Sonderfolge: PHP2Shell

0:00 Sie haben dann am 20., das war der Dienstag, angekündigt, morgen, am Mittwoch, dem 21. Kommt der Patch, kommen die Patches und auch die Erklärung, was es ist und so weiter. Ich rede jetzt wirklich spezifisch davon, ob das, was jetzt passiert ist, für eine Remote-Code-Execution-Lücke in PHP das richtige Vorgehen ist oder ob alle Lack gesoffen haben.

0:24 Das ist eine Jahrneinfrage. Also ich glaube, das hat halt einfach mit der Verfügbarkeit von KI-Tools zu tun. Das musst du noch mal, also ich habe den urersten Teil der Frage wahrgenommen, werde ich gleich darauf eingehen, aber ich habe diesen Part jetzt nicht mehr. Es ist auch schwierig, ich bin gerade dabei, das zu sehen, während die Katzen sich hier gerade verprügeln.

1:05 Willkommen zu einer neuen Folge des Working Draft. Diesmal eine Bonus-Folge. Das haben wir eigentlich so richtig noch nie gemacht, außer unsere On-Tour-Folgen. Die sind auch Bonus-Folgen. Aber so regulär haben wir das nie gemacht. Anlass ist PHP to Shell. Ja, die Idee, dass wir diese Folge aufnehmen, kam von unserem Gast Hans-Christian Otto, auch bekannt als Kiki. Hi. Oder Christian. Hi.

1:31 Oder Christian. Also Kiki finde ich okay, Christian finde ich okay. Ich bin immer so, wenn man Hans oder Otto sagt, ist es schwierig für mich. Okay. Nee, Hans ist ja schon reserviert und Otto auch. Ja, okay. Und mit dabei ist auch der Peter aus unserem Team. Oh mein Gott, wir werden alle sterben. Warum? Wieso? Sicherheitslücke. Also hallo, ich habe eine Sprachnachricht bekommen, von meiner Partnerin, die da sagte, Jo, hier sitzen irgendwie jetzt drei Psychologen in einem Raum und wir fragen uns, was ist PHP?

2:03 Erklär doch mal. Mhm. Ja, alle haben es zumindest mitbekommen. Es gab eine Sicherheitslücke in PHP, aber eben in PHP der Runtime und nicht in irgendwelchen Systemen, die auf PHP aufsetzen. Also es lag nicht an der schlechten Programmierung eines WordPress, es lag auch nicht an einer bloßlegen Programmierung eines Typo3, sondern der Fehler steckte im Grunde in der PHP-Runtime selbst.

2:34 Also und zwar in dem Bereich, der ausgeführt wird, bevor überhaupt unser eigener Code, PHP-Code, so wie in den Schreiben ausgeführt wird. Und das fing ja jetzt diese Woche an mit, glaube ich, der Ankündigung, dass es Sicherheitslücken gibt und zwar sehr schwere. Ich glaube, es war sogar die Ankündigung, die gekommen ist, war ja eine Reaktion darauf, dass aus Versehen schon was geleakt ist dazu.

3:01 Also ich glaube, der Anfang war, dass die CVS, CVSS, dass die Nummern der Sicherheitslücke irgendwann plötzlich aufgetaucht sind. Und daraufhin kam dann die Ankündigung. Also ich glaube, das Erste war irgendwie, es sind diese Nummern aufgetaucht und dann kamen die Ankündigungen. Genau, also die, im Grunde gab es ja das schon, also das sind Dinge, die so eben eine der bekannten KIs, die man so kennt, diese Security-Krise.

3:28 Auf Security-spezialisierten KIs rausgefunden haben. Ich glaube, da ist ja auch hier eine Google-Firma beteiligt gewesen, daran das zu finden. Und dann Open Air hat das auch gefunden und so weiter. Und haben das halt an die PHP-Leute, glaube ich, im August gemeldet, wenn ich das richtig im Kopf habe.

3:45 Ich nehme mal nochmal das von früher mit dazu. Es geht sogar noch einen Schritt weiter zurück. Also ich glaube, die ersten Indizien für diese Lücke sind schon zwei Jahre alt. Was irgendwie sowas ist, wenn man das mit Leuten, die nicht drin steckt, bespricht, dass diese Themen, die plötzlich hier in der Tagesschau auftauchen, mit irgendeiner Sicherheitslücke eigentlich zwei Jahre alt sind, dann irritiert es Leute deutlich sehr.

4:05 Aber mein Verständnis ist, 2024 ist es schon das erste Mal entdeckt worden, dass es da in diesem Bereich eine Lücke geben könnte. Damals, meinem Verständnis nach, auch ohne KI, sondern wirklich noch von Menschen. Keine Ahnung, ob die eventuell auch KI-Werkzeuge genutzt haben, Aber das war so ein klassisches Security Audit, was damals gemacht wurde, wo man festgestellt hat, an der Stelle ein Hinweis, ich mag mich hier an Details vertun. Ich gebe es nach bestem Wissen und Gewissen wieder, aber ich mag mich an Details vertun.

4:35 Aber da gab es meines Verständnisses nach schon diesen Hinweis, da könnte so ein Out-of-Memory-Problem existieren und eventuell auch schon. Ich bin mir nicht sicher, ob man schon wusste, welche Art von Angriff dadurch möglich ist, also ob so Code ausführen auch schon als Angriffsvektor da war, aber es war mehr so, das könnte da existieren und mein Verständnis ist, man war sich nicht sicher, ob und wie das ausgenutzt werden kann und auch nicht, ob und wie das.

5:03 Gepatcht werden kann. Kann und sollte, sondern es war erstmal nur ein theoretisches Problem, was man da im Auge hatte. Dann hast du auf jeden Fall auch recht, dass mehrere Firmen, die irgendwie mit KI und Security was machen, meinem Verständnis nach relativ zeitgleich, und es mag auch sein, dass es alles so um August rum passiert ist.

5:26 Teilweise, glaube ich, war auch die Rede von Anfang des Jahres schon. Und mein Verständnis ist, dass wirklich mehrere unterschiedliche Instanzen zeitgleich in Anführungszeichen darauf gestoßen sind. Und jetzt, glaube ich, bei dem Wort zeitgleich relevant, auch das ist, glaube ich, für Leute, die in so einem Prozess von so einer Sicherheitslücke, dieser Größenordnung drinstecken, nicht klar ist.

5:47 Zeitgleich heißt nicht, die sind da an einem Tag drüber gestolpert, sondern von jemand stolpert über diese Lücke bis der Patch wird veröffentlicht, vergehen gut und gerne mal Tage, Wochen, Monate. Und das heißt, es ist überhaupt noch nicht öffentlich bekannt, dass diese Lücke existiert. Und dann stolpert halt zwei Wochen später noch jemand drüber und dann zwei Wochen später noch jemand. Und das ist so das, was ich jetzt hier als zeitgleich definiere.

6:09 Also wir sprechen hier schon über einen Zeitraum von Wochen oder Monaten, wo mehrere das gleichzeitig. Ja, aber so Pi mal Daumen im August war das dann klar, dass es diese Lücken gibt. Und die KI hat eben dann auch geschafft, diese Frage zu klären, ob das wirklich irgendwie praktisch ausgenutzt werden kann, was ja damals noch nicht irgendwie klar war.

6:32 Und genau, dann. Wusste das PHP-Team Bescheid und hat sich an die Arbeit gemacht, da eine Lösung zu finden. Gleichzeitig musste das eben geheim gehalten werden, bis irgendwann ein Patch, da ist und der ausgerollt werden kann. Und genau, also das hat jetzt, hat im Grunde dann zwei Monate gedauert, was eigentlich ja schon relativ schnell ist, muss man sagen.

7:02 Ich glaube vor allen Dingen auch bei dieser Größenordnung. Also das ist so, dass Sicherheitslücken bei PHP, finde ich, sind aus zwei Gründen schnell kritisch. Zum einen, weil sie eben was sehr Kritisches ermöglichen könnten. Also wenn es jetzt so ein Remote-Code-Execution in PHP ist, die ist halt irgendwie erstmal blöd. Aber der nächste kritische Part im PHP-Ökosystem ist ganz schnell die Breite, auf die dieser Angriff ausgeführt werden kann.

7:26 Also ich glaube, eine Sicherheitslücke in Java hat einen ganz anderen Impact, weil da sind zum Beispiel alle andere Systeme, um die es da geht, vielleicht, ich bleibe jetzt erstmal bei Java, ähm. Aber es ist eben nicht so, dass 70 Prozent des Internets davon dann betroffen ist. Das sind dann vielleicht die Banken, die nicht mehr funktionieren oder die Versicherungen, wo die Sachbearbeiter einen halben Tag früher Feierabend machen können, so ungefähr. Aber bei PHP ist es ganz schnell, es ist das ganze Internet.

7:54 Und es ist vor allen Dingen auch ein Internet von Managed Hosting. Eine Java-Anwendung wird klassischerweise halt von einem eigenen Team irgendwie deployed und betrieben. Und bei PHP ist es so, man musste hier nicht nur sicherstellen, dass alle, die das selber betreiben, das patchen, sondern auch die ganzen Hoster mussten sich dann plötzlich darum kümmern, Updates auf Server auszurollen, wo die Anwendung von wem anders ist, was, manche Hoster, in meinem Verständnis nach, besser und andere schlechter gemacht haben.

8:21 Und das ist was, was natürlich dann auch bei der Koordinierung irgendwie eine Rolle spielt. Und du hast gerade gesagt, es ist geheim gehalten worden, oder nicht? Irgendwie sowas, glaube ich, hast du gesagt. Genau. Ich meine, eine Zahl gelesen zu haben, dass über 100 Personen involviert waren in diese Arbeit in den letzten Wochen. Ich weiß nicht, ob die alle schon seit zwei Monaten davon wissen oder ob manche erst seit anderthalb Wochen davon wissen, so nicht.

8:45 Aber das ist halt auch irgendwie ein krasser Koordinierungsaufwand. Also man muss diese 100 Personen alle auf dem Laufenden halten, involvieren und gleichzeitig sicherstellen, dass es geheim bleibt und dass es strukturiert vorwärts geht. Und das sind ja Personen, die über die ganze Welt verteilt sind und über ganz viele Organisationen verteilt sind. Insofern glaube ich auch.

9:06 Auch wenn das für Außenstehende anders klingen wird, zwei Monate dürfte ganz schön schnell sein für so eine Art von Patch. Und es ist ja zwei Patches sogar auch gewesen, wie es dabei geht. Ja, genau. Und ich glaube, zuletzt wurden ja auch dann immer mehr Personen eingeweiht, weil man eben auch die, also für die Betriebssysteme musste das ja dann gebaut werden, es musste dann bereitgestellt werden, also dass die Leute da eben wissen, da kommt was. also die, die eben jetzt zum Beispiel.

9:40 Ubuntu betreiben oder was weiß ich, andere Linux-Distributionen, dass die schon in Startlöchern stehen, wenn dann sozusagen der Vorhang fällt, damit dann diese Patches möglichst schnell an alle Systeme ausgerollt werden können. Und ich glaube, da ist dann sozusagen auf den letzten Metern, hat das nicht mehr hundertprozentig geklappt, das alles geheim zu halten.

10:02 Du hast ja gesagt, die beiden CVIs, die wurden dann, also die quasi, die Einträge sind dann publik geworden, ich glaube am 20. oder sowas, 20. Oktober. Ich glaube gar nicht, also nicht der Inhalt der Einträge, sondern nur die Tatsache, dass es die Einträge gibt, wenn ich mich nicht vertue. Ja, genau.

10:19 Und auch mit einer 9,2 auf einer 10er-Skala, was schwere Grad angeht. Also das, was geleakt ist, war eine 10 von 10. Das ist nicht die richtige Nummer. Das finde ich auch so als Außenstehender. Das würde mich interessieren, wie das passiert ist. Ob da irgendjemand Bild-Zeitung spielen wollte und weiß nicht.

10:40 Aber vielleicht ein Punkt zu dem, was du gerade gesagt hast, um auch Peter hier nochmal, der auch mittelfreiwillig übrigens nur so hier in der Runde. Ich habe mich da ein bisschen gezwungen, damit hier nicht nur die beiden PHPler unter sich reden. Also ich glaube, was da einfach auch so ein eklatanter Unterschied zwischen PHP und wenn jetzt meinetwegen in Node.js oder in V8 so eine Sicherheitslücke wäre.

