Connect with us

Künstliche Intelligenz

php2shell aus Sicht eines Hosters: Ruhe bewahren, aber nicht verschlafen


Manuel Schmitt ist iX-Autor sowie Gründer und CTO der manitu GmbH. Er berichtet von seinen Erfahrungen als Hostinganbieter mit den php2shell-Lücken.

Weiterlesen nach der Anzeige


PHP2Shell-Webinar

PHP2Shell-Webinar

In diesem 2,5-stündigen iX-Webinar für PHP-Entwickler und Webmaster erklärt PHPUnit-Erfinder Sebastian Bergmann, wie man ältere PHP-Versionen absichert, warum jetzt ein Upgrade auf eine aktuelle PHP-Version unvermeidbar ist und welche Stolpersteine man dabei vermeiden muss.

Webinar: Vom Notfallpatch zum Upgrade – PHP nach PHP2Shell, 6.11.2026, 9:30-12:00

Dank KI sehen wir uns als Hoster nicht nur neuen Herausforderungen gegenüber, sondern auch immer öfter auftretenden Sicherheitslücken. Manchmal tauchen mehrmals pro Woche relevante CVEs für alles auf, was für uns im Hoster-Alltag eine Rolle spielt – mal dringender, mal weniger.

Sobald das Kürzel RCE (Remote Code Execution) auftaucht, schrillen natürlich bei jedem die Alarmglocken. Ob ein Kernel-Root-Exploit oder (wie in der Woche mit den php2shell-Lücken) ein fundamentaler Fehler im Speicher-Management von PHP: Verständlicherweise reagiert man mit dem Reflex, sofort alles abzuschalten, wie wir es auch bei Marktbegleitern gesehen haben. Wir hatten uns bewusst dagegen entschieden.




Manuel Schmitt ist Gründer und CTO der manitu GmbH.


PHP2Shell-Webinar

PHP2Shell-Webinar

In diesem 2,5-stündigen iX-Webinar für PHP-Entwickler und Webmaster erklärt PHPUnit-Erfinder Sebastian Bergmann, wie man ältere PHP-Versionen absichert, warum jetzt ein Upgrade auf eine aktuelle PHP-Version unvermeidbar ist und welche Stolpersteine man dabei vermeiden muss.

Webinar: Vom Notfallpatch zum Upgrade – PHP nach PHP2Shell, 6.11.2026, 9:30-12:00

Die Ankündigung kursierte noch vor den offiziellen Details, und das ließ wenig Gutes erahnen. Keine triviale Lücke, die nur unter ungünstigen Konstellationen ausnutzbar wäre, sondern ein Angriff, der die gesamte PHP-basierte Webserverwelt betraf. Wer PHP und RCE in einem Satz liest, denkt unwillkürlich an die (zum Glück längst vergangenen) Zeiten, in denen PHP als unsichere Sprache verschrien war. Derartige Klassen von Schwachstellen werden nach meiner Einschätzung allmählich fast überall entdeckt werden. PHP ist hierbei weder eine rühmliche noch eine besonders unrühmliche Ausnahme.

Weiterlesen nach der Anzeige

Was die Lücke technisch so bedeutsam machte: Es war kein isolierter Bug in einer einzelnen Funktion, sondern ein strukturelles Problem im Umgang mit Speicherfehlern, das sich durch den gesamten PHP-Kern zog. Der offizielle Patch änderte schließlich 389 Dateien. Zwei Jahrzehnte hatte dieser Fehler also in den meisten PHP-Versionen geschlummert.

Für uns als Hoster ist eine solche Situation – neben Kernel-Exploits – einer der denkbar kritischsten Fälle. Dennoch haben wir seit dem ersten Hinweis, dass da etwas im Kommen war, die Situation mit Ruhe und Sorgfalt beobachtet. Wir nutzten offizielle Quellen, eigene Analyse und die uns zur Verfügung stehenden Quellen. Wir sind gut vernetzt, jeder bei uns im Team verfügt über hilfreiche Kontakte, und dies alles hilft, frühzeitig reagieren zu können.

Wir haben diesen Weg gewählt, als sich abzeichnete, dass eine Mitigation möglich war – noch vor der offiziellen Veröffentlichung der Sicherheitslücken. Die Abwägung war nicht trivial: Sicherheit unserer Systeme auf der einen Seite, Verfügbarkeit der Kunden-Anwendungen auf der anderen. Die Mitigation bedeutete unter anderem, dass Formular-Uploads (teils auch unabhängig von PHP) nicht mehr funktionierten – mit unangenehmen Folgen für Kunden. Das betraf auch unsere eigene Website und unser Kundenportal. Diesen Kompromiss haben wir mit fortlaufender Analyse und noch stärkerer Überwachung unserer Systeme abgesichert, denn eine Mitigation allein reicht bei solch einem Szenario nicht – man muss noch wachsamer sein als sonst.

