Im Oktober 2026 wurden zwei kritische Schwachstellen im Kern von PHP bekannt, deren Details schon vor der koordinierten Veröffentlichung kursierten. PHP2Shell (CVE-2026-109618 und CVE-2026-109619) erlaubt Angreifern ohne Anmeldung, Speicherinhalte von PHP-Prozessen auszulesen und im schlimmsten Fall Code auf dem Server auszuführen, noch bevor die erste Zeile Anwendungscode läuft. Betroffen sind alle PHP-Versionen bis zurück zu 5.4. Korrigierte Releases gibt es aber nur für PHP 8.2 bis 8.5. Für PHP 8.1, 8.0 und 7.4 hat das PHP-Projekt lediglich minimale Quelltext-Patches veröffentlicht, für alles Ältere gar nichts.
Wer auf einer dieser Versionen festsitzt, hat zwei Probleme: kurzfristig eine Lücke, die geschlossen werden muss, und grundsätzlich eine Anwendung, die nicht auf einer unterstützten PHP-Version läuft. Backports von Distributionen und LTS-Anbietern können eine Brücke sein. Dafür musst du wissen, was sie tatsächlich ändern, wie du prüfst, ob sie wirklich installiert sind, und dass auch eine Brücke ein Enddatum braucht.
Der Schwerpunkt dieses Vortrags liegt auf dem Weg über die Brücke: dem Upgrade auf ein aktuelles PHP 8. Es geht um die Wahl der Zielversion (PHP 8.2 erreicht vier Wochen nach dieser Konferenz sein Lebensende), um Inventur, statische Analyse und automatisierte Refactorings, um die Inkompatibilitäten, die beim Sprung von PHP 7 auf PHP 8 in der Praxis am häufigsten zuschlagen, um Abhängigkeiten, die nicht mitkommen, und um Tests als Sicherheitsnetz für Code, der bisher keine hat. Und darum, wie aus dem nächsten PHP-Update ein Routinevorgang statt eines Notfalls wird.
Zum ersten Mal werde ich „Zu alt für den Fix: Der Weg zu PHP 8 nach PHP2Shell“ am auf der betterCode() PHP präsentieren.
Ich bin Sebastian Bergmann. Im Jahr 2000 habe ich begonnen, PHPUnit zu schreiben, und pflege es bis heute. Im selben Jahr habe ich meinen ersten Vortrag auf einer PHP-Konferenz gehalten. Als Mitgründer von thePHP.cc unterstütze ich Teams in Schulungen und in Beratung und Coaching bei allem rund um PHPUnit, bei Quality Gates für die Arbeit mit LLM-basierten Coding-Agenten und bei Supply Chain Security.
Ich habe die PHP Foundation mit auf den Weg gebracht und bin Mitglied in ihrem Board. Außerdem habe ich die Interessen von Open Source bei der Europäischen Kommission vertreten und bin aktiv im Arbeitskreis Open Source der Gesellschaft für Informatik.
Wo du mich als Nächstes triffst, steht unter Veranstaltungen. Die nächsten Termine meiner Schulungen findest du in der Übersicht der Schulungen.
Am bin ich auf der betterCode() PHP. Dort halte ich den Vortrag „Zu alt für den Fix: Der Weg zu PHP 8 nach PHP2Shell“.