Artikel zum Thema Supply Chain Security von Sebastian Bergmann
ISO/IEC 18974 beschreibt, was ein Programm für die Sicherheit von Open-Source-Komponenten nachweisen muss. Composer erzeugt einen großen Teil dieser Nachweise nebenbei bei jedem Build. Was es nicht erzeugt: ein Archiv, einen zweiten Blick auf bereits ausgelieferte Software und einen Namen neben jeder Verantwortung.
Weiterlesen
Ein Autohersteller führt in seiner Open Source-Attribution ein Android-Botnet auf. Der Eintrag verrät, wie die Liste entstanden ist: durch Scannen statt durch Deklaration. Warum eine deklarierte Abhängigkeitsliste mehr wert ist als eine gescannte und wie das PHPUnit-PHAR seinen eigenen Inhalt offenlegt.
Weiterlesen
Eine Sicherheitslücke in PHPCSUtils zeigt: Ein statisches Analysewerkzeug führt Code aus, den es nur lesen sollte. Warum disable_functions gegen eval() machtlos ist und wie ein Schalter in der PHP-Engine aussehen könnte, der eval() abschaltet.
Weiterlesen
2025 und 2026 waren ein Stresstest für die Lieferketten aller Package-Ökosysteme. Eine Bilanz für Composer und Packagist: was PHP richtig macht, was es lernen kann — und wem unsere Infrastruktur gehört.
Weiterlesen
Wir schützen, was existiert. Aber fragen wir oft genug, ob es überhaupt existieren sollte? Wie das Entfernen ungenutzter Branches vor Poisoned Pipeline Execution schützen kann.
Weiterlesen
Ein Rundgang durch die GitHub Actions-Schwachstellen in den Workflows von PHPUnit: wie jede einzelne hätte ausgenutzt werden können und was geändert wurde, um sie zu schließen.
Weiterlesen
Composer 2.9 verlagert die Durchsetzung von Security-Advisories aus einem optionalen Drittanbieter-Paket in den Resolver selbst. Dieser Artikel zeigt, wie der Mechanismus funktioniert, wie er sich zu den älteren Paketen verhält, die er ersetzt, und an welchen Stellen das neue Verhalten dich auf eine Weise treffen kann, wie es das alte, passive Audit nie getan hat.
Weiterlesen
Die lange Geschichte einer Sicherheitslücke, die keine hätte sein müssen.
Weiterlesen
Paketmanager sind lohnende Angriffsziele, auch wenn sie keiner mehr benutzt. Hintergründe zum Einbruch in die PEAR-Infrastruktur des PHP-Projekts.
WeiterlesenJeden Mittwoch erscheint ein neuer Artikel. Abonniere den RSS-Feed, und er landet direkt in deinem Feedreader.
Mit dem Newsletter erhältst du alle zwei Monate eine umfassende Analyse neuer PHPUnit-Funktionen, Implementierungsdetails sowie der strategischen Überlegungen hinter jeder Verbesserung per E-Mail.