php2shell, Broccoli2Shell and "4" reveal structural problems in IT security
Regarding the php2shell, Brotli decompression vulnerability (first called Node2Shell, later renamed Broccoli2Shell) and the incident codenamed "4" that came to light around October 20, heise points out that these high-severity vulnerabilities expose structural problems that go beyond LLMs finding bugs. The article argues that calling this wave of vulnerabilities a KI-induced "Vulnocalypse" is only partly right: KI systems did indeed play a role in discovering some of the vulnerabilities, but that is all.
Topics
Body
Um den 20. Oktober begannen harte Tage für viele Administratoren und Entwickler, die etwas mit der IT-Sicherheit ihrer Produkte zu schaffen haben. Mehrere kritische Lücken mit großer Reichweite gaben sich die virtuelle Klinke in die Hand: Unter dem Label „php2shell“ hielten Probleme in PHP die ganze Welt so sehr in Atem, dass daneben ein krachendes und ebenso brandgefährliches Versagen der Zertifizierungsstelle eMudhra fast unterging.
Gleichzeitig wurde eine ebenfalls hochriskante Lücke in Dekomprimierungsroutinen für den Algorithmus Brotli bekannt. Auch sie erfuhr im Schatten von php2shell zunächst eher wenig Aufmerksamkeit, wurde anfänglich allein dem Node.js-Projekt zugeschrieben und daher Node2Shell genannt. In Wahrheit betraf das Problem aber auch diverse andere Software – und wurde inzwischen ironisch in Broccoli2Shell umbenannt.
php2shell, Broccoli2Shell und „4“ zeigen, woran IT-Sicherheit krankt
Cyber-Risiko Lieferkette: Pflichten und Absicherung im Überblick
Die Authentifizierungsmethode Trusted Publishing bei npm, PyPI und crates.io
So funktioniert Kill-Switch-Architektur für KI-Anwendungen
Krisenmanagement in der IT: Rollen und Strategien für den Notfall
Deepfakes: Vertrauen braucht Datenherkunft
Die drei Säulen der hybriden Infrastruktursicherheit im Überblick
OpenAI-Agenten greifen Hugging Face an
Sicherheitskonzept Minimum Viable Zero Trust in 90 Tagen einführen
Wer in dieser Schwemme an schwerwiegenden Problemen die KI-induzierte „Vulnocalypse“ sieht, liegt allerdings nur bedingt richtig. KI-Systeme waren in der Tat an der Entdeckung einiger der Probleme beteiligt – aber mehr auch nicht. Genauer betrachtet zeigen die Vorfälle strukturelle Probleme, die weit über Bug-suchende und Exploit-schreibende LLMs hinausgehen.
Das war die Leseprobe unseres heise-Plus-Artikels "php2shell, Broccoli2Shell und „4“ zeigen, woran IT-Sicherheit krankt". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
Anfang Oktober 2026 wurden Hunderte kompromittierte Tor-Knoten entdeckt, die SSH-Zugangsdaten stehlen. Betroffene sollten ihre Server neu aufsetzen.
Wer nicht jeder Maschine einen festen Platz geben kann, muss die Geräte häufig tauschen. Damit das schneller geht, habe ich ein System entwickelt.
Termine aus iCloud, Google, Outlook und weiteren Diensten in einer App: Wir zeigen am iPad, wie Sie private und berufliche Verpflichtungen im Blick halten.
Mit FastAPI und HTMX lassen sich Webanwendungen in Python und HTML bauen – ohne separates JavaScript-Framework fürs Frontend.
Mesh-WLAN mit mehreren Basen verspricht schnelles Internet auch in der letzten Ecke. Wir haben Devolos kompakte Dreiband-Funker ausprobiert. Nicht alles glänzt.
ArtCraft ahmt bekannte Kreativprogramme per Vibe-Coding nach. Der Test zeigt, ob eine vertraute Oberfläche tatsächlich ein Ersatz für die Originale sein kann.