Open Source Technical Deep Dives

Am 20. Oktober 2026 wurden zwei kritische Schwachstellen im PHP-Interpreter, CVE-2026-109618 und CVE-2026-109619, zwei Tage vor dem vereinbarten Disclosure-Termin öffentlich. Das PHP Security Team zog das Release vor, Infrastrukturanbieter verteilten Filterregeln, und Berichte über Angriffe folgten nach wenigen Stunden…

Am 20. Oktober 2026 wurden zwei kritische Schwachstellen im PHP-Interpreter, CVE-2026-109618 und CVE-2026-109619, zwei Tage vor dem vereinbarten Disclosure-Termin öffentlich. Das PHP Security Team zog das Release vor, Infrastrukturanbieter verteilten Filterregeln, und Berichte über Angriffe folgten nach wenigen Stunden. Für ältere PHP-Versionen, die auf vielen Servern weiterlaufen, gibt es keinen Fix.

Der Fall steht für eine Entwicklung, die Open Source-Projekte seit Anfang 2026 verändert: Mit LLM-gestützten Werkzeugen ist das Finden von Schwachstellen billig geworden, das Bewerten, Beheben und Koordinieren nicht. Der Vortrag zeigt aus Sicht des Ecosystem Security Teams der PHP Foundation und eines langjährigen Maintainers, wo die Engpässe heute liegen: in der Triage von Meldungen, in der Qualität von Advisory-Daten und in Abläufen, die für deutlich weniger Meldungen ausgelegt waren.

Zum Schluss geht es darum, was das für alle bedeutet, die Open Source betreiben, von der Frage, wo überhaupt welche Version läuft, bis zu den Meldepflichten des Cyber Resilience Act.