11:06 Nehmen wir erstmal wirklich Node.js. Ich glaube, Node.js ist... Ist nicht so, dass da für ganz viele Distributionen ganz unterschiedliche Pakete existieren, sondern ich glaube, da kann man an einer Hand oder von mir aus an zwei, drei Händen abzählen, mit wem muss man koordinieren, dass rechtzeitig die Release-Pakete draußen sind.

11:26 Das ist zumindest mein Bild von Node.js in Produktion. Um ehrlich zu sein, ist meine Wahrnehmung, die falsch sein kann, aber meine Wahrnehmung, dass 90 Prozent der Node.js-Dinge da draußen sowieso bei einem von vier großen Hostern oder in einem Docker-Container laufen. Und da wahrscheinlich auch alle das offizielle Docker-Image nutzen.

11:46 Und das ist bei PHP eben wirklich so, dass das sehr, sehr breit gestreut werden muss. Und das nicht, ich mag mich vertun, aber ich glaube, auf php.net kann man keine Binarys von PHP runterladen. Das muss ich gleich mal rausfinden, ob das geht. Sondern ich glaube, da gibt es nur den Source-Code. Und das heißt, die Binarys kommen dann von woanders.

12:09 Na ja, jedenfalls hat es fast perfekt geklappt, nur dass dann eben doch irgendwie was sozusagen im Flurfunk bekannt wurde. Naja, und dann glaube ich, hat ja das PHP-Team, das eigentlich vorhatte, am 22. Diese zwei Sicherheitslücken zu veröffentlichen, den Zeitplan ein bisschen über den Haufen geworfen und gesagt, wir veröffentlichen das am 21., also einen Tag früher.

12:36 Und der Patch kommt, also damit die Leute wissen, da ist was im Busch, aber der Patch kommt trotzdem am 22. Nee, nee, nee. Also sie haben dann am 20., das war der Dienstag, angekündigt, morgen, am Mittwoch, dem 21. Kommt die Patches und auch die Erklärung, was es ist und so weiter. Stimmt. Und hier kommen wir wieder zurück zu dem Thema und ich hätte mich mal vorbereiten sollen, die XKCD nochmal raussuchen sollen.

13:05 Es gibt diesen schönen XKCD mit, das ganze Internet wird von dem einen Typen in Nebraska zusammengehalten oder sowas. Ich hoffe, das ist alles richtig. Das ist was, was sich hier halt auch immens gezeigt hat und was gerade dieses nach vorne schieben meiner Wahrnehmung nach Probleme verursacht hat. Ich habe in meiner professionellen Laufbahn viel zu viel Ubuntu eingesetzt und auch auf Servern in Produktion. Das ist was, wofür man echt böse angeguckt wird.

13:29 Da gehört kein Ubuntu drauf. Ubuntu ist irgendwas für bunte Desktops. Kann auch nicht sagen, wie das bei mir passiert ist, aber bei mir liefen in Produktionen gerne Ubuntu-Server. Und Ubuntu liefert natürlich PHP mit, aber nicht immer die neueste Version. Und wir sind ja Entwickler, wir wollen ja immer die neueste und das blinkende und bunte und sowas. Und das heißt, man braucht ja irgendwie die PHP-Version, die neuer sind als das, was Ubuntu mitliefert.

13:50 Und dann gibt es da so einen Typen, der in seiner Freizeit irgendwie Pakete für moderne PHP-Versionen für Ubuntu anbietet. Und für Debian, glaube ich, auch. Und dieser Typ, ich rutsche jetzt kurz auf Boulevard-Medien-Niveaus. Ich mag mich hier ein bisschen vertun, aber dieser Typ ist gerade im Urlaub.

14:08 Bestimmt, hatte ich auch gelesen, dass nicht, dass das der Ubuntu ein Debian-Typ ist, aber dass eben ein wichtiger Akteur eben gerade im Urlaub ist. Ich glaube, es sind mindestens zwei, aber bei ihm habe ich es auf jeden Fall mitgekriegt, dass er irgendwie gerade im Urlaub ist oder meine, so habe ich es verstanden, mitgenommen, was auch immer.

14:26 Und das ist natürlich schon mal erstmal doof, aber der ist natürlich in diesem Prozess in irgendeiner Form involviert gewesen. Mein Verständnis, der hat die Patches auch schon länger und hat die nicht eben erst am Mittwoch bekommen, sondern hat die vorher bekommen, damit er rechtzeitig alle Builds anstoßen kann, damit die released werden können zum Zeitpunkt des Releases, weil das ist eben der nächste Punkt.

14:44 Mittwoch um 16 Uhr durfte nicht nur php.funk.net den neuen Quellcode veröffentlichen, sondern die Pakete für Ubuntu, Debian, Red Hat, weiß ich nicht was, mussten halt alle bereitstehen. Ja, das Ding ist, irgendwie muss man ja aus Quellcode eine ausführbare Executable machen. Und dafür gibt es dann üblicherweise Build-Server, die das machen.

15:04 Und da hat jetzt so der Typ aus Nebraska, also der Andrej lebt nicht wirklich in Nebraska. Ich weiß gar nicht, wo er herkommt. Aber der sind bildlich in Nebraska. Ja, der hat halt nicht da unbegrenzte Ressourcen an Build-Servern hinter sich stehen. Und wenn das Ganze plötzlich 24 Stunden früher passiert und er auch noch im Urlaub ist, ist schwierig.

15:26 Mein Verständnis ist, dass er mehr oder weniger um den Release-Zeitpunkt die wichtigsten Builds draußen hatte, selbst wenn nicht, der Typ macht das in seiner Freizeit, also dem würde ich da wenig Vorwürfe machen, er hat da sehr gut kommuniziert und hat auch vorher, angekündigt, das könnte ein bisschen eng werden wegen der verschobenen Deadline und so, aber seine Build-Runner laufen alle, aber da merkt man halt einfach, wie fragil so ein Open-Source-Ökosystem an diesen Stellen dann doch teilweise ist und Und wie viele, ich habe mehrfach die Zahl 70 Prozent des Internets laufen auf PHP gelesen in den letzten Tagen.

15:59 Keine Ahnung, ob das stimmt. Und ich weiß auch nicht, wie er das messen soll. Aber wie viele Firmen Milliarden Umsätze damit machen, von mir aus auch nur hunderte Millionen Umsätze und sich darauf verlassen, dass dieser Typ in Nebraska, ich suche gleich raus, wo André wirklich lebt, rechtzeitig diese Sicherheits-Releases zur Verfügung stellt.

16:19 Also man könnte jetzt sagen, der könnte ja im Urlaub sein, war und hat sich trotzdem gekümmert, was auch also, keine Ahnung, ich hoffe, dass der da irgendwie von mehr als. Klatschen auf dem Balkon auch verkriegt. Das finde ich schon krass irgendwie. So, wie wir da als Industrie uns auf sowas verlassen. Und das ist ja kein reines PHP-Problem.

16:41 Darf ich kurz fragen? Das gab es ja immer wieder. Du hast jetzt das Wort fragil benutzt. Ja. Das würde ich jetzt ja sagen, wenn ich irgendwas kaputt zerdeppert hätte, aber ist denn mittlerweile was kaputt zerdeppert worden? Ich habe ja darauf gewartet, dass du das ansprichst. das jetzt erzählt hast, ist das ja, sagen wir mal, für jetzt ein Dickschiff wie PHP A, ich glaube, so zügig ausgerollt worden, wie ich das jetzt erwartet hätte.

17:08 Ich hätte jetzt nicht erwartet, dass wenn das jetzt irgendwie nicht eine einzelne Person in Nebraska wäre, sondern wenn das jetzt irgendwie ein großes Unternehmen wäre, dass das am Ende funktional im Sinne von, wann kommt eine neue Version da an, wo sie sein soll, dass das da einen Unterschied gemacht hätte?

17:23 Das kann ich jetzt nicht, scheint mir nicht... Die Frage habe ich nicht verstanden. Den urersten Teil der Frage habe ich wahrgenommen, werde ich gleich darauf eingehen. Es ist auch schwierig, ich bin gerade dabei, das zu sehen, während die Katzen sich hier gerade verprügeln. Also was ich sagen wollte, wäre es schneller gegangen, wenn es nicht ein einzelner Typ im Urlaub gewesen wäre. Weil alles in allem scheint das ja dann doch relativ zügig rausgekommen zu sein.

17:44 Und ob dann 20 Minuten einen Unterschied gemacht hätten, was so irgendwie die Größenordnung ist, wo ich den Unterschied vielleicht sehen würde, erkenne ich jetzt nicht notwendigerweise. Und wo sind die, die jetzt geowned wurden, Dadurch, dass es so lange gedauert hat, in Anführungszeichen. Die habe ich jetzt noch nicht gesehen.

17:58 Ich würde dieses, hätte es einen Unterschied gemacht, wenn es eine Firma ist, eine einzelne Firma und nicht so ein Typ in Nebraska, würde ich einmal ein bisschen nach hinten stellen. Merke ich mir, aber habe ich mir aufgeschrieben und ihr merkt euch das bitte auch. Ich würde einmal dieses, wurde denn jetzt jemand geohnt?

18:12 Einmal thematisieren. Also marketinggraph.de wurde geowned, indem der Host da einfach alles abgeschaltet hat. Auch das merke ich mir als Satz. Wir haben jetzt gerade den 23. Oktober, ne? Entschuldigung, 23. Oktober, 10.13 Uhr. Mein aktueller Kenntnisstand ist, es wurde niemand geowned, wie du es nennst.

18:33 Also mein Verständnis ist, bisher ist es nicht so, dass irgendeine Seite dadurch wirklich gehackt wurde, lahmgelegt wurde, irgendwo irgendjemand eingebrochen ist. Ich habe in den letzten Tagen zwei, dreimal die Verschwörungstheorie gehört, dass dieser AfD-Hack damit zusammenhängt. Das fände ich witzig.

18:52 Aber das ist, glaube ich, nichts anderes als eine Verschwörungstheorie. Das muss eine dümmere Ursache haben. Wir wissen, von wem wir hier reden. Ja, ich würde auch das mir mal für später merken. Also mein aktueller Kennesstand, wenn jeder was anderes wisst, sagt es gerne, mein aktueller Kennesstand ist, Es ist bisher nicht tatsächlich exploited worden.

19:12 Es gibt sehr viele Versuche seit auch schon Anfang der Woche. Das ist auch einer der Gründe, warum hier Dinge ein bisschen eskaliert sind im Laufe der Woche. Also Cloudflare und Amazon, glaube ich, behaupten seit Montag, Dienstag, dass sie wahrnehmen, dass es versucht wird, das zu exploiten. Aber, und jetzt kommen wir nochmal zurück, dieser Themenkomplex ist seit 2024 bekannt.

19:39 Aber nicht gefixt worden in der Zwischenzeit. Meine Vermutung, und ich verstehe die Inhalte dieses Exploits nicht wirklich, aber meine Vermutung ist, dass es wirklich so schwierig ist, auszunutzen, dass das selbst mit den heutigen KI-Werkzeugen, die du und ich in der Hand haben, nicht in ein, zwei Stunden exploitbar ist, sondern dass man da wirklich eine Menge Zeit reinstecken muss und sehr gezielt angreifen muss.

20:07 Naja, und was ich auch verstehe, ist, dass du sehr genaue Insight brauchst in die spezifische Instanz, die du zu attackieren versuchst, damit du halt genau weißt, an welchen Memory-Offsets wo was ist, damit du halt tatsächlich diese theoretische Sicherheitslücke, die halt so ein klassisches C-Memory geht halt irgendwo hin, dass du halt damit gezielt was machen kannst.

20:30 Es fehlt sozusagen die Rainbow-Table für PHP-Versionen, so verstehe ich das. Ja, also genau. Ich glaube, mein Verständnis ist, dass du beziehst dich, glaube ich, auf so einen Social-Media-Post, den du, glaube ich, auch heute Morgen einmal geschickt hattest. Mit so jemandem, der sagt, wenn man die PHP-Version kennt, dann ist es irgendwie nervig, aber machbar, das zu exploiten.

20:49 Der aber auch sehr viel Zeit da reingesteckt hat, um zu diesem Schritt erstmal zu kommen und wahrscheinlich auch sehr viel KI da reingesteckt hat. Da muss man sagen, die Menge der PHP-Version ist ja endlich. Und die Menge der PHP-Version, auf denen ein verantwortungsbewusstes Unternehmen läuft, ist noch endlicher.

