goneo Webmacher & Webprofessionals Podcast – jeden Freitagabend mit Pains & Gains für Webseitenbetreiber, Freelancer und den pragmatischen Mittelstand.
Eigentlich wollten wir heute gemütlich über PHP vs. JavaScript sprechen. Doch am Mittwochnachmittag um 13:30 Uhr schlug die Sicherheitsmeldung ein, die jede Frontend-Debatte beendet hat: PHP2Shell (CVE-2026-109618 und CVE-2026-109619, CVSS 9.2). Ein Fehler, der seit PHP 5.4 – also seit 14 Jahren – unbemerkt im C-Kern von PHP schlummerte und Remote Code Execution erlaubt, noch bevor WordPress, Joomla oder Typo3 überhaupt eine Zeile Code ausführen können. Wenn unten im Keller das Fundament brennt, diskutiert oben im Penthouse niemand mehr über die Farbe der Vorhänge.
In Episode 160 seziert Markus die Anatomie dieses Angriffs: Warum ein Speicherüberlauf mit unsauberem longjmp() die Haustür schmelzen lässt, bevor die Klingel läutet. Er blickt hinter die Kulissen im Rechenzentrum – von sofortigen WAF-Filtern bis zum FPM-Rolling-Restart – und kramt eine legendäre Anekdote aus dem Jahr 2000 hervor, warum man Pufferüberläufe nicht per Chef-Dienstanweisung verbieten kann. Dazu gibt es die konkrete Vier-Punkte-Checkliste für dein Setup am Freitag.
Kapitelmarken:
00:00 Cold Open: Der Mittwochnachmittag & das brennende Fundament
02:45 HOUSEKEEPING: KI-Crawler-Stress auf Servern & hosttest-Abschluss
07:00 Drei News in drei Minuten:
- News 1: Jensen Huang in Berlin – Wenn der Halbleiter-König „Atome statt Elektronen“ feiert
- News 2: Der fliegende Roadster – Wenn das Auto zur Browser-Animation wird
- News 3: EU-Chatkontrolle, die Palantir-Bombe und die Matrix-Antwort
12:30 DER AUSNAHMEZUSTAND: PHP2Shell als Meme und Realität (76 % des Webs betroffen)
16:25 DIE ANATOMIE: Warum die Haustür schmilzt, bevor es klingelt (longjmp & Stale Global State)
21:19 DER BLICK IN DEN MASCHINENRAUM: Wer betreibt, wer haftet? (WAF, Pipelines & die ILOVEYOU-Anekdote)
25:24 DAS DIGITALE ASBEST & EURE CHECKLISTE FÜR HEUTE: Staging, FPM-Restarts & Hygiene
Eure 4-Punkte-Checkliste für heute (Small Web Sanctuary):
1. Aktive PHP-Version prüfen: Im Kundencenter oder WP-Dashboard nachsehen. Alles unter PHP 8.2 ist End-of-Life und akut gefährdet.
2. Eigene Server/VMs patchen: Wer Root-Server oder Docker betreibt, muss Pakete ziehen und zwingend php-fpm neu starten.
3. Versionssprünge im Staging testen: Nicht blind live umschalten – 1-Klick-Staging nutzen, Plugins testen, dann deployen.
4. Upload-Verzeichnisse auditieren: Nach verdächtigen Webshell-Dateien und aktuellen Änderungsdaten Ausschau halten.
Links zur Episode:
- goneo Blog & Social Hub: https://social.goneo.de
- PHP Foundation Notfall-Release & Sicherheitshinweise: https://thephp.foundation/
- BSI Warnmeldung zu PHP2Shell (CVE-2026-109618 / CVE-2026-109619): https://www.bsi.bund.de/
- News 1 – Jensen Huangs Berlin-Rede zu Industrie-KI: https://www.nvidia.com/
- News 3 – Matrix.org zu Chatkontrolle & E2EE: https://matrix.org/
- Folge 159 „Die Domain als Grundbuch“: https://social.goneo.de/podcast-2/
