Sonderfolge: PHP2Shell
Für diese außerplanmäßige Bonusfolge haben wir uns mit unserem Gast Hans-Christian Otto, um über die kritischen Sicherheitslücken in PHP zu sprechen, die unter dem Namen PHP2Shell für Aufsehen sorgen. Gemeinsam schauen wir uns an, wie die Schwachstellen in der PHP-Runtime funktionieren, warum sie so gefährlich sind und weshalb ihre Entdeckung und Veröffentlichung für so viel Aufregung gesorgt haben.
Dabei geht es uns nicht nur um die technischen Hintergründe und die Rolle von KI bei der Suche nach Sicherheitslücken. Wir sprechen auch über die Menschen, die solche Probleme in Open-Source-Projekten beheben müssen, über den Umgang mit Sicherheitsmeldungen und über die Frage, wer eigentlich die Verantwortung für die Finanzierung kritischer Software-Infrastruktur trägt.
Shownotes
- [00:01:05] PHP2Shell: Kritische Sicherheitslücken in PHP
Wir beginnen mit den technischen Hintergründen von PHP2Shell und klären, warum die Schwachstellen nicht etwa in WordPress, TYPO3 oder anderen PHP-Anwendungen stecken, sondern in der PHP-Runtime selbst. Wir besprechen die Möglichkeiten zur Remote Code Execution, die potenziellen Folgen für Datenbanken und sensible Nutzerdaten sowie die Frage, welche Installationen tatsächlich angreifbar sind. Außerdem rekonstruieren wir den ungewöhnlichen Ablauf der Veröffentlichung: von den ersten Entdeckungen durch KI-gestützte Sicherheitsanalysen über vorzeitig bekannt gewordene Informationen bis zu den kurzfristig koordinierten Sicherheitsupdates. Dabei diskutieren wir auch die öffentliche Berichterstattung, die unter anderem heise online und Golem aufgegriffen haben.Anschließend beschäftigen wir uns mit der Rolle künstlicher Intelligenz bei der Entdeckung von Sicherheitslücken. KI-Systeme finden zunehmend auch Fehler, die über Jahre unentdeckt geblieben sind. Das ist einerseits ein Gewinn für die Sicherheit, andererseits stellt es die Maintainer von Open-Source-Projekten vor erhebliche Herausforderungen. Wir sprechen über die steigende Zahl an Security Reports, die aufwendige Prüfung vermeintlicher Schwachstellen und die begrenzten Ressourcen der Projekte. Der Bericht der PHP Foundation gibt uns Einblicke in die Arbeit hinter den Sicherheitsupdates. Wir diskutieren außerdem, wie angemessen die öffentliche Alarmierung bei solchen Sicherheitslücken ist und was passiert, wenn KI-gestützte Sicherheitsforschung künftig immer häufiger vergleichbare Funde liefert.
Schließlich richten wir den Blick auf die Finanzierung und langfristige Absicherung kritischer Open-Source-Infrastruktur. Am Beispiel der PHP Foundation und ihrer öffentlich einsehbaren Finanzierung diskutieren wir, wie wenig Geld teilweise hinter Software steckt, von der ein erheblicher Teil des Internets abhängt. Wir betrachten die Beiträge großer Unternehmen und die Rolle der staatlich finanzierten Sovereign Tech Agency, die auch andere grundlegende Projekte wie cURL und FFmpeg unterstützt. Zum Schluss kommen wir noch einmal auf die PHP-Sicherheitsupdates zurück und sprechen über die praktischen Herausforderungen koordinierter Releases, die Verteilung von Patches und den Umgang mit vorab informierten Unternehmen.
Links
- Sovereign Tech Agency auf Wikipedia
Überblick über die staatliche Initiative und die zahlreichen Open-Source-Projekte, die sie finanziell unterstützt.
- AI Just Found a Bug That Puts up to 70% of the World’s Websites at Risk
Artikel des Wall Street Journal über die Entdeckung der PHP-Sicherheitslücken mithilfe künstlicher Intelligenz und ihre potenzielle Tragweite.