lange gedauert hat, nennt die PHP Foundation selbst ein strukturelles Versagen, das auch an fehlenden Ressourcen lag. Der Hass, der jetzt über PHP ausgeschüttet wird, ändert daran nichts, eine breitere Finanzierung schon.

Zwei Einmachgläser mit Bügelverschluss und Gummiring, gefüllt mit eingemachten Birnenhälften und Nelken, stehen auf einem hellblauen Holztisch. Davor liegen eine aufgeschnittene Birne und Sternanis, dahinter frische grüne Birnen. Ein Sinnbild für ein Archiv: konserviert, verschlossen und nur so lange vertrauenswürdig, wie sich sein Verschluss prüfen lässt.

20. Oktober 2026

Die Vergangenheit ruhen lassen

2019, nach dem Einbruch in pear.php.net, haben wir gefragt, ob und wie sich das PEAR-Projekt beenden lässt. Sieben Jahre später beantwortet ein RFC diese Frage. Was er richtig macht, und warum ein eingefrorenes Archiv noch kein sicheres ist.

Nahaufnahme des Ventils eines roten Feuerlöschers: Die Nadel des Manometers steht im grünen Bereich, eine gelbe Plombe sichert den Sicherungsstift, und am Hals hängt ein gelber Anhänger. Der Anhänger hat Felder für Modellnummer und Hersteller, die Kennung des Eigentümers und ein monatliches Prüfprotokoll mit Spalten für Datum, prüfende Person und Bemerkungen. Jedes Feld ist noch leer. Ein Sinnbild für einen Component Record: Das Formular existiert, aber es beweist erst etwas, wenn jemand es ausfüllt.

5. Oktober 2026

Was ISO/IEC 18974 von deinem composer.lock will

ISO/IEC 18974 beschreibt, was ein Programm für die Sicherheit von Open-Source-Komponenten nachweisen muss. Composer erzeugt einen großen Teil dieser Nachweise nebenbei bei jedem Build. Was es nicht erzeugt: ein Archiv, einen zweiten Blick auf bereits ausgelieferte Software und einen Namen neben jeder Verantwortung.

Ein verschlossener Versandkarton wird über einen Tresen gereicht, dazu ein Klemmbrett mit einem Formular. Auf dem Karton klebt ein Lieferschein, der die enthaltenen Artikel mit Anzahl und Preis auflistet. Ein Sinnbild für eine Stückliste, die beim Packen entsteht und zum Paket gehört, statt nachträglich erraten zu werden.

Dein composer.lock weiß, was ein Autohersteller nur vermutet

Ein Autohersteller führt in seiner Open Source-Attribution ein Android-Botnet auf. Der Eintrag verrät, wie die Liste entstanden ist: durch Scannen statt durch Deklaration. Warum eine deklarierte Abhängigkeitsliste mehr wert ist als eine gescannte und wie das PHPUnit-PHAR seinen eigenen Inhalt offenlegt.

Eine Hand drückt den roten Not-Aus-Schalter einer Industriemaschine. Ein visuelles Sinnbild für einen Schalter, der die Ausführung von Code anhält: genau das, was zend.disable_eval für eval() tut.

Wenn statische Analyse deinen Code ausführt

Eine Sicherheitslücke in PHPCSUtils zeigt: Ein statisches Analysewerkzeug führt Code aus, den es nur lesen sollte. Warum disable_functions gegen eval() machtlos ist und wie ein Schalter in der PHP-Engine aussehen könnte, der eval() abschaltet.

Eine schwere stählerne Kette liegt auf dunklem Grund. An der Stelle eines fehlenden Kettenglieds verbindet ein dünnes, verknotetes orangefarbenes Seil die beiden Enden. Eine bildliche Metapher für eine Lieferkette, deren Stärke sich am schwächsten Glied entscheidet.

Composer und Packagist im Supply Chain-Stresstest

2025 und 2026 waren ein Stresstest für die Lieferketten aller Package-Ökosysteme. Eine Bilanz für Composer und Packagist: was PHP richtig macht, was es lernen kann — und wem unsere Infrastruktur gehört.

Eine mechanische Stoppuhr liegt auf einer verwitterten Holzfläche und wartet darauf, gestartet zu werden. Ein Sinnbild dafür, dass die Dauer eines Testlaufs zu einer messbaren Größe geworden ist, die über mehr entscheidet als nur über Entwicklerkomfort.

Geschwindigkeit als Sicherheitsmerkmal

Wie schnell ist deine Testsuite, und welche Schwachstellen findet ein LLM-Agent deshalb nicht? Was lange ein Produktivitätsthema war, gehört heute in die Security-Diskussion.

Ein junger Mann in Jeans und einem weißen Langarmhemd, in Schwarz-Weiß dargestellt, schwingt einen großen grünen Schild mit einem leuchtend roten Häkchen darauf und schlägt damit eine Flut zerknüllter Papierbälle vor einem sanften pfirsichfarbenen Hintergrund weg – eine Metapher dafür, wie Tests als aktive Verteidigung eingesetzt werden, um Sicherheitslücken auszuschalten, bevor sie in die Produktion gelangen können.

