Finden ist billig, Beheben nicht

Open-Source-Security, wenn LLMs nach Schwachstellen suchen

Am 20. Oktober 2026 wurden zwei kritische Schwachstellen im PHP-Interpreter, CVE-2026-109618 und CVE-2026-109619, zwei Tage vor dem vereinbarten Disclosure-Termin öffentlich. Das PHP Security Team zog das Release vor, Infrastrukturanbieter verteilten Filterregeln, und Berichte über Angriffe folgten nach wenigen Stunden. Für ältere PHP-Versionen, die auf vielen Servern weiterlaufen, gibt es keinen Fix.

Der Fall steht für eine Entwicklung, die Open Source-Projekte seit Anfang 2026 verändert: Mit LLM-gestützten Werkzeugen ist das Finden von Schwachstellen billig geworden, das Bewerten, Beheben und Koordinieren nicht. Der Vortrag zeigt aus Sicht des Ecosystem Security Teams der PHP Foundation und eines langjährigen Maintainers, wo die Engpässe heute liegen: in der Triage von Meldungen, in der Qualität von Advisory-Daten und in Abläufen, die für deutlich weniger Meldungen ausgelegt waren.

Zum Schluss geht es darum, was das für alle bedeutet, die Open Source betreiben, von der Frage, wo überhaupt welche Version läuft, bis zu den Meldepflichten des Cyber Resilience Act.

Zum ersten Mal werde ich „Finden ist billig, Beheben nicht“ am 11. Dezember 2026 bei der OSS Tech Night in Bonn präsentieren.

Über mich

Ich bin Sebastian Bergmann. Im Jahr 2000 habe ich begonnen, PHPUnit zu schreiben, und pflege es bis heute. Im selben Jahr habe ich meinen ersten Vortrag auf einer PHP-Konferenz gehalten. Als Mitgründer von thePHP.cc unterstütze ich Teams in Schulungen und in Beratung und Coaching bei allem rund um PHPUnit, bei Quality Gates für die Arbeit mit LLM-basierten Coding-Agenten und bei Supply Chain Security.

Ich habe die PHP Foundation mit auf den Weg gebracht und bin Mitglied in ihrem Board. Außerdem habe ich die Interessen von Open Source bei der Europäischen Kommission vertreten und bin aktiv im Arbeitskreis Open Source der Gesellschaft für Informatik.

Wo du mich als Nächstes triffst, steht unter Veranstaltungen. Die nächsten Termine meiner Schulungen findest du in der Übersicht der Schulungen.