21:06 Also es gibt bei PHP, lass mich nicht lügen, aber drei Releases, die mit Patches versehen werden, die nicht end-of-life sind quasi. Und das ist gerade, auch hier bitte nicht lügen, ich glaube 8.3, 8.4, 8.5 sind so die, die gerade maintained sind. Und dann guckst du halt nach den letzten zwei, drei Versionen dieser drei Dinger und dann hast du eine wirklich sehr abzählbare Menge an PHP-Versionen, die du ausprobieren musst, wenn du wen attackieren willst.

21:34 Und trotzdem hat das keiner gemacht anscheinend, weil es ja niemand geowned worden scheinbar. Naja gut, das ist ja auch jetzt nicht so, dass das immer sofort offensichtlich ist, dass du geohnt bist. Also bei der AfD, da ist es ja wohl über so ein WordPress-Plugin ist das ja wohl passiert, also dass man da auch Shell-Commands ausführen konnte.

21:53 Dann haben die sich die Zugangsdaten zu den auf diesem Server auch gehosteten Mailpost-Fächer geholt. Und bis die das dann gemerkt haben, hat es halt auch ein bisschen gedauert. Da haben die ja schon 300 Gigabyte wegkopiert. Bei denen hat ja auch keiner versucht, das hatte ja eine andere Motivation als jetzt so die wirtschaftliche, die ich jetzt den meisten Ownenden unterstellen würde.

22:15 Da würde man doch normalerweise den klassischen Kryptolocker und ähnliches an den Start bringen, weil das meiste, was halt in so einer Firma vorgeht, ist ja irgendwie recht langweilig und die haben halt nur eine Menge Kohle und dann willst du vielleicht rankommen, indem du halt im Krankenhaus sagst, schönen Webserver haben sie da, gib Bitcoin.

22:33 Diese Revision vom Working Draft wird euch präsentiert von Midwald. Und Midwald hat tolle Neuigkeiten für alle, die Container-Setups nutzen. Und zwar gibt es jetzt fertige Container-Vorlagen, die ihr in Sekunden auf der Midwald-Infrastruktur deployen könnt. Genau. NNN automatisiert dabei eure Workflows und der Hermes-Agent übernimmt Aufgaben sogar komplett eigenständig.

22:56 Starten könnt ihr das Ganze, wie ihr möchtet. Also entweder per bekannten Control Panel oder über euren eigenen Agenten oder über die API. Keine Wartezeiten, keine Umwege, alles nur mit einem Handgriff. Und was ich da super finde, ist, dass das Ganze vollkommen souverän hier bei uns in Deutschland gehostet und betrieben wird.

23:14 Also entdeckt die neuen Containervorlagen und all eure Möglichkeiten am besten direkt selbst auf mitwald.de slash workingdraft. Wir danken Mittwald ganz herzlich für die Unterstützung dieser Revision vom Working Draft. Und mein Stand ist, es ist bis heute nicht, wir wissen, es gibt keine berichteten Fälle meines Wissens nach, dass es ausgenutzt wurde, aber man weiß es eben auch nicht.

23:41 Wenige demonstrierte Exploits irgendwie, die ernst zu nehmen sind und die nicht offensichtlich einfach nur Drops sind. Anderes Thema, da würde ich gleich nochmal drauf eingehen. Wir wissen nicht, dass es passiert ist bisher und wir wissen, dass es eine nicht einfach auszunutzende Lücke ist. Aber es ist eine Lücke, die, wenn sie ausgenutzt werden kann und wenn jemand einen Trick findet, wie sie noch viel leichter ausgenutzt werden kann, eben fatal sein kann. Du hast das gerade mit den Krankenhäusern gebracht.

24:12 Also wenn wir uns einmal angucken, was in dieser Woche an Systemen abgeschaltet wurde. Und ich kann dir sagen, aus meiner Arbeit ganz viele kritische Sachen, von denen ich mir gewünscht hätte, dass sie abgeschaltet wurden, wurden nicht abgeschaltet. Aber auch nur von dem, was abgeschaltet wurde. Stell dir vor, diese Daten wären zugreifbar gewesen.

24:32 Krankenhaussysteme oder ich habe was gesehen mit einer Software, wo man Kindeswohlgefährdungen melden kann. Ich gehe davon aus, dass in den Niederlanden waren es mehrere Regierungsportale, die irgendwie abgeschaltet wurden. Also wenn uns bekannt ist, es gibt hier einen Weg, wie man da drankommt, wir haben ihn nur noch nicht endgültig verstanden und wissen deswegen nicht, wie leicht es wirklich ist.

24:55 Die Argumentation kann ich auf jede Sicherheitslücke anwenden. Ich kann auf jede Sicherheitslücke anwenden, dass, wenn sie irgendwie in einer weit verbreiteten Software ist, ich postulieren kann, dass da noch mehr drin ist, das wir noch nicht verstanden haben. Oder dass, wenn eine Sicherheitslücke demonstriert ist, aber zu schwer auszunutzen ist, können wir postulieren, was es, wenn sich herausstellt, dass Claude, wenn er genug darüber nachdenkt, da einen einfacheren Exploit findet.

25:18 Das finde ich jetzt nicht überzeugend. Nee, nicht ganz. Also finde ich nicht ganz. Also erstens aufgrund der Verbreitung, das war das, was ich gerade auch schon mal sagte, also die Verbreitung von PHP ist an der Stelle schon Teil des Problems. Also wenn das jetzt ein Code-Movie, wäre, dann wäre das halt nicht so dramatisch.

25:34 Aber die Verbreitung von PHP an der Stelle in wirklich den verschiedensten Branchen, verschiedensten Systemen ist ein relevanter Part. Und der zweite Part ist dieses, Es haben jetzt innerhalb von kürzester Zeit mehrere Leute diese Lücke entdeckt und es gibt sehr sicher auch Exploits, die nicht öffentlich, also wo nicht erklärt ist, wie es öffentlich funktioniert, aber ich meine, dass.

25:59 Ich würde es gleich nochmal kurz nachgucken, aber ich meine, dass in dem Post der PHP Foundation eben auch drinsteht, dass Leute von denen, die diese Lücke entdeckt haben in den letzten Wochen, Monaten, ihnen gezeigt haben, wie sie die auch ausnutzen können. Naja, das war auch so. Okay, aber heißt das jetzt, dass dann jetzt irgendwo ist, wo ich draufklicken kann und dann sehe ich das?

26:18 Nein, nein, du nicht. Du nicht, weil, also es gibt ja verantwortungsbewusste Sicherheitsresearcher, die lassen an der Stelle fallen, hier, ich habe das hingekriegt und teilen mit dem zugehörigen Projekt, wie sie es gemacht haben, damit die das fixen können. Aber die posten das dann nicht eine Woche später auf YouTube, weil es wird, auch heute laufen noch ganz viele PHP-Systeme ungepatcht.

26:35 Ich habe keinen Beweis dafür, weil alles, wo ich reingucken kann, ist gepatcht. Aber ich gehe mit dir jede Wette ein. Alles unter 8.2 ist ungepatcht. Nee, das ist nicht ganz richtig. Ist eine weit verbreitete Meinung, aber ist nicht ganz richtig. Also es gibt auch für 7.4, 8.0 und 8.1 von PHP offizielle Patches, die nicht supported sind, glaube ich, aber offizielle Patches, die sie auch rausgegeben haben vorher an LTS-Vendoren.

27:05 Also ich gehe davon aus, Red Hat hat Patches von PHP-Team für PHP 7.4 bekommen, weil Red Hat irgendwelche LTS-Releases hat, wo auch heute noch PHP 7.4 supportet wird. An der Stelle, dass Red Hat das bekommen hat, ist jetzt eine Behauptung und Fantasie von mir, wo ich von ausgehen würde, dass es so ist, aber habe ich keinerlei Informationen zu.

27:23 Dass es diese Patches für 7.4, 8.0 und 8.1 gibt, steht auf php.net in der. Security Advisory. Aber trotzdem gehe ich davon aus, dass es sehr viele ungepatchte Server da draußen noch gibt. Deswegen wird kein verantwortungsbewusster Security Researcher wird jetzt heute, seine Anläutung rausschicken, wie es auszunutzen ist. Das heißt, ich halte es für möglich, dass irgendwer da draußen auch noch einen einfacheren Weg schon hat.

27:51 Ich bin mir nicht sicher, es kann auch sein, dass es nicht so ist, aber ich halte es für möglich, dass es den gibt und dass er schon bekannt ist und dass es einfach noch ein bisschen dauern wird, bis der auch veröffentlicht wird. Wenn der überhaupt veröffentlicht wird, das weiß ich nicht so richtig. Aber nochmal zu deiner Aussage, Peter, zurück. Also erstens, es ist eben eine sehr verbreitete Software, über die wir sprechen und zweitens, es ist eine Lücke, von der es bekannte Wege gibt für das PHP-Projekt, bekannte Wege gibt, um Remote-Code-Execution zu machen, also einen beliebigen Code unter den Berechtigungen des Web-Servers auszuführen.

28:23 Und dieser Web-Server hat üblicherweise die Zugänge zu den Datenbanken dahinter. Der hat auch Verschlüsselungstokens. Wenn die Daten in der Datenbank verschlüsselt sind, dann muss der Web-Server die ja entschlüsseln können. Das heißt, darauf kann er auch zugreifen. Und dann haben wir eben so Sachen wie Krankenhäuser oder irgendwelche Sex-Communities.

28:46 Wo die Leute nicht wollen, dass die Nutzerdaten öffentlich werden. Oder irgendeinen Shop, der politische Sticker verkauft und nicht möchte, dass deren Kunden publik werden und so. Ja, ja, aber okay. Dann lass mich meinen Punkt etwas konkretisieren und nicht sagen, jede Sicherheitslücke, sondern jede Remote-Code-Execution in PHP. Ja.

29:08 Müsste so behandelt werden wie diese hier. dass ich am Ende technikfremde Psychologen am Telefon habe, die sich Sorgen darum machen, dass die Welt abbrennt. Und jetzt gehen wir ganz kurz zurück zu, witzig, habe ich verstanden den Satz, jetzt gehen wir zurück zu deiner Welt, auch außerhalb von Perfektion.

29:30 Trinkst du da gerade Bier? Nee, nee, Tee. Das sieht aus wie Bier. Schön. Du hast gesagt, es ist 10 Uhr morgens. Das wäre schon krass. Kein Bier vor 10, wissen wir doch. Also ich kann dir sagen, am Mittwoch, ich, bin mehrfach zum Bierkühlschrank gegangen oder was zu holen dann, aber ich wollte gerne. Gut, dass ihr einen dezidierten Bierkühlschrank im Büro habt.

29:54 Haben wir nicht. Du solltest mal vorbeikommen. Ja, so. Also ich professionell. Wir kommen mal zu deiner Welt zurück, Peter. Node.js hatte ja durchaus auch eine Remote-Code-Execution-Lücke genau in dieser Woche. Ich glaube, das ist literally am gleichen Tag veröffentlicht worden, wenn ich mich nicht vertue.

30:11 Nix von mitbekommen. Interessiert mich auch nicht. Das Ding ist, die ist, ich glaube, irgendwie in der Brodly-Dekomprimierung oder sowas in der Richtung. Das heißt, an den Stellen, wo ein Node.js selber irgendwie Brodly dekomprimieren muss. Das ist irgendwie so ein G-Zip, nur ein modern für diejenigen von uns, die sich genauso wenig mit sowas beschäftigen wie ich. Ich kenn Brotli.

30:37 Die coolen Leute nehmen aber Z-Standard. Ist das das neue Brotli? Das kannte ich noch nicht. Für eure Hörer dann, Brotli ist das alte Z-Standard. Ja. Das ist halt eine Lücke, die betrifft nicht jeden, weil nicht jede Node.js-Anwendung da draußen nutzt diese Brodly-Dekomprimierung. Aber warte mal, ich rede doch über PHP, ich habe ja gefragt.

31:01 Ja, ja, warte, warte, warte, warte, warte. Nicht jede Node.js-Anwendung nutzt diese Brodly-Dekomprimierung. Diese Remote-Code-Execution in PHP ist aber eine, die ausgelöst werden kann, bevor mein eigener PHP-Code überhaupt läuft. Das heißt, es ist komplett egal, was für eine Anwendung du da laufen hast.

