Post by @AwetTesfaiesus@mastodon.social
Ich versuche, die Rolle von KI bei #php2shell einzuordnen. Ist es das Fieber oder das Fieberthermometer?
Mir scheint: letzteres.
Liege ich falsch?
Sowohl als auch, denn zum einen können mit KI schneller Lücken erkannt werden, auf der anderen Seite aber auch leichter ausgenutzt werden. Die Frage ist eigentlich, ob Software, die von KI selbst erstellt wird (zB durch vibe coding), zuverlässiger sein wird. Ich bin da noch skeptisch.
Wobei hier die Frage ist, ob das nicht auch ohne KI bereits der Fall wäre. Ki erhöht da nur die Wahrscheinlichkeit und auch die Geschwindigkeit
@marquito Wahrscheinlichkeit wofür? Die Schwachstelle war da; dass sie von state actors ausgenutzt wurde, halte ich für überwiegend wahrscheinlich.
Advocata diaboli:
Sollen wir der KI nicht danken, dass sie die Welt auf die praktische Relevanz des Problems aufmerksam gemacht hat?
Happy to be proved wrong.
Keine Ahnung, ob man da der KI danken sollte. Vielleicht wäre die Lücke nicht entdeckt worden oder nur später - schwer zu beweisen.
Was ich nur sagen wollte ist, dass man nicht weiß, was state actors bereits wussten und getan haben - vollkommen unabhängig von KI. Es kann sein, dass dort die Lücke schon länger bekannt war auch ohne KI. Who knows?
Das habe ich bisher noch nicht gehört. Muss ich mal schauen, ob ich dazu was offizielles finde.
@marquito @AwetTesfaiesus Dass da theoretisch eine Lücke sein könnte, war dem Team seit 2024 bekannt. Dass sie auch konkret genutzt werden kann und wie genau, das ist die neue Erkenntnis. Details hier: https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
Das zugrundeliegende Problem ist dass das Team nicht genug Kohle hat, wie bei vielen FLOSS Projekten. Große Firmen bedienen sich gerne, ohne was zurückzugeben und es bleibt viel bei Ehrenamtlichen hängen.
@AwetTesfaiesus @marquito Ja, es ist die Kombination von 2 Problemen, die da aufeinandertrifft.
Es sollten jetzt übrigens auch alle ihre Browser aktualisieren. Da hab es ein unsicheres Verschlüsselsungszertifikat der Firma eMudhra. Darum geht es bei den ganzen "4" Witzen diese Woche.
Wer rumprogrammiert oder Server betreibt, muss hier mindestens ca-certificates, Python pip und node.js aktualisieren.
Browser testen kann man mit https://emudhra.we-have-a-problem.com/
@AwetTesfaiesus @gunchleoc @marquito
Es geht um 2 Fehler, an denen die Foundation seit 2 Jahren arbeitet. Aber "To fix the OOM problem, the PHP security team developed several competing approaches, but each came with its own trade-offs: backward compatibility breaks, new denial-of-service potential, or requiring changes to many third-party extensions which seemed impossible to coordinate." Fehlende Ressourcen und auch strukturelle Fragen werfen sie hier sehr offen auf:
https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
@AwetTesfaiesus @marquito Die von dir zitierte Aussage sagt lediglich, dass der Fehler vor 18 Jahren gemacht wurde, und nicht dass er seit 18 Jahren bekannt ist.
@AwetTesfaiesus @marquito Stell dir mal vor es könnte ab morgen jeder in seinem Keller eine Atombombe bauen. Würdest du dann auch sagen "state actors können das seit 1945"?
Wir reden hier von einer ganz anderen Qualität der Bedrohung. Jeder Kriminelle, Fanatiker oder auch Teenager mit Langeweile kann dank KI von zu Hause aus kritische Systeme angreifen. Klar, man hätte die von Anfang an sicherer gestalten müssen, aber diese Messe ist gelesen.
@AwetTesfaiesus @marquito Tatsächlich? In Frankreich wurden schon die Kühlgeräte in Supermärkten sabotiert. Alle Infrastruktur hat löchrige Software. Und man kann außer der #noAfd auch andere hacken. Dann sind schwupps Bankdaten, Adressen, sexuelle Vorlieben, politische Orientierung, Krankenakten, etc. im Netz.