PHP2Shell: From Behind the Scenes to Lessons Learned

Am 21. Oktober 2026 hat das PHP-Projekt PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht und damit zwei kritische Schwachstellen im Kern von PHP behoben: CVE-2026-109618 und CVE-2026-109619, bekannt unter dem Namen „PHP2Shell“.

In diesem Panel ordnen Elizabeth Barron, Christopher Kunz, Volker Dusch und Sebastian Bergmann im offenen Gespräch mit Stefan Priebsch ein, was hinter den Kulissen passiert ist.

Gemeinsam diskutieren wir, welche Lehren wir aus PHP2Shell ziehen können und wie wir künftig besser vorbereitet sind. Wem kannst du vertrauen, und woran erkennst du vertrauenswürdige Bezugsquellen für Software und ihre Abhängigkeiten? Über welche Kanäle erfährst du rechtzeitig von Sicherheitslücken und bevorstehenden Sicherheitsupdates? Und was tust du, wenn es ernst wird: Wie stellst du fest, ob deine Anwendungen betroffen sind, und wie kommst du schnell zu fundierten Entscheidungen?

Welche Fragen beschäftigen dich? Deine Fragen nehmen wir live in die Diskussion auf.

Ich präsentiere dies gemeinsam mit Elizabeth Barron, Volker Dusch, Christopher Kunz und Stefan Priebsch.

Über mich

Im Jahr 2000 habe ich begonnen, PHPUnit zu schreiben, und pflege es bis heute. Ich habe die PHP Foundation mit auf den Weg gebracht, bin Mitglied in ihrem Board und unterstütze ihr Ecosystem Security Team. Als Mitgründer von thePHP.cc berate ich Organisationen zu Teststrategie, sicherer Softwareentwicklung und Supply Chain Security.

Wie sich ein Sicherheitsbericht auf der Seite der Maintainer anfühlt, kenne ich von PHPUnit, das in Millionen von vendor-Verzeichnissen liegt. Für CVE-2026-24765 habe ich die Korrektur auf PHPUnit 8.5, 9.6, 10.5 und 11.5 zurückportiert, Versionszweige, die sonst keine Fehlerkorrekturen mehr bekommen. Für das Ecosystem Security Team habe ich So you received a security report. Now what? geschrieben, einen Leitfaden für Maintainerinnen und Maintainer, bei denen ein Sicherheitsbericht eingegangen ist.