Selbstverständlich lag auch die Alternative auf dem Tisch, vorsorglich PHP oder gar „alles mit Web“ abzuschalten. Sie war als Fallback eingeplant. Wir haben diese Karte nicht gezogen, weil unsere Einschätzung war, dass die Mitigation hält. Diese Einschätzung erwies sich im Nachgang als richtig.

Als die offiziellen Patches erschienen, war die Erleichterung spürbar: weil das Problem gelöst war und endlich Patches vorhanden, aber auch, weil die technischen Details unsere Einschätzung der Mitigation und deren Wirksamkeit bestätigten.

Wir setzen auf Gentoo Linux, was bedeutet: kein einfaches apt upgrade, sondern ein eigener Build-, Prüf- und Deployment-Prozess. Das klingt aufwendiger, gibt uns aber auch deutlich mehr Kontrolle. Die Updates liefen durch wie bei einem normalen PHP-Patch-Release, aber mit einer Extra-Portion Aufmerksamkeit dafür, dass wirklich alle betroffenen Systeme das Update erhalten und angewandt haben. Automatismen sind gut – ein zusätzlicher prüfender Blick war in diesem Fall keine Kür, sondern Pflicht. Die Nacht danach verlief ruhig. Fast zu ruhig – man wartet in solchen Momenten fast darauf, dass jemand innerhalb weniger Stunden eine Regression findet.

Drei Dinge haben sich bei diesem Vorfall für uns bestätigt.

Erstens: Agieren, aber eben nicht überreagieren. Sicherheitsrelevante Themen verlangen höchste Priorität, aber kein übereifriges Handeln. Ja, das kann schiefgehen. Und wir sagen auch ehrlich: Man kann nicht immer PHP abschalten, nur weil jemand PHP und RCE irgendwo im Netz in einem Satz schreibt. Das müsste man dann konsequenterweise bei jeder Kombination aus beliebigem Produkt-Namen und RCE immer so machen. Wir wurden in diesem Vorfall in unserer Haltung bestärkt, dass Ruhe und technischer Sachverstand mehr wert sind als reflexartiges Handeln – auch wenn ersteres manchmal schwerer zu vermitteln ist.

Zweitens: Eine gute Status-Seite ist Gold wert. Mehr Kunden als je zuvor haben in dieser Situation aktiv unsere Status-Seite besucht und sich primär dort informiert, auch über unsere laufenden Aktualisierungen. Bemerkenswerterweise haben sie danach den Support deutlich seltener kontaktiert als bei weniger kritischen Vorfällen. Wir glauben, dass unsere Kunden hier ganz bewusst die Status-Seite als ihre primäre Quelle genutzt haben – und dass informierte Kunden, die sehen, dass man sich kümmert, wie erhofft ruhiger reagieren.

Drittens: Manchmal ist keine Mail auch eine gute Kommunikation. Wir haben in diesem Fall entgegen unserer sonstigen Praxis bewusst auf ein Mailing an Kunden verzichtet. Das war eine der schwierigsten Entscheidungen in diesem Vorfall, denn normalerweise pflegen wir eine proaktive Kommunikation. Aber wir wollten schlichtweg keine unnötige Panik schüren. Gerade unbedarfte Kunden hätten viele noch so wohlbedachte Worte vielleicht missverstehen können. Wir kümmerten uns um die Angelegenheit, auch wenn wir in diesem Fall nicht laut darüber sprachen. Im Rückblick zeigte sich, dass die erhoffte Wirkung eintrat: Kunden lasen unsere Status-Seite und die FAQ, einige meldeten sich und bedankten sich explizit für genau diese Vorgehensweise.


(tiw)



Source link

Künstliche Intelligenz

Microsoft-Ausfall: Woran es lag und wer besonders litt


Eine stundenlange Großstörung hat weltweit Unternehmen und Verbraucher von zentralen Cloud-Angeboten des Software-Konzerns Microsoft abgeschnitten. Betroffen waren nicht nur der E-Mail-Dienst Outlook, sondern generell Dienste aus dem Cloud-Paket Microsoft 365. Beim Bürokommunikations-Angebot Teams etwa funktionierten das Planen von Besprechungen und Kalender-Anbindungen nicht richtig. Zudem waren der KI-Assistent Copilot sowie Schnittstellen zu Drittanbietern zeitweise gestört, darunter KI-Dienste wie OpenAI und Anthropic.

