php2shell、Broccoli2Shell 与“4”揭示 IT 安全的结构性问题

Um den 20. Oktober begannen harte Tage für viele Administratoren und Entwickler, die etwas mit der IT-Sicherheit ihrer Produkte zu schaffen haben. Mehrere kritische Lücken mit großer Reichweite gaben sich die virtuelle Klinke in die Hand: Unter dem Label „php2shell“ hielten Probleme in PHP die ganze Welt so sehr in Atem, dass daneben ein krachendes und ebenso brandgefährliches Versagen der Zertifizierungsstelle eMudhra fast unterging.

Gleichzeitig wurde eine ebenfalls hochriskante Lücke in Dekomprimierungsroutinen für den Algorithmus Brotli bekannt. Auch sie erfuhr im Schatten von php2shell zunächst eher wenig Aufmerksamkeit, wurde anfänglich allein dem Node.js-Projekt zugeschrieben und daher Node2Shell genannt. In Wahrheit betraf das Problem aber auch diverse andere Software – und wurde inzwischen ironisch in Broccoli2Shell umbenannt.

php2shell, Broccoli2Shell und „4“ zeigen, woran IT-Sicherheit krankt

Cyber-Risiko Lieferkette: Pflichten und Absicherung im Überblick

Die Authentifizierungsmethode Trusted Publishing bei npm, PyPI und crates.io

So funktioniert Kill-Switch-Architektur für KI-Anwendungen

Krisenmanagement in der IT: Rollen und Strategien für den Notfall

Deepfakes: Vertrauen braucht Datenherkunft

Die drei Säulen der hybriden Infrastruktursicherheit im Überblick

OpenAI-Agenten greifen Hugging Face an

Sicherheitskonzept Minimum Viable Zero Trust in 90 Tagen einführen

Wer in dieser Schwemme an schwerwiegenden Problemen die KI-induzierte „Vulnocalypse“ sieht, liegt allerdings nur bedingt richtig. KI-Systeme waren in der Tat an der Entdeckung einiger der Probleme beteiligt – aber mehr auch nicht. Genauer betrachtet zeigen die Vorfälle strukturelle Probleme, die weit über Bug-suchende und Exploit-schreibende LLMs hinausgehen.

Das war die Leseprobe unseres heise-Plus-Artikels "php2shell, Broccoli2Shell und „4“ zeigen, woran IT-Sicherheit krankt". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.

Anfang Oktober 2026 wurden Hunderte kompromittierte Tor-Knoten entdeckt, die SSH-Zugangsdaten stehlen. Betroffene sollten ihre Server neu aufsetzen.

Wer nicht jeder Maschine einen festen Platz geben kann, muss die Geräte häufig tauschen. Damit das schneller geht, habe ich ein System entwickelt.

Termine aus iCloud, Google, Outlook und weiteren Diensten in einer App: Wir zeigen am iPad, wie Sie private und berufliche Verpflichtungen im Blick halten.

Mit FastAPI und HTMX lassen sich Webanwendungen in Python und HTML bauen – ohne separates JavaScript-Framework fürs Frontend.

Mesh-WLAN mit mehreren Basen verspricht schnelles Internet auch in der letzten Ecke. Wir haben Devolos kompakte Dreiband-Funker ausprobiert. Nicht alles glänzt.

ArtCraft ahmt bekannte Kreativprogramme per Vibe-Coding nach. Der Test zeigt, ob eine vertraute Oberfläche tatsächlich ein Ersatz für die Originale sein kann.