Test-Driven Security

Für jede Schwachstelle, die wir in Produktion finden, gibt es einen Test, der sie verhindert hätte, wenn er existiert hätte. Test-Driven Security behandelt die CWE-Liste als Checkliste und PHPUnit als das Werkzeug, das wir ohnehin schon in unserem Workflow haben.

Nur was existieren muss, hat eine Tür. Die sicherste Tür ist die, die nie eingebaut wurde.

Angriffsfläche beginnt im Repository

Wir schützen, was existiert. Aber fragen wir oft genug, ob es überhaupt existieren sollte? Wie das Entfernen ungenutzter Branches vor Poisoned Pipeline Execution schützen kann.

Eine schwere Stahlkette zerbricht an ihrem mittleren Glied in einem Schauer rotoranger Funken, während Fragmente binärer Ziffern vor einem tiefblauen, von Schaltkreisen durchzogenen Hintergrund nach außen stieben. Ein visuelles Sinnbild für das Supply-Chain-Sicherheitsversagen, das die Härtung von Workflows verhindern soll.

GitHub Actions Workflows härten

Ein Rundgang durch die GitHub Actions-Schwachstellen in den Workflows von PHPUnit: wie jede einzelne hätte ausgenutzt werden können und was geändert wurde, um sie zu schließen.

Ein Türsteher in schwarzem Anzug, mit Ohrhörer, erhebt die Hand zu einer bestimmten „Stopp“-Geste am Eingang eines Clubs. Hinter ihm wartet eine Schlange hoffnungsvoller Gäste hinter einer goldenen Samtkordel. Eine bildliche Metapher für einen Wächter, der entscheidet, wer hineinkommt und wer nicht.

Der Türsteher im Dependency-Resolver

Composer 2.9 verlagert die Durchsetzung von Security-Advisories aus einem optionalen Drittanbieter-Paket in den Resolver selbst. Dieser Artikel zeigt, wie der Mechanismus funktioniert, wie er sich zu den älteren Paketen verhält, die er ersetzt, und an welchen Stellen das neue Verhalten dich auf eine Weise treffen kann, wie es das alte, passive Audit nie getan hat.

Das Bild zeigt ein abstraktes, futuristisches Design, dessen zentrales Motiv ein dominantes, leuchtendes Fragezeichen ist. Es entsteht aus einer chaotischen, wellenförmigen Landschaft aus geometrischen Pixeln und Voxel-ähnlichen Strukturen in intensiven Pink-, Violett- und Blautönen. Diese erzeugen Tiefe und Dynamik. Der chaotische Untergrund wirkt wie ein brodelndes, digitales Terrain, das Unordnung und Komplexität symbolisiert. Das Fragezeichen ragt stabil und fragend aus ihm auf – perfekt als visueller Mood für Fuzz Testing, bei dem zufälliges Chaos Sicherheit aufdeckt.

Sicherheit durch Chaos

Dieser praxisnahe Deep Dive in die Philosophie hinter „Security through chaos“ zeigt, dass Sicherheit nicht aus perfekter Voraussicht entsteht, sondern aus dem Überleben von Chaos.

Das Bild zeigt ein gelbes Verkehrsschild in Rautenform mit der schwarzen Aufschrift „DEAD END“. Es steht in einer urbanen Umgebung, vor einem Gebäude mit großen Fenstern und einem Metallgitter. Im Hintergrund sind weitere Gebäude mit typischen Außentreppen aus Metall zu sehen, wie sie in manchen Stadtteilen häufig vorkommen. Das Schild signalisiert, dass die Straße an dieser Stelle endet und keine Durchfahrt möglich ist.

28. November 2022

PHP 7: Security-Support endet. Was nun?

Der Security-Support für PHP 7 ist beendet. Was bedeutet das für dich?

Das Bild zeigt ein hölzernes Schild mit der Aufschrift „CLOSED“. Das Schild ist schräg fotografiert und wirkt durch die warme, bräunliche Farbgebung sowie die Unschärfe und das starke Korn im Bild besonders stimmungsvoll und nostalgisch. Es erinnert an eine Aufnahme aus einem kleinen, gemütlichen Laden oder Café zur Schließzeit.

21. Februar 2020

PHPUnit: Ein Sicherheitsrisiko?

Die lange Geschichte einer Sicherheitslücke, die keine hätte sein müssen.

Das Bild zeigt eine Wand aus Beton mit einer rauen Oberfläche und sichtbaren Horizontallinien und Fugen. Darauf fallen Schatten, die Muster bilden, vermutlich von Pflanzen oder Blättern. Die Schatten erzeugen ein interessantes Spiel aus Licht und Dunkel, was dem Bild eine ruhige, natürliche Atmosphäre verleiht.

1. Februar 2019

Schatten der Vergangenheit

Paketmanager sind lohnende Angriffsziele, auch wenn sie keiner mehr benutzt. Hintergründe zum Einbruch in die PEAR-Infrastruktur des PHP-Projekts.

Bleib auf dem Laufenden

Jeden Mittwoch erscheint ein neuer Artikel. Abonniere den RSS-Feed, und er landet direkt in deinem Feedreader.

Mit dem Newsletter erhältst du alle zwei Monate eine umfassende Analyse neuer PHPUnit-Funktionen, Implementierungsdetails sowie der strategischen Überlegungen hinter jeder Verbesserung per E-Mail.

RSS-Feed abonnieren Newsletter abonnieren