31:20 Jede PHP-Installation da draußen, angeblich seit 5.0, keine Ahnung, wie viele Jahrzehnte das, her ist, jede PHP-Installation da draußen öffnet eine Remote-Code-Execution, die nicht leicht auszunutzen ist, fair, aber bei der ab dieser Woche bekannt ist, was man probieren muss, um sie auszunutzen. Und das ist halt, das ist was anderes als viele andere Remote-Code-Execution-Lücken, weil häufig die meisten davon, keine Ahnung, ich habe keine Zahlen, um das zu überlegen, aber die meisten davon erfordern halt gewisse Umstände, um sie auszunutzen.

31:53 Und bei dieser Lücke ist der aktuelle Kenntnisstand, jede PHP-Installation und auch wenn das manche Hoster anders behaupten, egal was man da für eine fancy Web-Application-Firewall vorstehen hat, jede Installation ist davon betroffen und der einzige Fix ist, dieses Update zu machen. Ja. Mir ist egal, was Node.js macht, mir ist egal, was Java macht, mir ist egal, was Log4j gemacht hat. Ich frage mich jetzt wirklich spezifisch.

32:16 Ich meine, PHP ist ein riesiges Projekt, da ist ganz viel C-Code. Da kann man jetzt davon ausgehen, dass irgendwelches Memory-Gewurschel da noch das ein oder andere Mal aufpoppt. Ist das korrekte Manöver für den Umgang damit unter den Vorzeichen von allem, was du erzählt hast? PHP ist überall, alte Versionen hast du nicht gesehen.

32:34 Ist das korrekte Manöver, dass ganze Dienste und teilweise ganze Server alles abschalten? Ich halte das für eine nicht technische Frage. Ist es nicht? Nö. Also ich habe das auch mit Kunden diese Woche mehrfach diskutiert. In meinen Augen ist es eine betriebswirtschaftliche oder ethische Frage. Technisch ist in meinen Augen, ich lasse die Technik außen vor.

32:56 Also wenn du eine Flirt-Community bist, die für Seitensprünge, für irgendwas steht oder so, wo eventuell der Chef nicht mitkriegen sollte, dass man da registriert. Wenn man ein Online-Shop ist, der Sticker für die linke Community, linke Bubble, links-antifa-affine Leute verkauft, dann möchtest du nicht, dass diese Kundendaten plötzlich im Internet zugreifbar sind.

33:30 Wenn du O-Game bist, gibt es das noch? Also wenn du irgendein Browser-Game bist, wo im schlimmsten Falle die Leute sich ein bisschen Ingame-Währung kaufen können, Ja, nee, dann ist irgendwie egal, ne? Aber ich finde es... Über die reden wir ja gar nicht. Wir reden über so Kisten wie ganze Hoster, die den Stecker gezogen haben.

33:49 Ich rede jetzt wirklich spezifisch davon, ob das, was jetzt passiert ist, für eine Remote-Code-Execution-Lücke in PHP das richtige Vorgehen ist oder ob alle Lack gesoffen haben. Das ist eine Jan-Einfrage. Also ich glaube, das hat halt einfach mit der Verfügbarkeit von KI-Tools zu tun. Also dass, wenn irgendwelche Informationen, das ist ja auch, glaube ich, ein Video aufgetaucht, vorab, um diese Sicherheitslücke.

34:13 Aber ich versuche jetzt schon seit Minuten eine jahre Frage zu stellen. Ist das jetzt das richtige Vorgehen? Ist das das Gleiche, was wir jetzt sehen werden, wenn das nächste Mal so eine Remote-Code-Execution-Lücke kommt? Ziehen dann wieder ganze Hoster den Stecker und sagen wir dann, dass es das korrekte Vorgehen aus all den Gründen, die wir genannt haben. Ja oder nein?

34:32 Es ist keine Ja oder Nein-Frage, aber ich würde sagen, wenn ich der Hoster wäre, ich würde es machen. Okay. Und weil ich nicht weiß, was für Anwendungen da laufen. Der Massenhoster weiß nicht, wie sensibel die Daten da sind. Und deswegen würde ich das machen. Okay. Das ist halt nicht die Frage, die mich umgeschrieben hat. Weil ich halt nicht verstehe. Ich stecke da halt eben null drin. Ich nutze PHP nicht.

34:59 Ich gucke den Tag über nicht auf Social Media, wenn ich es vermeiden kann. Ich habe halt nur gesehen, dass irgendwer mich plötzlich anrief und wissen wollte, was PHP ist. Und die Reaktion schien mir recht drastisch und ich muss halt irgendwie verstehen, wo ist das jetzt auf einem Spektrum zwischen die Welt brennt tatsächlich ab, wo mir andere Sicherheitslücken aus der Woche einfallen, wo ich etwas mehr den Eindruck hatte, dass das vielleicht relevant ist, aber da interessiert sich keine alte Sau für.

35:27 Und andere Richtung vom Spektrum ist halt irgendwie so Y2K, was so ein bisschen der Erzählung folgen würde, die du vorhin hattest, Kiki, mit dem heroischen Aufwand, den die ganzen Nerds betrieben haben, damit es am Ende halt tatsächlich gar nicht so schlimm wurde, wie es vielleicht hätte sein können.

35:44 Weißt du, als Außenspieler verstehe ich... Ich glaube, das hat einfach mit der Einstufung zu tun. Also die zwei CWIs, die sind ja quasi von dem Schaden, den die anrichten können, sehr hoch eingestuft. Deswegen ist es auch ein 9,2. Aber die Komplexität, diesen Angriff auszuführen, die ist halt sehr hoch eingestuft.

36:07 Aber durch KI weißt du halt nicht, ob das dann noch ein Problem ist. Nein, nein, ich habe das schon verstanden. Ich versuche ja nur, alles, was ihr sagt, habe ich verstanden. Ich will ja nur irgendwie wissen, ist das jetzt das neue Normal? Und ist diese Reaktion jetzt dann irgendwie auch vernünftig? Also Experten-Einordnung will ich haben, nicht die Fakten. Weil wie so ein Exploit funktioniert, verstehe ich.

36:27 Einordnung, Kontext. Naja, es hängt halt davon ab, ob vorher Infos schon geleakt werden. Also ich habe die 24 Stunden, das waren weniger, Aber die Zeit zwischen, es wurde angekündigt, dass der Patch kommt und der Mittwochabend war bei mir viel mit Leuten telefonieren, mit Leuten reden und, sie dabei zu unterstützen, zu entscheiden, schalten wir dieses Thema ab oder nicht, beziehungsweise an vielen Stellen habe ich sie auch sehr dahin gedrängt, nenne ich es jetzt mal.

36:58 Und ich finde alle Stellen, wo ich... Aber fast alles, was ich mitbekommen habe, finde ich im Nachhinein, das ist, nein, Entschuldigung, ich mache mir keinen Vorwurf darum, dass ich Leuten dazu geraten habe. Ob ich jetzt heute sagen würde, dass es nötig war, ist nochmal ein bisschen was anderes, weil es stellt sich jetzt halt heraus, dass selbst mit KI es schwieriger zu exploiten ist, als ich angenommen habe.

37:22 Also ich habe vor 16 Uhr die Annahme gehabt, mit KI kriegt selbst Peter das in der Stunde hin, da einen PHP-Server lahmzulegen. Das war meine Annahme vor Mittwoch, um ehrlich zu sein, vor Donnerstag früh. Also vor Donnerstag früh merkt man dann, ne? Wahrnehmung. Also so was ich aus den Erzählungen, aus so halt so vierter Hand Memes mit Social Media, soweit ich es nicht vermeiden konnte, was so bei mir angekommen ist. Da kann jetzt wirklich jeder Honk mit einer Kreditkarte alles abrennen lassen.

37:51 Ja, und ich glaube, das ist ein Risiko, was halt auch reell war und realistisch war und wo man eben dazu sagen muss, wo auch das Team, was diese Entscheidung da getroffen hat, der PHP Foundation oder dem PHP Core Team, die wussten nicht, wie viele Leute werden da ihre Kreditkarten irgendwo draufwerfen und mit KI ist es ja immer ein Glücksspiel.

38:10 Es muss ja nur einer die Münze genau in den richtigen Slot geworfen haben. Und dann ist die Kacke am Dampfen. Und ob das das neue Normal ist, im Ehrlichsten bin ich super gespannt. Also seitdem sind ja ganz viele Social Media voll mit, oh, ich habe noch so eine Lücke gefunden und oh, ich habe noch so eine Lücke gefunden.

38:28 Die sind bisher, meinem Verständnis nach, aber alle als deutlich noch exotischer eingestuft worden. Und bisher habe ich ja nichts Offizielles davon gehört, dass heute Abend das nächste PHP Release kommt. Ich würde davon ausgehen, dass die Menge dieser Lücken in der nächsten Zeit zunehmen wird, weil wir, also auch hier ist es ja eben so, dass, auch KI beim Finden dieser Lücke eine relevante Rolle oder eine Rolle gespielt hat, wie relevant weiß ich nicht, aber eine Rolle gespielt hat und das ist was, wovon viele Open-Source-Projekte im Moment ja profitieren.

38:59 Also, man kann ja unterschiedliche Meinungen darüber haben, was Google und Entropic und wie die Dinge alle heißen gerade macht, aber die unterstützen ja schon mit ihren, Top-Modellen, welche, auf die du und ich auch keinen Zugriff haben, diese Open-Source-Projekte, um Sicherheitslücken zu finden und da wird mehr raussprudeln.

39:18 Ob alle diese Bedeutsamkeit haben, dass das halbe Internet abschaltet, ist eine andere Frage. Und dann kommt hier was für deine Partnerin. Meine Erwartung wäre auch, wenn wir das in Zukunft wöchentlich haben, dann werden wir irgendwann aufhören, die Dienste abzuschalten. Und Unterstützung, ist das nicht so, dass irgendwie das Curl-Projekt in einer Eskalationsspirale von, wir lesen den ganzen Scheiß nicht mehr, den ihr uns schickt, ist?

39:40 Also, dass KI viele Probleme verursacht, nicht nur in der Softwareentwicklung. Da sind wir uns vollkommen einig. Ja, wir reden aber jetzt über Softwareentwicklung, komm. Sorry, ja, Entschuldigung. Für diejenigen von euch, die irgendwie ein bisschen was mit PHP zu tun haben oder die sich mit diesem Thema befassen wollen, es gibt von der PHP Foundation einen wunderschönen Blogpost, der so ein bisschen erzählt, was wie abgelaufen ist, wo auch dieses, das gibt es ja 2024 und was gab es für ein Leak und so, das taucht da alles drin auf.

40:09 Und da taucht eben auch die Sache drin auf, dass im Laufe diesen Jahres, nee, schon mal. Ich weiß nicht, ob es im Laufe des Jahres oder eher in den letzten Jahren. Also das sehr, sehr viele Reports. Also es gab jetzt halt über 100 Security, Reports, die reinkamen, die überprüft und validiert, beziehungsweise eher invalidiert werden mussten, viele.

40:34 Das macht denen eine Menge Arbeit das geht, ich glaube das geht den Leuten auch ein bisschen auf den Keks der Volker Dusch der. Gerade einen Großteil der Arbeit bei diesem Fixes hinter sich gebracht hat und, dem die PHP Community gerade viel verdankt, der hat so diesen Satz gesagt einer muss es ja machen, das ist jetzt auch glaube ich nicht, dass wo die Leute gerade alle mega Bock drauf haben aber diese Lücken tauchen jetzt gerade auf und, die KI entdeckt sie und da ist eben wirklich das, was ich positiv den KI-Anbietern zugutehalten muss, diese Top-Modelle von Antropic, das Mythos, du und ich können es nicht nutzen, um Sicherheitslücken aufzuspüren, damit die Bösewichte das nicht verwenden können, aber sie,

41:17 geben den Open-Source-Projekten die Möglichkeit, dass die mithilfe von Mythos, ich weiß nicht, wie die anderen Modelle heißen, mithilfe von Mythos eben diese Sicherheitslücken finden können. Und deswegen würde ich schon erwarten, da wird in nächster Zeit mehr kommen. Und da werden auch mehr solche alten Leichen gefunden werden, wie irgendwas, was in PHP 5 anscheinend schon existiert hat als Problem.

41:38 Und da ist vielleicht das Schöne, dass es relativ wenig Embedded Devices gibt, auf denen PHP läuft, also dass die wenigsten Fernseher irgendwie PHP ausführen. Wenn sowas irgendwie in der JVM von vor zehn Jahren gefunden werden würde, ich bin sehr gespannt, wie die Leute ihre Lichtschalter updaten. Du weißt schon, dass da draußen ICEs rumfahren, wo das Fahrgast-Informationssystem damit angetrieben ist?

