Wordpress

Dieser Blog wird mit Hugo gebaut und als 6.343 reine Dateien ausgeliefert, ohne dass bei irgendeiner Anfrage Code von mir läuft. Dagegen ein Standard-WordPress 7.1.3, gemessen in einem Podman-Labor: 133 REST-Routen, 62 davon nehmen Schreibzugriffe an, 80 XML-RPC-Methoden, 1.514 PHP-Dateien, jede einzelne seiner 3.785 Dateien beschreibbar durch den eigenen Benutzer des Webservers, und ein Datenbankkonto mit allen Rechten. Dieser Beitrag zählt beide Angriffsflächen, erklärt, was Hugos eigenes Sicherheitsmodell beim Build tut, gibt offen zu, wohin das Risiko wandert, wenn beim Ausliefern nichts mehr läuft, einschließlich zweier Lücken im Build dieser Site, von denen eine inzwischen geschlossen ist, und zeigt, wie du eine statische Site offline baust, einmal, und nichts hochlädt außer den fertigen Dateien.

PHP2Shell, offengelegt am 21. Oktober 2026, ist Remote Code Execution ohne Anmeldung im PHP-Interpreter selbst, in jeder Version bis 5.4 zurück, ausgenutzt, bevor es den Patch gab. Es ist der neueste Eintrag in einer langen Bilanz: 757 CVEs gegen den Interpreter seit 1997, mindestens 288 davon Speicherkorruption und 172 als vollständige Fernübernahme ohne Login bewertet. Dieser Beitrag zählt diese Bilanz aus der NVD und dem CISA-KEV-Katalog nach, erklärt, warum eine C-Engine und eine Sprache, die ein Jahrzehnt brauchte, um register_globals loszuwerden, denselben Fehler zweimal machen, schaut sich an, was WordPress mit den Zahlen macht, wie Web-Shells bleiben und wie man sie stoppt, die zwei Male, als bei php.net selbst eingebrochen wurde, den Anteil des Webs, der noch auf Versionen läuft, die niemand patcht, und warum der übliche Betrieb, ein Prozess mit den Templates, der Logik, dem SQL und dem Datenbankpasswort, jeden dieser Bugs zu allem macht. Und warum ich, der PHP selbst aufgegeben hat, finde, dass du dir den Umstieg auf eine speichersichere Sprache wie Go anschauen solltest.