heise+ | php2shell, Broccoli2Shell und „4“ zeigen, woran IT-Sicherheit krankt

Hinweise auf die schwerwiegenden Lücken gab in allen drei Fällen schon lange vor ihrer Behebung – ganz ohne KI. Sie hätten längst behoben sein sollen.

Artikel verschenken

vorlesen Druckansicht

30.10.2026, 09:00 Uhr

Lesezeit: 9 Min.

1. php2shell, Broccoli2Shell und „4“ zeigen, woran IT-Sicherheit krankt
   • php2shell
   • Broccoli
   • eMudhra
2. Grundsätzliche Probleme

Um den 20. Oktober begannen harte Tage für viele Administratoren und Entwickler, die etwas mit der IT-Sicherheit ihrer Produkte zu schaffen haben. Mehrere kritische Lücken mit großer Reichweite gaben sich die virtuelle Klinke in die Hand: Unter dem Label „php2shell“ hielten Probleme in PHP die ganze Welt so sehr in Atem, dass daneben ein krachendes und ebenso brandgefährliches Versagen der Zertifizierungsstelle eMudhra fast unterging.

Gleichzeitig wurde eine ebenfalls hochriskante Lücke in Dekomprimierungsroutinen für den Algorithmus Brotli bekannt. Auch sie erfuhr im Schatten von php2shell zunächst eher wenig Aufmerksamkeit, wurde anfänglich allein dem Node.js-Projekt zugeschrieben und daher Node2Shell genannt. In Wahrheit betraf das Problem aber auch diverse andere Software – und wurde inzwischen ironisch in Broccoli2Shell umbenannt.

Wer in dieser Schwemme an schwerwiegenden Problemen die KI-induzierte „Vulnocalypse“ sieht, liegt allerdings nur bedingt richtig. KI-Systeme waren in der Tat an der Entdeckung einiger der Probleme beteiligt – aber mehr auch nicht. Genauer betrachtet zeigen die Vorfälle strukturelle Probleme, die weit über Bug-suchende und Exploit-schreibende LLMs hinausgehen.

Das war die Leseprobe unseres heise-Plus-Artikels "php2shell, Broccoli2Shell und „4“ zeigen, woran IT-Sicherheit krankt". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.