Wie gefährlich ist PHP2Shell wirklich?

Eine kritische Sicherheitslücke in der Programmiersprache PHP hat weltweit zahlreiche Websites lahmgelegt. Behörden und Unternehmen nahmen ihre Seiten vorsorglich vom Netz. Wie gefährlich war PHP2Shell tatsächlich, welche Rolle spielte KI bei der Entdeckung der Schwachstellen und was lehrt uns der Vorfall über Open-Source-Software?
Außerdem sprechen Sven, Alexandra und Johannes über den sogenannten Hacker-Paragrafen. Denn wer Sicherheitslücken aufdeckt und meldet, riskiert in Deutschland unter Umständen strafrechtliche Konsequenzen. Warum ist das so und was könnte eine Reform des Computerstrafrechts ändern?

---

Willkommen in der Cybernation! Hier reden die Cybersicherheits-Expert:innen Sven Herpig (interface), Alexandra Paulus (Stiftung Wissenschaft und Politik) und Johannes Steger (FGS Global) über Strategien, Strukturen und Streitpunkte der Cybersecurity. Denn: Cybersicherheit betrifft uns alle täglich, zum Beispiel wenn die Funktionsfähigkeit von Behörden lahmgelegt wird, Flughäfen zeitweise nicht funktionieren oder KI-Bilder eingesetzt werden um unser Vertrauen in die Demokratie zu schwächen.

Feedback an: redaktion@cybernation.fm

Cybernation ist ein „Lage der Nation“-Podcast.

---

Werbepartner:

Prokon: Die Prokon eG ist eine der größten Energiegenossenschaften Deutschlands. Mit dem Kauf von Genossenschaftsanteilen liefert ihr essentielles Kapital für den Ausbau und Betrieb von Erneuerbare Energie-Projekten. Informiert euch jetzt unter: prokon.energy

Unsere Werbepartner findet ihr hier

Unsere Grundsätze für den Umgang mit Werbung findet ihr hier

---

Quellen zu dieser Folge:

PHP-Schwachstelle

Php2shell: Updates trudeln ein, viele Webseiten offline, Angriffe laufen (Heise)
PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet (Wiz)
PHP: Kritische Schwachstellen bedrohen Webanwendungen weltweit (Bundesamt für Sicherheit in der Informationstechnik)
Common Vulnerability Scoring System version 4.0: Specification Document (First)
Usage statistics of PHP for websites (W3Techs)
RCE via OOM corruption (Github)
RCE via stale global state (Github)
Cloudflare meldet Millionen von Angriffen (Handelsblatt)
PHP2Shell services (Censys)
PHP2Shell: Exploitation Attempts and Remediation Trends (Wiz)
Chained PHP2Shell Exploit Roots 25 Servers, including US Government Servers (Dreamgroup)
Factbox-Governments, companies take websites offline over PHP flaws (Euronext)

“Hacker-Paragraf” – Wann kommt die Reform?

Ergebnisbericht des Workstreams BuntesBugBounty (Dialog für Cyber-Sicherheit)
Strafgesetzbuch (StGB) § 202a Ausspähen von Daten (Bundesministerium der Justiz und für Verbraucherschutz)
Wir veröffentlichen den Gesetzentwurf zum Computerstrafrecht (Netzpolitik.org)
Modern Solution: Verurteilter IT-Experte reicht Verfassungsbeschwerde ein (Heise)
Verfassungsbeschwerden gegen Hackerparagraphen unzulässig (Heise)
Berliner LKA ermittelt gegen IT-Expertin, die Sicherheitslücken in Partei-App fand (Netzpolitik.org)
Vulnerability Disclosure: Guiding Governments from Norm to Action (interface)
Cyber Resilience Act (European Commission)
Post auf X: KI-generierte Exploits für PHP-Sicherheitslücken häufig fehlerhaft (MalwareTechBlog auf X)
CVE-2026-10619 Detail (National Vulnerability Database)
CVE-2026-109618 Detail (National Vulnerability Database)
Disclosure (Chaos Computer Club)

---

Was wir diese Woche gelesen, gehört, gesehen haben:

Sven:

Deutsche Nachrichtendienste setzen auf Google (Tagesschau)

Alexandra:

The Pentagon is quietly building an elite new tech sabotage agency (Politico)

---

In eigener Sache: Wenn ihr Fachkräfte im Bereich IT und Cybersecurity sucht, dann ist Cybernation die ideale Plattform für eure Recruiting-Kampagne. Ihr könnt nämlich ab jetzt Stellenanzeigen in unserem Podcast schalten. Cybernation bringt Eure Stelle genau dorthin, wo sich spezialisierte IT-Professionals informieren. Interesse? Dann meldet euch unter werbung@lagedernation.org