Moin! Ich bin Fab, freier Journalist, Podcaster und angehender Romanautor und dies ist meine Webseite. Hier findet ihr meine Gedanken zu vielen unterschiedlichen Themen, von Technik bis zu Politik und allem anderen, was mich sonst noch so interessiert. Zusätzlich findet ihr hier auch Software, die ich entwickelt habe.
Diese Website wird mit einem statischen Webseiten-Generator erstellt und enthält keinerlei dynamischen Elemente. Ich verwende kein JavaScript, es gibt keine Werbung und meine Seite setzt auch keine Cookies in eurem Browser. Das Tracking beschränkt sich auf die Daten, die mein Hosting-Anbieter erhebt.
Wenn euch die Inhalte hier gefallen und ihr meine Arbeit unterstützen wollt, könnt ihr ein freiwilliges Blog-Abo abschließen — mehr Informationen dazu im Impressum.
Neueste Blog-Einträge
-
→ Sicherheitsspezialist verlässt resigniert PHP-Security-Team, heise online
Relevanter blast from the past: 2006 verlässt PHP-Sicherheitsspezialist Stefan Esser frustriert das PHP-Security-Team, weil er es für unmöglich hält, PHP von innen heraus sicher zu machen. Sobald man Kritik übe, werde man geschasst. Das ist genau die Art von Projektkultur, die krassen Sicherheitslücken führt, die jahrzehntelang unentdeckt im Projekt rumdümpeln. Im Jahr 2004 hatte Esser eins der grundlegenden Probleme hinter den Sicherheitslücken aus PHP2Shell an das PHP-Projekt gemeldet.
-
Joy Club geht wegen kritischem PHP-Update offline
Joy Club, die größte deutsche Community für Gelegenheitssex hat wegen eines kritischen PHP-Updates kurzerhand die eigene Seite komplett offline genommen.
Das PHP-Notfall-Update soll zwei kritische Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619) beheben. Über die Lücken soll sich beliebiger Schadcode aus dem Netz ausführen lassen — also das Worse-Case-Szenario für einen Server-Admin.
Heise will die Details zu den Schwachstellen um 16:00 Uhr veröffentlichen, wenn auch der Patch verfügbar ist.
Update // 16:01 CEST:
heise online hat mittlerweile Details zu dem Sicherheitsproblem veröffentlicht, das auch unter dem Namen „PHP2Shell“ bekannt ist:
Die erste der beiden Schwachstellen mit dem gemeinsamen Namen php2shell ist CVE-2026-109618 (CVSS 9.2, kritisch). Sie lauert in der Speicherverwaltung der Skriptsprache. Sie ist ausnutzbar, wenn einige Vorbedingungen erfüllt sind und das in der PHP-Konfigurationsdatei eingestellte Speicherlimit (Direktive: memory_limit) anschlägt. Dann erzeugt die Sprache einen Ausführungsfehler – und sollte eigentlich alle Überbleibsel des fehlerhaft ausgeführten Skripts im Speicher wegräumen.
Ist jenes jedoch über ein vom Angreifer passend zurechtgebasteltes Upload-Formular oder eines mit besonders geschickt verschachtelten Arrays gestolpert, kommt PHP beim Aufräumen dieser Überreste aus dem Tritt. Das Resultat: Angreifer können Speicher auslesen, freigeben und eigenen Schadcode im Nutzerkontext des Webservers ausführen.
Ein zweiter Fehler fand sich im Error-Handling, also der Verarbeitung von Skriptfehlern. Um CVE-2026-109619 (CVSS 9.2, kritisch) erfolgreich auszunutzen, benötigt ein Angreifer neben ähnlichen Vorbedingungen wie bei CVE-2026-109618 mindestens zwei HTTP-Anfragen. Die erste erzeugt einen instabilen Zustand in PHPs Fehlerverwaltung, die zweite nutzt diesen aus. Dabei sind jedoch nicht alle „fatal errors“, also Fehler, die zum Skriptabbruch führen, ausnutzbar.
Die SicherheitslĂĽcken haben mittlerweile auch einen eigenen Wikipedia-Eintrag.
-
→ Ministerium unterläuft Panne beim Gesetz zur Tabaksteuer, Tagesschau
Es kommt wegen der fortschreitenden Verdummung der deutschen Gesellschaft ja eigentlich gar nicht mehr vor, dass man irgend eine geschäftliche Interaktion mit einem Unternehmen hat, die ohne Probleme abläuft. Jedenfalls, wenn diese nicht komplett automatisiert abläuft. Irgendwo mach immer jemand einen blöden Fehler und man muss garantiert mindestens einmal per E-Mail oder Telefon nachfragen, bevor etwas funktioniert. Dieser Zustand hat lange die Regierung erreicht. Heute: Ups! Gesetz aus Versehen Monate zu früh in Kraft getreten. Unternehmen sollen Steuern zahlen, obwohl das Finanzamt diese noch gar nicht verbuchen kann. Da haben wohl wieder ein paar Beamte ihr Hirn durch KI ersetzt.
-
→ Die Zeit verurteilt angedrohte Durchsuchung der Redaktion, Die Zeit
Holy shit! Die Staatsanwaltschaft Hamburg und das LKA sind bei der Zeit aufgeschlagen und haben eine Durchsuchung der Redaktion angedroht. Daraufhin hat Die Zeit gezwungenermaßen Aufnahmen herausgegeben, die bei der Produktion eines Podcasts zum Fall Christina Block gemacht wurden. Das LG Hamburg, das diesen Prozess gerade verhandelt, will die Aufzeichnung angeblich haben, um die Glaubwürdigkeit von Zeugen zu überprüfen. Und damit wollen die einen solch massiven Eingriff in die Pressefreiheit rechtfertigen? Wer auch immer das abgesegnet hat, muss echt noch mal über die Verhältnismäßigkeit dieser Maßnahme nachdenken.
→ Alle Blog-Beiträge lesen oder den RSS Feed des Blogs abonnieren