Weiterlesen nach der Anzeige

Microsoft machte zum Freitagnachmittag nach und nach Fortschritte – bis die Systeme dann wieder stabil liefen. Die Dienste seien zur Sicherheit schrittweise hochgefahren worden, auch wenn es dadurch länger gedauert habe. Der Konzern betonte danach, die Störung sei auf ein hausgemachtes Problem und nicht auf eine Cyberattacke oder KI-Aktivität zurückgegangen.

Der Grund habe letztlich in einem zuvor durchgeführten Upgrade der Netzwerk-Kapazität gesteckt. Ein dabei eingeführtes Problem sei erst nach jüngsten Netzwerk-Änderungen in Erscheinung getreten, hieß es. Später werde es einen ausführlichen Bericht zu dem Zwischenfall geben.

Die Deutsche Bahn meldete wegen der Störung kaum Probleme. „Züge fahren unabhängig von Microsoft-Systemen, deshalb läuft der bundesweite Bahnbetrieb stabil“, teilte ein Sprecher des bundeseigenen Konzerns mit. In ganz wenigen Fällen sei es zu Verzögerungen gekommen, „weil kurzfristige Fahrplananpassungen nicht per E-Mail versendet werden konnten“. Bei der Lufthansa gab es nach Angaben eines Sprechers keine Auswirkungen auf den Flugverkehr. Es seien andere Systeme im Einsatz. Auch die Flughäfen in Frankfurt und Berlin teilten mit, dass die Microsoft-Probleme sich nicht auf den Flugbetrieb auswirkten.

Bei Deutschlands größtem Strom-Verteilnetzbetreiber Eon war der Betrieb der Energienetze nach eigenen Angaben nicht betroffen. Grund dafür sei eine klare Trennung zwischen Systemen für Informations- und für Betriebstechnologie, erklärte eine Sprecherin. Letztere liefen auf speziell abgesicherten Infrastrukturen, die nicht von den betroffenen Microsoft-Diensten abhängig seien.

Im Frankfurter Finanzdistrikt war wie vielerorts die interne Kommunikation gestört. Bankfunktionen seien nicht betroffen und liefen alle ohne Störungen, erklärte ein Sprecher der Commerzbank. Bei der Deutschen Börse hieß es, der Wertpapierhandel laufe wie gewohnt.

Nach Angaben der Bundesregierung hatte die stundenlange Störung keine größeren Auswirkungen auf die Verwaltung. „Aus der Bundesverwaltung liegen uns keine Meldungen über größere Ausfälle vor“, sagte ein Sprecher des Digitalministeriums in Berlin. Man gehe jedoch von einer großen Betroffenheit in der deutschen Wirtschaft aus. Beim Bundesamt für Sicherheit in der Informationstechnik (BSI) hieß es, von vielen Unternehmen seien Meldungen zum Ausfall bei der Kommunikation eingegangen. Es gebe aber keine Hinweise auf einen Cyberangriff.

Ein Sprecher des Innenministeriums sagte, es gebe bisher keine Kenntnisse darüber, dass das Ministerium oder anhängige Behörden betroffen seien. Der Sprecher des Digitalministeriums erklärte, dass der Bundesclient als Standard-IT-Arbeitsplatz in der Bundesverwaltung stabil laufe. Dieser nutze Microsoft nicht in der Cloud, sondern werde auf eigener Infrastruktur betrieben. Jedoch nutzten noch nicht alle Behörden den Bundesclient, sondern dieser soll bis 2032 Standard in der gesamten Verwaltung werden. Der einheitliche E-Mail-Client in der Bundesverwaltung laufe stabil.

Weiterlesen nach der Anzeige

Angaben der Microsoft-Ingenieure zufolge wurde auf betroffenen Servern ein Prozess überlastet, der für den Aufbau sicherer Verbindungen zuständig ist – woraufhin die Rechner keine Anfragen mehr verarbeiteten. Zudem machte der Konzern die jüngste Konfigurationsänderung rückgängig, die zeitlich mit dem Beginn der Störung zusammenfiel. Microsoft erklärte, man suche angesichts anhaltender Ungleichgewichte bei der Datenverkehrssteuerung nach Wegen, um die Kapazitäten zu erhöhen.