41:59 Um ehrlich zu sein, habe ich mich auch gefragt, wie da wohl so der Stand ist. Ich habe genug Vertrauen in die Deutsche Bahn, dass die Update-Prozesse dafür haben. Aber ich habe auch drüber nachgedacht, wie kann ich jetzt mal gucken, ob das…. Also ich meine ja nur, so Zeug taugt halt in den unerwartetsten, Orten auf. Also weil hier wieder der Punkt ist, die Deutsche Bahn hat eben Mechanismen, um ihre Software zu updaten, hoffe ich.

42:29 Oder der nächste Punkt ist, diese Systeme sind wahrscheinlich in einem relativ abgeschotteten Netz, hoffe ich. Das ist was anderes, wenn es der Fernseher ist, wo der Consumer sich um das Update kümmern müsste. Ich muss an der Stelle mit großer Deutlichkeit widersprechen. Ich glaube, die andere Sicherheitslücke der Woche hat, glaube ich, relativ gut demonstriert, dass man nicht notwendigerweise davon ausgehen kann, dass eine Institution ihren Computerkram im Griff hat, oder?

42:59 Kurze Frage, wir sind bei dem CA-Thema, oder wo sind wir gerade? Wir sind bei der Zahl 4, ja. Ja, die kochen auch alle nur mit Wasser. Jupp, und dass das teilweise nicht besonders gut gefiltert ist. Ja. Genau, erklärt kurz, was ihr meint. Zertifikatautorität eingebaut in all eure lustigen Browser und sowas hat ihre Schlüssel dererlei gestaltet, dass die...

43:28 Ja. Die Äquivalente waren von Passwort ist Passwort. Also wo wirklich jemand einfach nur so gedacht hat, ich probiere mal dieses Tool aus, so habe ich die Erzählung verstanden, um zu gucken, ob es funktioniert. Ich schmeiße es mal auf diese Root-Zertifikate drauf, weil einfach nur, die werden ja eh sicher sein und dann fiel da plötzlich raus, ja, der Schlüssel, der verwendet wurde, ist die Zahl 4.

43:50 Und alle anderen sind halt dann auch so Sachen gewesen wie 12 und so. Also da muss irgendwas extrem schief gegangen sein. Ich kann mir auch nicht erklären, wie das schief gegangen sein kann. Und was Kiki halt sagte, die kochen ganz schön mit Wasser und einfach sagen, ja, der Laden ist ja bestimmt ein ganz Anständiger, der seinen Kram im Griff hat.

44:09 Glaube ich bei der Bahn jetzt tendenziell auch, aber es ist halt riskant, das als gesetzt hinzunehmen. Ja, absolut richtig. Und um ehrlich zu sein, ich würde hier entscheiden, ob wir da jetzt zwei Stunden rein abdriften, aber, dieses ganze Thema mit den CA-Zertifikaten und wie SSL funktioniert, ist auch was, wo ich glaube, da könnten wir mal ein bisschen weiter kommen als Industrie.

44:35 Ich würde einfach nur so ein, zwei Stichworte, aber ich versuche, dass wir nicht rein abdriften. Also, es gibt das Konzept, dass so Zertifikate zurückgezogen werden können. Dafür gibt es so Certificate Revocation Lists. Die wertet quasi niemand aus. Und der nächste Part ist, dass ein Angreifer auch dann doch verhältnismäßig leicht Zertifikate einem unterschummeln kann, sodass das irgendwie so Und.

44:59 Ich würde mir da was anderes wünschen als Infrastruktur in den nächsten Jahren. Aber das ist vielleicht eine andere Folge. Und da bin ich noch mehr Laie als bei allem, wo ich sonst drüber rede. Ja. Vielleicht können wir ja mal so ein bisschen nochmal umschwenken. Du hast es ja vorhin schon gesagt, also die viele der Softwarepakete, gerade der Open Source Software, die wir alle so nutzen und die werden halt von dem sprichwörtlichen Einzelentwickler, der in Nebraska lebt, gebaut.

45:30 Und es passiert ja immer wieder irgendwie, passieren Dinge, die einem das so vor Augen führen, wie allein und auf verlorenem Posten die sind. Also ich glaube, irgendwann gab es ja so ein OpenSSL-Problem. Das sind ja auch nur zwei Entwickler gewesen. Oder jetzt die Browser, die operieren XSLT aus ihren Browsern raus. Warum? Weil die Library nur von irgendeinem Hansel noch maintained wird und dann aber in allen Browsern verbaut wird.

45:59 Und da müsste man vielleicht einfach mehr tun und nicht nur sozusagen Mitnahmeeffekte, mehr tun oder was anderes tun? Ich würde da einschätzen. Mehr versuchen wir jetzt schon ziemlich lange und da trend irgendwie nicht so richtig den Durchbruch zu Was sind mehr tun? Sich das vor Augen führen, das besser supporten, das besser aufstellen, mehr Personal mehr Freunden. Aber ist das so?

46:26 Also ich, solange ich davon reden kann, solange ich denken kann, wurde davon geredet, Open Source Burnout hast du nicht gesehen und die Leute machen sich halt eben kaputt, sodass halt eben am Ende diesen Nebraska Man in dem Diagramm drin haben, dieses XKCD kommt ja woher und ist auch nicht von gestern.

46:41 Und irgendwie scheint das nicht zu funktionieren, zu sagen, joa, da müsste man mal was tun, ne? Ich hätte einen kurzen Detour zu einer Frage von Peter von vorhin und ihr dürft gerne das nachher rausschneiden, wenn ihr es langweilig findet. Aber Peter hat vorhin die Frage gestellt, hätte es einen Unterschied gemacht, wenn es eine große Firma gewesen wäre, die diesen Release irgendwie rausbringen möchte.

46:59 Und ich glaube, die Antwort ist ja. Und die ist aber nicht einfach besser oder schlechter dadurch. Also so eine ganz konkrete Sache ist die Firma Fortinet. Ich weiß nicht, ob ich das sage. Die bauen so Enterprise-Firewall-Dingsbums. Also wenn man eine Firma ist, die viel Geld für eine Firewall ausgibt, dann ist die Wahrscheinlichkeit, dass man bei Fortinet landet, relativ groß.

47:20 Wir machen ja auch Proxys und machen SSL-Traffic auf, um wieder zu dem Thema von gerade zu kommen. Und die haben auch irgendwie gerade eine sehr kritische Sicherheitslücke. Die führt jetzt zu einem Release außerhalb der Reihe, wo dann irgendwie, ich kann dir nicht die genauen Daten sagen, aber irgendwie jetzt morgen, übermorgen, gestern kommt das Release raus und das ist halt so, dass das Release rauskommt als eine Binary.

47:45 Da gibt es ein Update, das ist von denen kompiliert. Die sind die Einzigen, die es kompilieren. Die sind tendenziell die Einzigen, die auch hier reingucken, die den Quellcode haben und deswegen so ein Mythos überhaupt da drauf gucken lassen können in der Form. Und die geben jetzt morgen oder heute oder gestern die Binary raus.

48:04 PHP gibt als Open-Source-Projekt an der Stelle einen Patch auf den Quellcode raus. Das bedeutet, man kann nachgucken, was haben die denn da geändert und kann sich dann überlegen, was könnte diese Änderung denn für eine Lücke zumachen? Und dadurch hat man deutlich leichter, einen Weg rauszufinden, wie man an der Stelle einen Angriff fahren kann.

48:27 Bei Fortinet, du kriegst Binarys. Kannst du auch heute dekompilieren? Das hat nichts damit zu tun, dass jetzt irgendwas eine Firma ist Das andere ist irgendwie so ein Open-Source-Kollektiv. Da ist ja allein der Distributionskanal das Relevante und dass der halt eben einfach einen, sagen wir mal, der Kanal hat einen etwas geringeren Durchmesser.

48:46 Und das ist halt bei Open-Source versus Closed-Source dann schon meistens so. Also du hast ja bei Closed-Source hast du normalerweise diesen einen, von mir auch zwei, drei, vier Distributionskanäle. Bei einem Projekt wie PHP ist es so, dass die Pakete, die nachher installiert werden, von ganz, ganz vielen Instanzen gebaut werden.

49:02 Und die müssen alle informiert werden. Ein Red Hat muss informiert werden, Debian muss informiert werden, ein Ubuntu muss informiert werden. Dieser Typ in Nebraska, sorry, es sind ja 40 unabhängige Typen in Nebraska. Also ich habe jetzt den einen erwähnt, davon gibt es ja ganz viele, auch in einem PHP-Umfeld gibt es davon ganz viele.

49:19 Und das erfordert einen ganz anderen Koordinierungsaufwand und es führt vor allen Dingen dazu, dass die Menge an Leuten, die informiert werden, immer größer wird und dass es im Zweifelsfall auch Leute sind, die frustriert vom Status Quo sind und die nicht dafür bezahlt werden, sich um dieses Thema zu kümmern.

49:32 Ich könnte da gleich ein Beispiel nennen, was ich ganz interessant finde. Und deswegen ist das schon ein anderer Punkt. Und es ist halt dieses Quellcode versus Nicht-Quellcode. Man muss dazu sagen, Fortinet hat sich dafür entschieden, dass sie erst in zwei Wochen dann erklären, was eigentlich das Problem war.

49:48 Da bin ich unschlüssig, ob ich das ein gutes Vorgehen finde oder nicht. Aber insofern ist es auch nicht alles toll, wenn man das halt mit Closed-Sourcen als Firma macht. Aber ich glaube. Wenn die Leute da nicht nur ein Hobby haben, sondern wenn das das ist, womit sie ihr Brot verdienen, dann ist das ein bisschen eine andere Kiste nochmal auch vom Management.

50:05 Ich halte das für kompletten Kategoriefehler, muss ich sagen, weil du kannst auch genauso gut, also A, du kannst ja eine Firma sein, die dein Geld verdient und du kannst trotzdem ein Open Source Produkt haben. So Open-Core-Business-Pläne sind ja nun nicht gerade selten. Und zum anderen könntest du ja genauso gut ein Open-Source-Projekt sein, das nicht fünf Millionen verschiedene Versionen supportet, sondern, sagen wir mal, einen relativ zügigen Turnover hat mit, wo ist da Ende vom Support.

50:31 Also das scheint halt wirklich so etwas zu sein, dass ein Implementierungsdetail des Distributionskanals vielleicht mit beeinflussen kann, worum es geht. Aber ob man da dann Hobbyist ist oder Geld mitverdient oder was auch immer, hat jetzt zumindest so wie du das jetzt dargelegt hast, glaube ich, keinen Einfluss drauf.

50:47 Sondern die Frage ist halt, wie groß ist das, mit denen du reden musst, die Komplexität des Netzwerks, mit dem du interfacen musst. Wo es in meinen Augen Korrelationen gibt und zu diesem Open-Core-Dingsbums, ich finde es halt auch legitim, wenn du, ich bleibe mal bei PHP, Shopware ist so ein Beispiel. Bei Shopware gibt es irgendwie eine Open-Source- und eine Closed-Source-Variante.

51:09 Und ich finde es durchaus legitim zu sagen, Shopware fokussiert sich da drauf, die Distributionskanäle von ihren Closed-Source-Dingen perfekt zu machen und Open-Source halt zu sagen, hier ist der Patch auf GitHub. Weil zu sagen, wenn du da relevante Sachen mit machst, dann setz bitte auf die Closed-Source-Enterprise-Variante, da hast du von uns Zusagen, wie das mit Security bla bla bla passiert.

51:32 Und wenn du den Kram dir selber installieren willst und selber betreiben willst, dann guck bitte auch selber auf GitHub. Das finde ich schon bis zu einem gewissen Grad okay und hier ist es eben bei PHP so, dass es sehr viele Distributionskanäle gibt, die auch Enterprise-Support-Gedöns dahinter haben.

51:46 Nur, dass dieses Enterprise-Support-Gedöns nicht von einer Firma gemacht wird, nicht von Fortinet alleine, sondern dass es eben so ist, dass du bei Red Hat und bei SUSE und bei ich weiß nicht was Enterprise-Lizenzen kaufen kannst, die dir zusagen, dass du da Updates, Sicherheitspatches für PHP bekommst.

