Open Source Technical Deep Dives

Am 20. Oktober 2026 wurden zwei kritische Schwachstellen im PHP-Interpreter, CVE-2026-109618 und CVE-2026-109619, zwei Tage vor dem vereinbarten Disclosure-Termin öffentlich. Das PHP Security Team zog das Release vor, Infrastrukturanbieter verteilten Filterregeln, und Berichte über Angriffe folgten nach wenigen Stunden…

Am 20. Oktober 2026 wurden zwei kritische Schwachstellen im PHP-Interpreter, CVE-2026-109618 und CVE-2026-109619, zwei Tage vor dem vereinbarten Disclosure-Termin öffentlich. Das PHP Security Team zog das Release vor, Infrastrukturanbieter verteilten Filterregeln, und Berichte über Angriffe folgten nach wenigen Stunden. Für ältere PHP-Versionen, die auf vielen Servern weiterlaufen, gibt es keinen Fix.

Der Fall steht für eine Entwicklung, die Open Source-Projekte seit Anfang 2026 verändert: Mit LLM-gestützten Werkzeugen ist das Finden von Schwachstellen billig geworden, das Bewerten, Beheben und Koordinieren nicht. Der Vortrag zeigt aus Sicht des Ecosystem Security Teams der PHP Foundation und eines langjährigen Maintainers, wo die Engpässe heute liegen: in der Triage von Meldungen, in der Qualität von Advisory-Daten und in Abläufen, die für deutlich weniger Meldungen ausgelegt waren.

Zum Schluss geht es darum, was das für alle bedeutet, die Open Source betreiben, von der Frage, wo überhaupt welche Version läuft, bis zu den Meldepflichten des Cyber Resilience Act.

Open Source ist mehr als eine Lizenz. Ob ein Projekt langfristig trägt, entscheidet seine Governance: Wer darf mergen, wer bestimmt die Roadmap, wie werden Konflikte gelöst, und was passiert, wenn der Hauptsponsor aussteigt? …

Open Source ist mehr als eine Lizenz. Ob ein Projekt langfristig trägt, entscheidet seine Governance: Wer darf mergen, wer bestimmt die Roadmap, wie werden Konflikte gelöst, und was passiert, wenn der Hauptsponsor aussteigt? Mit KI wird das noch wichtiger: Wenn Code in Massen generiert wird und Agenten Pull Requests stellen, braucht es klare Regeln für Verantwortung, Review und Vertrauen.

Der Vortrag zeigt das an drei Beispielen aus der Praxis. Eclipse Adoptium ist den Weg von einer losen Community zum herstellerneutralen Foundation-Projekt gegangen. CLPR, ein Lab der LF Decentralized Trust, wurde von Anfang an offen entwickelt. Die Building Blocks von GovStack übertragen diese Prinzipien auf digitale Verwaltungsinfrastruktur.

Die Teilnehmenden lernen, an welchen Strukturen wie Charter, TSC, Committer-Modell und Spezifikationsprozess sich gute Governance erkennen lässt und worauf sie bei der Auswahl und Mitarbeit in Projekten achten sollten.