Ausfälle von Online-Diensten gehören zum Alltag – meist sind sie aber von kurzer Dauer. Manchmal sind die Probleme aber so gravierend, dass es zu stundenlangen Störungen kommt. Microsofts Cloud- und E-Mail-Dienste hatten erst Ende August einen stundenlangen großflächigen Ausfall durchlebt, bei dem sich Nutzer nicht einloggen oder Nachrichten senden und empfangen konnten.

In Australien fiel der Ausfall mitten in die Abschlussprüfungen. Schüler aus Melbourne berichteten dem Sender ABC, sie könnten sich nicht auf ausstehende Sprachprüfungen vorbereiten, weil sie weder auf Materialien noch auf die Website der Prüfungsbehörde zugreifen könnten. Auch Online-Unterricht an Berufsschulen über Microsoft Teams war betroffen. Arzttermine und Untersuchungen mussten verschoben werden. Der Ausfall führte zu Verzögerungen im Flugverkehr. In Sydney musste eine Maschine mit Ziel Papua-Neuguinea am Boden warten, weil der Kapitän seine für den Start erforderlichen Unterlagen nicht per Outlook erhalten hatte.


(nie)



Source link

Weiterlesen

Künstliche Intelligenz

Rust als perfekte Sprache für Agentic AI: Online-Konferenz betterCode() Rust


Am 26. November 2026 findet die sechste Auflage der betterCode() Rust statt. Dieses Jahr legt die Online-Konferenz den Fokus auf agentengetriebene Entwicklung für Rust-Anwendungen.

Weiterlesen nach der Anzeige

Die betterCode() Rust zeigt, welche Architekturen, Tools und Prozesse sich für die agentische Softwareentwicklung mit Rust eignen. Die Vorträge vermitteln Best Practices und Leitlinien, für welche Aufgaben man Agenten sinnvoll einsetzen kann und was man lieber noch selbst macht.

Das Programm der Konferenz bietet unter anderem folgende Vorträge:

  • Systems Design mit Rust und Agenten
  • Sokrates und die Wartbarkeit deiner Rust-Codebasis
  • Embedded Sensor mit Agentic Rust entwickeln
  • Harness Engineering: Rust als perfekte Sprache für agentische Entwicklung
  • Rust in the Age of Agents

Die Konferenztickets sind zum Preis von 299 Euro (alle Preise zzgl. 19 % MwSt.) erhältlich. Teams ab drei Personen erhalten im Online-Ticketshop automatisch einen Gruppenrabatt.

Am 2. Dezember findet zusätzlich der Workshop „Agent-Ready Rust: Harness Engineering für AI Coding Agents“ statt, der 549 Euro kostet.

Wer über den Verlauf der betterCode()-Konferenz auf dem Laufenden bleiben möchte, kann sich für den Newsletter eintragen.


(rme)



Source link

Weiterlesen

Künstliche Intelligenz

Polarlicht bis Porträt: Licht und Himmel in den Bildern der Woche 46


In dieser Woche steht bei der Bildauswahl aus der c’t-Foto-Galerie der Himmel im Mittelpunkt: Mal dient er als Bühne für die Polarlichter über Norwegen, mal erscheint er als nebliges Grau über den Wolkenkratzern Londons und mal erstrahlt er in goldenem Morgenlicht über den Dächern Berlins. Was alle Aufnahmen verbindet, ist der konsequente Blick auf das Licht und die so geschaffene Atmosphäre. Dabei verändern sich die Stimmungen von Bild zu Bild und entfalten immer eine starke emotionale Wirkung.

Weiterlesen nach der Anzeige

Dazu gesellen sich Motive, die auch die Vielfalt der fotografischen Genres in der Foto-Galerie zeigen: Ein Vogel, präzise aus seinem Umfeld herausgelöst, eine Möwe im Bruchteil einer Sekunde zwischen zwei Tauchgängen, ein gestrandetes Wrack, das durch Langzeitbelichtung und Schwarz-Weiß-Umsetzung zeitlos wirkt – und schließlich ein Porträt, in dem Licht und Schatten zur eigentlichen Aussage werden. Sieben Bilder, sieben Haltungen und eine große Sorgfalt im Blick.




Die Saison ist im vollen Gange

(Bild: Wolzow1902)

Wie vertikale Pinselstriche steigen grüne und violette Lichtbänder der Aurora vom Horizont in den tiefblauen Nachthimmel über Norwegen. Die dunkle Silhouette der Hügelkette am unteren Bildrand bildet eine ruhige Grundlinie, vor der sich das Polarlicht umso dramatischer entfaltet. Herbstlich gefärbtes Laub an den Bildrändern rahmt die Szenerie ein und schafft eine spannungsvolle Verbindung zwischen Vordergrund und Himmel. Die Farbskala von tiefem Blau über leuchtendes Grün bis zu zartem Violett verleiht dem Bild eine orchestrale Dynamik.