52:02 Und auch PHP hat ja so ein Regelwerk mit, du kriegst nur so und so lange Security-Releases. Also es gibt irgendwie bei PHP so und so viele Versionen, die kriegen Bugfixes und so und so viele Versionen, die kriegen dann noch die Security-Patches. Und man hat sich jetzt hier dazu entschieden, sogar noch mehr als diese Version am Ende dafür Patches anzubieten.

52:19 Insofern, ich glaube, es macht Unterschiede und ich glaube, es... Ich würde nicht sagen, dass hier Open-Source der schlechtere Weg ist, auf keinen Fall. Ich glaube, dass es ein kommerzieller Anbieter trotzdem ein bisschen leichter haben wird, als so ein verteiltes Open-Source-Projekt wie PHP. Insofern, in meinen Augen, hätte das einen Unterschied gemacht.

52:40 Und ich glaube halt wirklich, dass das Unterscheidungsmerkmal Open Source versus kommerziell oder irgendwas dazwischen damit nichts zu tun hat. Würde ich soweit sagen, wir diskutieren das nicht zu Ende aus. Wir haben unterschiedliche Meinungen und wir akzeptieren das. Und wir kommen zurück zu der Frage mit dem Menschen in Nebraska und der Unterstützung und was wir denn da besser machen könnten.

53:01 Und vielleicht habe ich da tatsächlich ein ganz konkretes Beispiel, was ich mal noch bringen wollen würde. Wir haben uns bei unseren Kunden insgesamt, ich würde behaupten, sehr gut auf diese Situation vorbereitet und waren auch gut vorbereitet und, haben sehr rund die Updates ausrollen können. Ein, zwei interessante Problemchen gab es und das eine würde ich einmal ansprechen.

53:23 Einer unserer Kunden nutzt leider nicht Ubuntu. Ich habe das schon erwähnt, ich benutze immer Ubuntu. Die haben sich dafür entschieden, dass man Red Hat benutzt. Und auch wenn man, oder so ein Red Hat Derivat, keine Ahnung, auch wenn man das benutzt, will man die aktuellen PHP-Versionen und wir hatten das gerade schon mal, das heißt, die benutzen von so einem Typen aus Nebraska so einen Repository von aktuellen PHP-Versionen.

53:43 Und wir haben mitgekriegt, dass das ein sehr koordiniertes Security Release ist Und ich habe den ganzen Tag gesagt, gut, da wird es gegen 16 Uhr halt auch die Pakete dann davon geben. Da mache ich mir überhaupt gar keine Sorgen. Und dann habe ich einen Post auf, ich glaube, Mastodon oder irgendwo Social Media von der P-Foundation gesehen, wo sie gesagt haben, die Pakete von dem Remi für Red Hat werden keine Releases um 16 Uhr bekommen.

54:11 Und ich so, wait, what? Und ich kannte den Typen nicht, ich kannte seine Repositories auch nicht, ich wusste nur, unser Kunde nutzt das irgendwie. Und mein Verständnis ist, das ist so das, was man im Red Hat-Ökosystem als Repository verwendet, wenn man aktuelle PHP-Versionen einsetzen will. Und da sagt die offizielle Instanz, die PHP-Foundation, da wird es keine Updates geben.

54:29 Und dann gibt es da ein offenes Issue in seinem GitHub-Repository, wo jemand schreibt, sagt mal, gibt es ja eigentlich nachher Updates und es kommt keine Reaktion da drauf. Und dann haben wir eben angefangen und haben uns darum gekümpft, hat, gegen Mittag haben wir das gemerkt, innerhalb von vier Stunden dann komplett das Bild-Setup aufzusetzen, um mal eben das PHP da selber kompilieren zu können, weil wir uns nicht darauf verlassen konnten.

54:52 Und der Typ hat dann irgendwann gegen 16 Uhr gesagt, ja nee, meine Bilds laufen alle, kommt gleich oder so. Ich habe keine Ahnung, was da vorgefallen ist, aber der hat noch am Freitag, richtig, am Freitag hat er auf Social Media getweetet, ich bin jetzt mal ein paar Tage offline. Das heißt, es gab wirklich Anzeichen dafür, dass da nichts kommen wird.

55:14 Und ich habe wirklich keine Ahnung. Ich will dem Typen nichts Böses unterstellen. Ich bin ihm nicht böse. Ich hätte mir Kommunikation gewünscht ein bisschen, aber ich bin ihm trotzdem nicht böse. Im Zweifelsfall ist das so, ein Typ in Nebraska, der hart frustriert darüber ist, wie viele Firmen mit seiner Arbeit in der Freizeit Geld verdienen und wie sie ihn ausbeuten und ausnutzen, ohne dass er irgendwas dafür bekommt.

55:39 Und das ist was, wo ich zum Thema Andersmachen schon sagen würde. Es gibt in großen Konzernen das Konzept, dass man sich mit Supply Chain mal auseinandersetzt. Aber ich glaube, dass trotzdem sehr viele Unternehmen auf so ein Repository von dem Andre im Debian-Ökosystem und dem Remi, beide Namen wahrscheinlich falsch ausgesprochen, im Red Hat-Ökosystem setzen.

56:04 Und das ist dieser eine Typ in Nebraska, sorry an die beiden, dass ich nicht weiß, wie ihr wohnt, auf den wir uns verlassen. Und die PHP ist ein Riesen-, also da gibt es mittlerweile eine Stiftung und da gibt es Security-Teams und da gibt es Strukturen. Und dass man da, ich bin den beiden dankbar für ihre Arbeit und da gibt es sicher für andere Distributionen ähnliche Leute, Aber wenn wir wirklich ein ernst gemeintes Geschäft aufsetzen wollen auf dieser Technologie, sollten wir vielleicht nicht uns auf diesen einen Typen in Nebraska verlassen, wenn wir mit dem keine Verträge haben.

56:36 Ja, und ich denke auch, dass man auch einfach Geld und vielleicht auch Mühen in die Erhaltung des Ökosystems steckt, von dem man ja abhängig ist, wo man ja möchte, dass das alles funktioniert, wo man möchte, dass Security-Patches rauskommen. Und das ist so ein bisschen, gerade bei Open Source, funktioniert das ja nicht so gut. Und zwar nicht erst seit gestern. schaut.

57:04 Ja, nein, nein, nicht erst seit gestern. Ich fühle sich jetzt eine Diskussion seit 20 Jahren, ich habe keinen Bock mehr drauf. Ja. Genau, aber trotzdem, das gibt es ja in vielen Bereichen, gibt es bei Accessibility und so, und es sind halt solche Ereignisse, die dann einem immer vor Augen führen, also wie abhängig man sich gemacht hat, also dass man nicht einfach nur kostenlos irgendwo was runterlädt und dann, cool, danke, ich baue jetzt mein Geschäft drauf auf, sondern dass man vielleicht auch zurückkontributen muss und ich gucke hier, gerade mal rein, also Automatic ist der größte oder hat am meisten Geld in den vergangenen Jahren an PHP gesponsert, das sind aber pro Jahr auch nur so 150.000 PHP, das hat 13,

57:48 Mitarbeiter, also die musst du ja bezahlen. Also an der Stelle würde ich einmal ganz kurz eine ganz konkrete Sache da auch ansprechen, die ich wirklich krass finde. Also Automatic, das ist die Firma hinter WordPress mehr oder weniger, haben die so 700.000? Bis zum nächsten Mal. Genau, es gibt 60.000, aber seit 2021, also durch fünf gerechnet sind das so, sagen wir mal, 140.000 pro Jahr.

58:11 Und das ist die Firma einer WordPress, das ist ein Riesenladen. Danach kommt JetBrains, die machen die IDEs, die viele von uns genutzt haben, bevor KI kam, also IntelliJ, PHPStorm, ich weiß nicht, wie die Dinge alle heißen. Dann kommt der Sovereign Tech Fund, das ist eine Bundesbehörde, also das ist deutsches Steuergeld mehr oder weniger, was da reinfließt, was, ich richtig geil finde, dass das, also da steht nicht die US-Regierung, da steht nicht die CIA, da steht, also das ist wirklich eine deutsche Bundesbehörde, das ist unser Steuergeld, wo ich echt sagen muss, Hut ab, dass wir das als Bundesrepublik Deutschland hinbekommen haben.

58:45 Danach kommt die Linux-Foundation, das finde ich ein bisschen frustrierend, dass eine Foundation da der anderen Foundation das Geld zustecken muss, aber hey, cool, dass sie es machen. Und danach kommt Private Packages, CraftCMS, Cibozu und Tideways. Ich kenne CraftCMS und Cibozu nicht, aber Private Packages und Tideways kenne ich jetzt beide zufälligerweise.

59:04 Das sind halt verhältnismäßig kleine deutsche Unternehmen. Also lass die 10, 15 Mitarbeiter haben und die tauchen hier gerade als Platz 5 und Platz 8 auf. Private Packages für diejenigen, die kein PHP machen. Das ist die Firma von den Leuten, die Composer machen. Das ist unser NPM, um das so rum zu sagen.

59:25 Und es ist auch nur halbdeutsch. Der eine ist, glaube ich, Belgier, Schweizer, nagelt mich nicht drauf fest. Und das sind so wirklich zehn. Aber das sind dann halt schon so Beträge, da sind dann 18.000 pro Jahr oder 10.000 pro Jahr. Auch cool, ja, für so kleine Firmen. Mega. Aber es ist halt, wenn du 13 Leute beschäftigst und wahrscheinlich könnten die auch mehr Leute beschäftigen, Nur, also wo, wie willst du die bezahlen?

59:48 Also ich muss jetzt nochmal, also diese beiden will ich nochmal kurz ein bisschen auch wirklich in den Kontext setzen. Also wie kann denn das sein, wenn wir uns überlegen, wer hier die letzten Tage alles offline war, wie kann das sein, dass so Firmen wie Private Packages und Tideways hier in der Top Ten auftauchen?

1:00:04 Also das ist eigentlich. Warte, warte, stopp, warte. Die Frage ist, wie kann das sein? Ich würde sagen, das kann sein, weil offensichtlich das System ein Äquilibrium erreicht hat, wo das der Normalzustand ist. Denn das haben wir seit 20 Jahren so. Das System ist dafür ausgelegt, genau so zu funktionieren. Und wir sollten mal aufhören, uns darüber zu wundern, dass es so funktioniert, wie es das schon immer getan hat.

1:00:24 Peter, lass mich nicht unterbrechen. Eventuell war, wie kann das sein, auch eine rhetorische Frage. Und dass das hier nicht der Teil ist der News-Sektion der Folge, sondern dass das der Impuls mit wo können wir was besser machen ist, bin ich auch bei dir. Nein, das ist nicht der Impuls. Das ist der Impuls. Wir bewundern das gleiche Problem, das wir seit 20 Jahren haben, nur um zu sagen, ja, müsste man mal was anderes machen, ne?

1:00:44 Und dann passiert wieder nichts. Wie kann ich hier den Stuhl schalten? Wie kann ich hier Peter ausmachen? Genau. Ja, das wissen wir ja alles, Peter, aber darum geht es ja gar nicht. Also das wissen wir, dass das nicht funktioniert, aber es geht ja jetzt darum zu sagen, vielleicht gibt es ja einfach Hörende und Firmen, die die vielleicht sich überlegen, ob die am Ende zu Weihnachten mindestens oder auch dauerhaft.

1:01:07 Ich würde noch mal, bevor Peter wieder erzählt, dass die Welt schlecht ist, noch ein, zwei weitere Sachen. Und ich muss hier wirklich für diese beiden auch noch mehr Lanzen brechen, als ich erwartet habe. Das Ganze geht nämlich einen Schritt weiter. Also wenn irgendwer von euch das Wall Street Journal liest oder die Zeit oder WDR guckt, wird euch der Name Volker Dusch über den Weg gelaufen sein.

1:01:26 Das ist irgendwie, der ist gerade so der, der hat viel Koordinierungsarbeit die letzten Wochen an dieser Sicherheitslücke gemacht. Ich glaube, sein offizieller ist irgendwie AI Researcher, AI Security Researcher in Residence oder so. Keine Ahnung. Also irgendwas mit AI und was mit Security und das in Residence ist bei mir hängen geblieben.

