Wochenrückblick KW 44: PHP-Lücken, Lieferkette, KI-Agenten

Diese Woche war ich vor allem mit Patchen beschäftigt: PHP, GitLab und Node.js wollten alle gleichzeitig Aufmerksamkeit. Dazu kommt die Dauerfrage, wie viel Architektur im Zeitalter von KI-generiertem Code überlebt. Spoiler: mehr, als die Heilsversprechen vermuten lassen.

php2shell: Zwei kritische PHP-Lücken erlauben Codeeinschleusung

Zwei Fehler machen Webserver mit PHP aus dem Netz angreifbar und ermöglichen das Einschleusen von Code. Betroffen sind Versionen der letzten 20 Jahre. Admins sollten patchen.

Kommentar // 20 Jahre PHP-Versionen heißt: Auch der vergessene Kundenserver in der Ecke ist dabei. Ich habe am Montag meine Liste durchgearbeitet und festgestellt, dass es mehr Altlasten gibt, als mir lieb ist.

Quelle: heise.de – php2shell: Kritische Sicherheitslücken erlauben Codeeinschleusung in P · 21.10.2026

GitLab schließt zwölf Lücken, eine davon mit Remote-Codeausführung

GitLab veröffentlicht Updates für mehrere Versionszweige und behebt damit zwölf Sicherheitslücken. Darunter ist eine kritische Lücke, die Remote-Codeausführung erlaubt. Die Updates gelten als dringend.

Kommentar // Wer GitLab selbst hostet, hat damit seinen Feierabend verplant. Genau deshalb gehören Updates bei mir in einen festen Rhythmus und nicht in die Kategorie 'mache ich, wenn es brennt'.

Quelle: heise.de – Kritische Codeausführung: GitLab veröffentlicht dringende Sicherheitsu · 22.10.2026

Cargo kann zu junge Pakete optional abweisen

Das Rust-Projekt will die Lieferkette besser schützen. Entwickler können optional auf die Cargo-Bremse treten, sodass Cargo zu junge Pakete abweist.

Kommentar // Ein Mindestalter für Pakete ist simpel und gerade deshalb clever: Die meisten Angriffe über neue Versionen fliegen schnell auf. So eine Karenzzeit würde ich mir in jedem Paketmanager als Standardoption wünschen.

Quelle: heise.de – Zu junge Pakete müssen draußen bleiben: Rust schützt die Lieferkette · 22.10.2026

Cloudflare übernimmt tsrs, den TypeScript-Compiler in Rust

KI-Agenten haben den TypeScript-Compiler nach Rust übersetzt. Cloudflare übernimmt das Projekt tsrs. Microsoft nutzt einige der dabei entdeckten Optimierungen bereits für TypeScript 7.1.

Kommentar // Spannend ist weniger der Rust-Port an sich als der Rückfluss ins Original. Wenn Agenten beim Übersetzen Optimierungen finden, die Menschen übersehen haben, ist das ein ziemlich nüchterner Beleg dafür, wofür sie taugen.

Quelle: heise.de – TypeScript-Compiler in Rust: Cloudflare übernimmt tsrs · 23.10.2026

OpenCode 2.1 bringt Plug-in-Datenfelder und Windows-Terminals

Version 2.1 des quelloffenen KI-Coding-Agenten OpenCode bringt neue Datenfelder für Plug-ins und Clients. Außerdem gibt es dauerhafte Terminals für Windows. Der Agent arbeitet mit vielen verschiedenen Modellen.

Kommentar // Ich mag Werkzeuge, bei denen ich das Modell dahinter wechseln kann, statt am Anbieter zu hängen. Bei einem Open-Source-Agenten ist das auch ein Selfhosting-Argument.

Quelle: heise.de – OpenCode 2.1: Ein Coding-Agent, viele Modelle · 22.10.2026

Murat Erder: KI zwingt zum Aufräumen veralteter Dokumentation

Im Interview beschreibt Murat Erder, wie KI die Softwareentwicklung verändern kann. Die grundlegenden Prinzipien guter Architektur setzt sie dabei nicht außer Kraft. Veraltete Dokumentation muss laut Titel aufgeräumt werden.

Kommentar // Dass KI-Tools nur so gut sind wie der Kontext, den man ihnen gibt, merke ich täglich. Veraltete Doku fiel früher nur Menschen auf die Füße, jetzt auch dem Agenten, und das erhöht den Druck hoffentlich tatsächlich.

Quelle: heise.de – Continuous Architecture: KI zwingt uns dazu, veraltete Dokumentation a · 24.10.2026

Event-Sourcing liefert Historie rückwirkend über zweieinhalb Jahre

Eine interne To-do-App bekam einen Verlauf und eine Statistik, und zwar rückwirkend über zweieinhalb Jahre. Das verdankt sie laut Beitrag nicht Weitsicht, sondern Event-Sourcing. Als Beispiel dient ein Task, der 5320 Mal verschoben wurde.

Kommentar // Event-Sourcing ist selten die richtige Antwort, aber wenn sie es ist, dann genau wegen solcher Fälle. Fragen, die man erst in zwei Jahren stellt, lassen sich nur beantworten, wenn man heute nichts wegwirft.

Quelle: heise.de – 5320 Mal verschoben: Was Event-Sourcing rückwirkend möglich macht · 21.10.2026

Linux 7.3 verbessert Scheduling, Grafik und Dateisysteme

Linux-Kernel 7.3 steigert die Leistung bei Scheduling, Grafik und Dateisystemen. Unterstützung für Apple Time Machine ist ebenfalls enthalten.

Kommentar // Für meine Selfhosting-Kisten ist der Kernel selten ein Grund zur Eile, aber Time Machine auf Linux-Seite klingt nach einem handfesten Praxisgewinn. Ich warte trotzdem, bis die Distribution den Kernel regulär ausliefert.

Quelle: heise.de – Was Linux 7.3 bei Grafikspeicher, Scheduling und Dateisystemen verbess · 20.10.2026

Das war die Woche. Wenn ihr bis hierhin gepatcht habt, könnt ihr das Wochenende wieder mit anderen Problemen füllen.