City of London

(Bild: M.Schröder)

Nebel verschluckt die Spitzen dieser Londoner Hochhäuser, er löst die Architektur nach oben hin in ein tonales Grau auf und erzeugt so eine atmosphärische Perspektive. Der zentrale Turm dominiert mit seinem Raster aus Glasflächen das Bild, während ein Baukran an der linken Flanke eine feine vertikale Linie setzt. Rechts schiebt sich ein zweites Gebäude mit markanter Stahlstruktur ins Bild und schafft so eine Staffelung der Bildebenen.




Eisvogel

(Bild: Lightpix84)

Ein Eisvogel sitzt auf einem Vorsprung am Wasser und blickt nach oben. Die Aufnahme entstand mit einem Teleobjektiv, das den Hintergrund in ein weiches Bokeh aus warmen Braun- und Grüntönen auflöst. Die geringe Schärfentiefe isoliert den Vogel präzise und lenkt die Aufmerksamkeit auf das leuchtende Türkisblau seines Gefieders, das im Komplementärkontrast zu den orangefarbenen Brustpartien steht. Der Bildaufbau platziert das Tier im unteren Drittel, sodass der weiche, fast malerische Hintergrund viel Raum erhält und eine ruhige Tiefenwirkung entsteht. Die nach oben gerichtete Kopfhaltung des Vogels führt den Blick entlang einer diagonalen Linie durch das Bild und verleiht der Szene eine gewisse Spannung.




Wenn Bäume mal richtig was hermachen

(Bild: ulwp6)

Aus erhöhter Position blickt die Kamera über eine weite, von Nebelschwaden durchzogene Berliner Landschaft bei Sonnenaufgang. Dutzende Bäume ragen aus dem flachen Dunst hervor und werfen lange, klar gezeichnete Schatten auf den Boden. Im Hintergrund zeichnet sich die Silhouette der Hauptstadt ab: Hochhäuser und der Fernsehturm verschwimmen im goldenen Dunst. Am Horizont schiebt sich die Sonne durch eine Wolkenbank und färbt den Himmel in kräftigen Orange- und Gelbtönen, während darüber bereits kühles Blau durchscheint.




Das Wrack

(Bild: Asfotografie)

Gestrandet und verwittert, und doch zieht es den ganzen Blick auf sich. In einer walisischen Bucht liegt dieses alte Boot wie ein Monument der Vergänglichkeit. Es ist umgeben von seidig verwischtem Wasser und ziehenden Wolken. Durch die Langzeitbelichtung wird alles ringsum zur Nebensache, nur das raue Holz des Rumpfes bleibt greifbar und präsent. Die Schwarz-Weiß-Darstellung nimmt der Szene jede Ablenkung und rückt Struktur und Stimmung in den Vordergrund. Ein Bild, das man lange betrachtet – und das dabei immer ruhiger wird.




… und in den Angriff übergehen

(Bild: Zika)

Rote Füße, nasses Gefieder und der Blick steil nach unten – diese Lachmöwe, die über dem Wasser kreist, zögert nicht. Gerade ist sie aus dem Wasser aufgestiegen und verharrt für einen Wimpernschlag in der Luft, die Flügel weit aufgespannt. Die feinen Spritzer unter ihr markieren den letzten Tauchgang, während der gesenkte Kopf bereits den nächsten ankündigt. Der ruhige, entsättigte Hintergrund isoliert den Vogel und verleiht dieser Vogelstudie eine fast grafische Klarheit.

Weiterlesen nach der Anzeige




Bernadette

(Bild: Thomas Ruppel)

Licht, das Streifen malt, und ein Blick, der alles einfängt. Die diagonalen Schattenlinien der Jalousie legen sich wie ein grafisches Raster über Haut, Haar und Hintergrund und erzeugen ein spannungsreiches Muster. Die Schwarz-Weiß-Umsetzung dreht den Kontrast auf und verleiht dem Porträt eine fast skulpturale Wirkung. Die voluminösen Locken des Models brechen das strenge Linienspiel auf organische Weise auf, während die lässig an die Schulter gelegte Hand den Blick zurück zum intensiven Ausdruck lenkt. Hier trifft geometrische Strenge auf natürliche Form.


(vat)



Source link

Weiterlesen

Beliebt