1:01:41 Volker ist gleichzeitig Release Manager von PRP 8.5, glaube ich. Und Volker ist eigentlich hauptberuflich Head of Engineering bei der Firma Tideways. Die ja hier spendet, die ja auf Platz 8 in dieser Spendenliste auftauchen, die da gerade wen, ich kenne die genau, also ich weiß die genauen Zusammenhänge und verträgliche Sachen, weiß ich nicht, ich weiß nicht, ob die ihn weiterbezahlen oder ob er jetzt einfach gerade nur von der Foundation gezahlt wird, aber in jedem Fall haben sie ihn irgendwie freigestellt oder was auch immer, sich um dieses Problem zu, also sich mit PHP an der Stelle zu befassen.

1:02:14 Das heißt, diese Firma unterstützt über diese 60.000 hinaus PHP noch mehr, indem sie einfach ihren Head of Engineering der PHP Foundation vermutlich nicht unentgelt, irgendwie breit zur Verfügung stellt. Also sie verzichten halt auf ihn, ne? Genau. Zeitweise. Er ist ein krasser Kopf und auf den zu verzichten, muss man schon erstmal, auf den muss man erstmal verzichten können.

1:02:38 Und dann geht's dann nochmal einen Schritt weiter und wenn man sich dann irgendwie auf dieser PHP Foundation Website, die ich natürlich jetzt gerade nicht offen habe, mal das HUIA umguckt, dann wird man da irgendwie das Board finden und wird dann da den Benjamin Eberleif finden, der der Gründer der Firma Tideways ist.

1:02:54 Keine Ahnung, wie viel der die letzten Wochen da mit reingesteckt hat in das Thema, aber ich gehe davon aus, das wird denen auch einiges an Zeit gekostet haben. Und jetzt gucken wir doch mal weiter in das Board und dann taucht da der Firma, der Name Nils Adermann auf, der einer der Gründer von Private Packages ist, der auch in den letzten Wochen da Zeit reingesteckt haben wird.

1:03:12 Das heißt, lassen wir mal die Freiwilligen in Nebraska außen vor und gucken auf dieses Thema der Firmen, die hier unterstützen könnten. Diese beiden kleinen Firmen haben hier mit zehntausenden Euro unterstützt, sie haben Wissen und Arbeitskräfte zur Verfügung gestellt und ich bin mir sehr sicher, Nils und Benjamin werden auch einiges an Freizeit reingesteckt haben und Volker hat das in irgendeinem Zeitungsartikel auch gesagt, dass er im Moment so eher 80 Stunden Wochen hatte.

1:03:35 Ich weiß nicht, ob die PHP Foundation Überstunden bezahlt. Bin da jetzt nicht so super zuversichtlich. Und das ist was, wo ich echt sagen muss, frustriert mich, aber hier habe ich einen kleinen Cheat und deswegen spreche ich das Thema gerade an. Es ist ja nicht immer einfach, den Chef davon zu überzeugen, irgendeiner komischen Foundation Geld zu spenden.

1:03:52 Aber vielleicht hilft es einfach, den Chef davon zu überzeugen, dass man ein neues Application Performance Monitoring für die PHP-Anwendung braucht und dass man da unbedingt den teuersten Plan von Tideways braucht oder dass man doch unbedingt interne PHP-Pakete in Private Packages ablegen will. Also wenn man den Chef nicht von der Spende überzeugt bekommt, vielleicht kann man der PHP-Community damit was Gutes tun, wenn man bei einer dieser Firmen was einkauft. Das sind jetzt die beiden, die ich nenne, weil ich die Geschichten dahinter kenne und diese Zusammenhänge wahrgenommen habe.

1:04:19 Scheinbar hilft es ja auch, eine JetBrains-Lizenz zu kaufen, wobei ich vermute, der Anteil am JetBrains-Umsatz, Verglichen zur Spende an die PHP Foundation ist ein bisschen andere als bei Private Packages und Tideways. Also insofern, vielleicht ist das noch so ein kleiner Cheat, wenn ihr die Spenden nicht machen könnt, dann bringt euer Chef dazu, diese beiden Firmen, die Produkte einzusetzen. Also Firmen zu unterstützen, die die wiederum unterstützen. Genau.

1:04:41 Und da gibt es viele weitere. In der Ack hat dann trotzdem jemand 80-Stunden-Wochen. Fick das. Ich will keine Software benutzen, die nur funktioniert, weil jemand 80-Stunden-Wochen schiebt. Das ist einfach nee. Nee, also an so einem System kann man sich doch nicht beteiligen. Aber die Diskussion ist ja müßig, weil das ist ja eben so, wie es ist. Und das ist scheiße.

1:05:00 Nee, das ist nicht so, wie es ist. Die ganze Kiste, die ganze Welt, in der wir uns hier bewegen, dieser ganze Softwarekram, der ist rein menschengemacht. Das ist kein Naturgesetz, das ist keine Gravitationskonstante. Ich würde nur in dieser ganzen Diskussion gerne mal immer die eine Idee in den Raum stellen, was jetzt auch nicht besonders produktiv ist, weil ich keine bessere Alternative weiß.

1:05:20 Aber es ist ja so, dass diese Open-Source-Idee, so wie sie heute immer noch, so existiert, ja in einem sehr spezifischen technologischen Kontext entstanden ist, der da halt war. Wir haben die bärtigen Nerds, die da in den 80er Jahren in ihren Kellern sitzen und die davon gefrustet sind, wie die Welt, in der sie sich da bewegen, funktioniert, wo sie meinen, wir hätten das gern anders organisiert.

1:05:41 Und haben sich halt eben in einem bestimmten technologischen Kontext überlegt, lass mal hier Open-Source erfinden, lass mal hier freie Software erfinden. Und ich würde halt nur mal die Idee in den Raum stellen, dass die Welt, die wir heute haben, so ein bisschen eine andere ist. Ich hatte vor kurzem Geburtstag. Mein Vater schickt mir ein Geburtstagskärtchen und legt dabei ein Foto vom frisch geborenen Peter.

1:06:03 Und dann gucke ich da so in diesen Raum rein und schaue mir so die Fliesen an, die da am Start sind. Ich schaue mir diese medizinischen Geräte an, die da rumstehen im Jahre 1984 und denke so, wow, das sieht aus, als wäre es das Mittelalter. So lange ist das her. Und wisst ihr was? Das ist halt so. Das war eine andere Zeit.

1:06:22 Und es ist nicht gottgegeben, dass die Ideen, wie so Software funktioniert, die man sich damals um genau die gleiche Zeit gemacht hat, auf die heutige Welt anwendbar sind. Und gerade im Kontext von KI würde ich sagen, möglicherweise funktioniert das nicht mehr. Das hat nicht nur damit zu tun, dass wir seit 20 Jahren darüber klagen, dass die Leute sich kaputt arbeiten, ohne kompensiert zu werden, sondern es hat auch mit dem gesamten technologischen Kontext zu tun, der da ein komplett anderer ist.

1:06:48 Warum sollte irgendwas, das sich jemand vor 40 Jahren überlegt hat, heute noch genau so funktionieren? Ich finde, das ist eine Frage. Aber was ist denn jetzt dein Vorschlag? Ich habe gesagt, ich habe keinen Alternativvorschlag. Ich habe halt nur gesagt, das, was wir da haben, funktioniert offensichtlich nicht und ist auch nicht zu funktionieren zu bekommen.

1:07:06 Okay, aber da können wir jetzt ja erstmal nichts dran machen. Also das ist ja dann Sache der Projektverantwortlichen, dass die sich eben ein anderes, sagen wir mal, Veröffentlichungs- oder Businessmodell überlegen. Da können wir jetzt hier noch rumdiskutieren. Naja, ich würde sagen, was wir halt tun könnten, wäre vielleicht mal dieser Möglichkeit Raum zum Atmen geben.

1:07:30 Vielleicht spinne ich ja auch und alles, was vor 40 Jahren gut war, ist heute immer noch gut. Aber vielleicht wollen wir ja diese, vielleicht auch mal, das klingt jetzt brutal, aber diese klassische Idee der freien Software, wie vor 40 Jahren überlegt, dass wir die zu Grabe tragen und durch eine Version 2.0, die auf irgendeine Weise cooler und besser ist, ersetzen, statt zu sagen, wir nehmen das, wie es ist.

1:07:49 Das ist tatsächlich eine Naturkonstante und doktern daran rum, indem wir noch einen Fundraiser starten. Also ich finde, das ist eine spannende Diskussion, die wir definitiv, wo ich gerne gegen dich diskutieren wollen würde und wo ich dir empfehlen würde, den Jan Lenath mal noch einzuladen, der wahrscheinlich eher auf deiner Seite ist.

1:08:04 Aber vielleicht versuchen wir noch ganz kurz die Kurve zu PRP zurückzubringen und vielleicht auch weiter noch über Nebraska zu reden, wenn wir wollen. Oder, was mir gerade einfällt, so zwei, drei Problemchen der Geschichte haben wir noch nicht beleuchtet. Das können wir auch noch machen. Ja, also ich würde gerne noch einfach nur hinzufügen, du hast ja gerade gesagt, der Sovereign oder die Sovereign Tech Agency heißt die mittlerweile.

1:08:27 Die supportet ja mit einem Budget von mehreren Millionen, also zweistelligem Millionenbetrag Open Source Projekte. Ich glaube immer, da werden immer irgendwelche Implementationen supportet. Also es ist nie so, dass die dauerhaft Projekte Geld geben, sondern es dann immer so PHP sicherer machen. Alles klar, hier kriegt ihr so viel Geld.

1:08:49 Und auf Wikipedia sieht man eine Liste der Projekte, die die supporten. Und da sind halt ganz viele dabei, die ähnlich wie PHP sind, wo man sich einfach eben, also das, was ich gerade gesagt habe, gilt natürlich nicht nur für PHP, sondern eben für andere Projekte wie Curl, wie FFmpeg, das quasi im Grunde in allen.

1:09:08 Videosoftwaren drinsteckt, manchmal auch kommerziellen. Also, dass man sich da einfach mal umschaut und dann vielleicht feststellt, ah ja, okay, da ist doch einiges, was wir auch brauchen und nutzen. Und vielleicht kann das ja durchaus auch wirklich eine Lösung sein, dass halt die, also ich meine, wir haben das Konzept von Steuern und irgendwie, ich bleibe dabei, ich bin wirklich krass positiv überrascht davon, dass die Bundesrepublik diese Sovereign Tech Agency gemacht hat, da wird auch nicht alles nur perfekt sein, aber ich glaube, das ist auch schon mal ein Schritt, der uns weiterhelfen kann.

1:09:42 Ich würde weiterhin vorschlagen, dass wir da jetzt aber nicht zu tief in die Kerbe reingehen, aber bitte wir. Genau, ich glaube so dieses Philosophische, wie müsste was sein, also ich stimme zu, dass der Zustand nicht gut ist, aber das führt halt jetzt zu nichts, darüber zu diskutieren, weil wir solche Projekte eh nicht betreiben, also, wir können da irgendwie rumspinnen, am Ende ist es halt für die Katz, weil die müsste es machen und nicht wir.

1:10:12 Ich würde dann einfach ganz kurz noch mal zu der PHP-Geschichte zurückkommen wollen, wenn das okay ist. Ich hätte noch so zwei, drei Sachen, die mir eingefallen sind, von denen ich nicht weiß, wie breit die eigentlich, angekommen sind und die ich kurz erzählen wollen würde. Das eine, was ich interessant fand, ist ….

1:10:31 Es stellt sich ja natürlich heraus, dass plötzlich Mittwoch um 16 Uhr ganz viele Leute Releases machen wollen. Und ein Freund von mir hatte schon irgendwie so geschrieben, sag mal, glaubst du, die CDNs können das alle ab, dass alle da jetzt die Installation machen? Da war ich relativ entspannt. Da dachte ich mir so, ja, das wird schon irgendwie.

1:10:48 Was wir dann aber tatsächlich bei einem Kunden hatten, die deployen über GitHub Actions. Und dann dauerte es leider, bis GitHub Actions Run-up verfügbar wurden. Und das war das so, die haben auf uns gehört und haben ab dem Zeitpunkt, wo auf php.net stand, hier ist die Lücke zum Download, haben die ihr System abgeschaltet und waren sich sehr sicher, das wird in einer Viertelstunde wieder da sein, weil das ist der Patch installiert.

1:11:12 Aber dann dauerte es halt einfach eine Viertelstunde, bis der erste GitHub-Runner verfügbar war, so ungefähr. Und das ist was, wo ich dann auch wieder interessant fand, wie abhängig man sich da von solcher Infrastruktur irgendwie macht. Also, man hätte ja auch drauf kommen können, ich hab gehört, GitHub Actions hat im Moment immer mal wieder Engpässe, aber man hätte ja auch drauf kommen können, dass genau zu dem Zeitpunkt dann da ein Engpass ist und selbst die Statusseite hat irgendwie so, es gibt ja irgendwie Probleme.

1:11:36 Ich weiß nicht, ob es einfach nur eine Überlastung war oder ob es dann auch andere Probleme zu der Zeit wirklich gab, aber das war was, was ich wirklich, ziemlich interessant als Problem an der Stelle fand und was eins war, was ich nicht in der breiten. Berichterstellung in den letzten Tagen mitgekriegt habe, deswegen wollte ich das auf jeden Fall erzählt haben.

1:11:53 Und vergleichbar mit dem, es hat zu lange gedauert, ich habe eben erwähnt, dass wir dieses Thema mit dem Red Hat-Maintainer hatten, wo wir dachten, es gäbe keine Releases. Und es gab dann so ein paar Stellen, wo Leute dachten, hier gibt es keine Patches, keine Releases oder wo es auch keine gab. Und dann haben halt Leute angefangen, random Leute im Internet unter irgendwelche GitHub-Kommentare zu schreiben, hier, ich hab da mal was gebaut, das könnt ihr euch einfach installieren, das fixt das Problem.

1:12:21 Und da hab ich mich gefragt, wie viele Leute installieren hier jetzt einfach von irgendeinem random anderen Dude aus Nebraska, den keiner von uns kennt, die Software auf ihren Servern, weil sie Panik haben. Und das ist was, ich habe zwei, drei Posts oder GitHub-Issues drüber nachgedacht, drunter zu schreiben, ich würde euch empfehlen, das nicht einfach zu installieren, was der Typ da gemacht hat.

1:12:40 Das ist wahrscheinlich superlieb gemeint. Und wahrscheinlich hat er sich auch wirklich was Gutes dabei gedacht und hat da auch das Richtige gemacht. Aber wir haben ja so ... Das ist halt nicht die Autorität. Nee, genau. Wir haben gerade diese Situation, dieser Remote-Code-Execution und Leute, entscheiden sich dafür einfach, random Remote-Code zu installieren. Hm.

1:13:00 Das fand ich, also das waren auch so interessante Aspekte für mich und deswegen glaube ich, dieses Timing zu koordinieren ist wichtig und ich glaube, und das finde ich, kann man hier an der Stelle auch sagen, ich glaube, diese Leute des PHP-Teams, der PHP-Foundation, die da involviert waren, haben einen richtig guten Job in den letzten Wochen dafür gemacht und.

1:13:19 Ich kann wenig sagen, wo ich mir gewünscht hätte, dass das irgendwie besser gelaufen wäre. Ich hätte mir gewünscht, dass dieser Remi sagt, was sein Plan ist, irgendwie, aber hey, ich bezahle den nicht. Das hätte ich mir gewünscht und ich bin ihm nicht böse, ich mache ihm keine Vorwürfe. Und dann passieren halt so andere Sachen. Jetzt kommen wir wieder zu den Firmen.

1:13:40 Der PHP Foundation Post erwähnt, dass eine Firma eigenständig entschieden hat, die Patches vorzeitig zu veröffentlichen. Ich würde jetzt hier keine Namen nennen, erst weil ich meinen Firmennamen nicht merken kann und zweitens, weil ich nicht dabei war und die mich komplett totreden will. So wie ich das alles verstehe und gelesen habe, ist es so, es gab so einen Slack-Channel, in dem waren irgendwie diese 100 Leute oder Institutionen, in denen wurde koordiniert, wie dieses Release gemacht wird.

1:14:09 Und dann ist es so, dass Hoster angefangen haben zu sagen, wir beobachten, dass versucht wird, diese Lücke auszunutzen. Nicht, wir beobachten, dass die Lücke ausgenutzt wird, sondern irgendwann, ich glaube am Montag oder so, war es so, dass Cloudflare oder dass irgendwer gesagt hat, wir haben den Eindruck, da passiert was.

1:14:29 Und daraufhin hat dieser eine Anbieter beschlossen, ja gut, dann veröffentlichen wir jetzt mal für unsere Kunden, oder nee, sie haben es für alle veröffentlicht, muss man zur Verteidigung sagen, sie haben für alle veröffentlicht, die Releases der Patches. Sorry, also Binarys oder irgendwie sowas in die Richtung, nicht den Diff des PHP-Codes, glaube ich.

1:14:51 Und das haben sie getan zu einem Zeitpunkt, wo in Europa geschlafen wurde. Das heißt, zu einem Zeitpunkt, wo ich habe gerade diese drei Personen, ich habe Volker, Benjamin und Nils erwähnt, ich weiß nicht, wer von denen da, stark involviert war, aber Volker wird geschlafen haben, weil das eine Schlafenszeit in Europa ist.

1:15:11 Und da veröffentlichen die plötzlich den Patch. Und das war, wenn ich mich nicht vertue, am, ne, ich will mich nicht fest, über den genauen Zeitraum. Hier steht 21. Oktober 20 vor 8 UTC. Also wahrscheinlich, das müsste ja dann sein, dann, also dann muss, vielleicht waren die schon wach, aber es war frühmorgens, also es war dann hier frühmorgens quasi, ja, okay.

1:15:36 Und Chaineduard war die Bude. Jetzt hast du den Namen gesagt, ich nicht, ja. Und, die haben damit diesen kompletten Zeitplan zerstört. Also. Ich will nicht wissen, mit welchem Stress zu dem Zeitpunkt dann Volker und Co. Da saßen und überlegt haben, was machen wir jetzt. Wir haben angekündigt, dass wir es um 16 Uhr releasen. Wir haben hier diese Leute in Nebraska, die Gutes tun, die die Builds machen wollen, die die nicht fertig haben jetzt.

1:16:09 Also die Debian-Pakete waren ja um 16 Uhr noch nicht so richtig fertig, Wenn die dann jetzt plötzlich um 8 Uhr morgens das gemacht hätten, dann wäre das halt nicht fertig gewesen. Und das heißt, diese Situation, in der diese Freiwilligen in Anführungszeichen, also am Ende, der Volker ist da gerade bei der PHP Foundation angestellt und der Nils verdient mit dem PHP-Ökosystem auch sein Geld, aber trotzdem, ich würde sie jetzt an der Stelle erst mal, es sind viele Freiwillige an der Stelle involviert.

1:16:33 Denen macht so ein Player an der Stelle wirklich das Leben zur Hölle, vermute ich, und äußert sich dann. Ja, die haben einfach die Nerven verloren, also die Firma. Und das Ding ist, es gab dieses Embargo, es gab diesen Slack-Channel, da waren die drin und man hätte ja auch da sagen können, wir wollen jetzt hier releasen, können wir einmal ganz kurz drüber sprechen?

1:16:55 Aber mein Verständnis ist, sie haben released und dann haben sie im Channel geschrieben, sie haben es released. So ist mein Verständnis und an der Stelle, ich bin nicht in diesem Channel, das kann falsch sein, das kann sein, dass ich es falsch verstanden habe, dass ich es falsch gelesen habe oder dass jemand etwas Falsches behauptet hat.

1:17:07 Und dann haben die sich aber noch dazu entschieden, auf LinkedIn was dazu zu posten, warum sie denn so gehandelt haben. Und ich kann euch empfehlen, da mal ein bisschen nachzusuchen. Ich glaube, da gibt es auch Reaktionen. Das klingt so, als wäre das, hätte es die Sache nicht besser gemacht. Nein, genau. Also irgendjemand hat darunter geschrieben, ihr hättet einfach Entschuldigung schreiben sollen.

1:17:28 Das wäre das, was hier richtig gewesen wäre. Und. Das finde ich wirklich, da lohnt es sich auch noch mal reinzuschauen. Und das ist wirklich schade, dass da einzelne Player sowas gemacht haben. Und was ich daran für uns als Community-Ökosystem das Relevante finde, wird diese Firma jemals wieder involviert sein in so einen Prozess?

1:17:49 Kriegen die nächstes Mal auch vorab die Patches? Wahrscheinlich nicht. Das ist ungeschickt, soll ich sagen. Ja. Tja, ich glaube, wir haben das auch ganz gut so durchgezickelt. Wir verlinken auf jeden Fall mal die Posts von der PHP Foundation, dann auch eins, das so den Exploit erklärt. Genau, und eben alles Mögliche, über das wir gesprochen haben, den hier Sovereign Tech Agency.

1:18:18 Sovereign Tech Agency werde ich auf jeden Fall verlinken, genau, und auch die Wikipedia-Seite, wo aufgelistet ist, was die alles supporten. Und vielleicht wirklich dieser Impuls auch nochmal, guckt, dass wenn euer Arbeitgeber, wenn ihr Geld verdient mit Open-Source-Projekten, dass ihr da irgendwie finanziell unterstützt. Es wird, glaube ich, im Moment auch nur immer wichtiger, gerade wenn wir jetzt jede Woche sowas kriegen.

1:18:38 Und es muss ja auch nicht immens viel sein, aber wenn man sich vorstellt, dass jedes Unternehmen mal seine ein, zwei Prozent vom Umsatz in die Open-Source-Projekte mit denen, die ihr Geld verdienen, reinstecken, dann hätte so ein Open-Source-Ökosystem gleich ganz andere Möglichkeiten. Also genau, bei uns im Projekt macht man das tatsächlich immer an Weihnachten, dass wir dann irgendwie so ein Budget haben, was wir dann verteilen.

1:19:02 Da kann dann jeder irgendwie sagen, welches Projekt findet er gut und warum. Und dann wird das quasi das Budget aufgeteilt. Aber monatlich ist natürlich auch gut. All right, ja dann, vielen Dank für die Anregung, diese Folge aufzunehmen. Vielen Dank auch für dein Hintergrundwissen. Ich würde Peter wirklich vielen Dank dafür sagen, dass du dich belabern lassen hast und dass du hier den Außenstehenden auf jeden Fall mit reinbringen konntest, dass wir nicht nur die beiden PHP-Hasen hier reden haben zu so einem Thema.

1:19:31 Einer muss ja die schlechten Takes in die Sendung bringen und dafür bin ich zuständig. Ja, und das werden sich die Katzen auch noch nebenbei prügeln. Wir sind über 16, das war sehr, sehr kurzfristig. Genau. Ja, super. Dann vielen Dank, wenn es Feedback gibt. Ihr wisst, also von euch Hörenden, dann findet ihr unsere Kontaktkanäle auf unserer Webseite, die auch wieder up ist und nicht down.

1:19:59 Und genau, Christian werden wir auch verlinken. Ich habe eine Kleinigkeit vergessen. Ob ihr die reinschneidet oder mich hier raus schneidet, ist mir fein. Wir schneiden fast nie was. Andere absurde Sache in dieser Nummer war die offiziellen Docker-Images. Kamen deutlich nach 16 Uhr. Ich weiß nicht mehr, wann genau die wirklich verfügbar waren, aber da ist einfach der Bildprozess wie von, es gibt einen PHP-Release zu, es gibt ein offizielles Docker-Image zu PHP-Versionen existiert, der dauert einfach ein bisschen.

1:20:29 Und aus irgendwelchen Gründen, ich kenne die Details nicht, aber aus irgendwelchen Gründen ist das einfach so, dass das erst gegen 16 Uhr angestoßen werden konnte, wenn ich es richtig verstehe. Und das war für mich eine überraschende Nummer. Also ich habe glücklicherweise keine Situation gehabt, wo die eingesetzt wurden, deswegen hat mich das nicht betroffen.

1:20:43 Aber irgendwo habe ich es dann mitgekriegt, dass die einfach erst, lass es zwei Stunden später gewesen sein, aber das fand ich ein witziges Learning, wo ich auch wieder sagen würde, man sollte sich einfach überlegen, wo bezieht man die Anwendung auf die man baut, her und ich hätte gedacht, die offiziellen Docker-Images sind ein guter Weg, aber scheinbar war das nicht der beste.

1:21:05 Sorry dafür. Ja, naja, da werden auch viele Leute einiges wieder an Dingen gelernt und mitgenommen haben fürs nächste Mal, dass wir aber hoffentlich erst mal eine Weile hin ist. Alles klar. Super. Dann vielen Dank. Schönen Tag euch noch und den Hörenden ebenso. Und dann bis bald mal wieder mit einer regulären Folge dann, denke ich.

1:21:28 Ciao. Tschüss. Tschüssi.