GI-Radar 412: Ab in die Shell

Liebe Leserinnen und Leser,

in dieser Ausgabe geht es um zwei kritische Sicherheitslücken aus derselben Woche: Wegen „php2shell“ haben zahlreiche Organisationen ihre Websites vorsorglich vom Netz genommen, und eine Lücke im Kompressionsverfahren Brotli betrifft nicht nur Server, sondern auch viele Entwicklungsrechner. Außerdem geht es darum, wann das Smartphone am Tisch stört, warum die Cookie-Banner wohl bleiben, warum vier Parteien wegen politischen Microtargetings verwarnt wurden und was die Bildverarbeitungsbibliothek OpenCV kann. Ein Thema im Fokus haben wir dieses Mal nicht. In den GI-Meldungen berichten wir vom Neustart der Regionalgruppe Karlsruhe, freuen uns auf Ihre Vorschläge für die GI-Fellows 2027 und ermuntern Absolventinnen, ihre Abschlussarbeiten für den Women Informatics Thesis Award der Fachgruppe Frauen und Informatik einzureichen. Im Fundstück lernen Sie in einem Textadventure vom MIT die ersten Befehle auf der Kommandozeile.

Wir wünschen Ihnen viel Spaß mit dieser Ausgabe.

auf gi-radar.de weiterlesen

KURZMITTEILUNGEN

php2shell: Websites vorsorglich vom Netz (heise). Zwei kritische Lücken im PHP-Kern haben in der vergangenen Woche dazu geführt, dass zahlreiche Organisationen ihre Webauftritte vorsorglich abgeschaltet haben – laut heise in einem Ausmaß, das es „noch nicht gegeben“ hat. Die Lücken mit dem Spitznamen „php2shell“ (CVE-2026-109618 und CVE-2026-109619) erlauben es Angreifern, ohne Anmeldung aus dem Netz Code auf dem Server auszuführen. Betroffen sind laut PHP-Projekt alle PHP-Installationen, die Webanfragen beantworten. Die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 erschienen am 21. Oktober, viele Linux-Distributionen lieferten ihre Pakete aber erst im Laufe des Abends oder später aus. Bis dahin hatten unter anderem das BSI und die US-Behörde CISA empfohlen, betroffene Seiten vom Netz zu nehmen. In Deutschland war etwa die Charité komplett offline, beim Hauptstadtportal berlin.de waren Teile abgeschaltet, die Internetwache der Berliner Polizei war nicht erreichbar, und Hoster wie Mittwald sperrten vorübergehend den Zugriff auf die Websites ihrer Kunden. Fachleute beobachten viele Angriffsversuche, laut Cloudflare schon seit Stunden vor der Veröffentlichung; Amazon spricht von breiter Ausnutzung. Berichte über erfolgreiche Angriffe lagen heise zum Meldungszeitpunkt nicht vor, seit dem 26. Oktober führt die CISA beide Lücken aber als aktiv ausgenutzt. Wer PHP betreibt, auch unbemerkt als Abhängigkeit etwa auf einem Raspberry Pi, sollte umgehend aktualisieren. Für heise zeigt die Abschaltwelle, dass IT-Sicherheit inzwischen ernst genommen wird; angesichts der vielen Lücken, die derzeit mit KI gefunden werden, könnte sie aber kein Einzelfall bleiben.  weiterlesen

Broccoli2Shell: Brotli-Lücke reicht bis auf den Entwicklungsrechner (heise). Am selben Tag wie PHP hat auch Node.js eine kritische Lücke geschlossen – und inzwischen ist klar, dass sie weit über Node.js hinausreicht. Der Fehler (CVE-2026-111497) steckt im Decoder von Googles Kompressionsverfahren Brotli in den Versionen 1.0.3 bis 1.2.0: Mit präparierten Brotli-Daten können Angreifer aus dem Netz ohne Anmeldung Speicher auslesen, Programme abstürzen lassen oder womöglich Schadcode ausführen. Betroffen ist Software, die Brotli-Daten entpackt, laut heise etwa Bun, Python-Bibliotheken, .NET sowie PHP- und Ruby-Erweiterungen; die Webserver Apache und nginx dekodieren in der Standardkonfiguration kein Brotli. Gefährdet sind damit nicht nur Server, sondern auch Entwicklungsrechner: Auch git ist beim Abgleich mit entfernten Repositorys über HTTPS angreifbar, wenn die Netzwerkbibliothek libcurl mit Brotli-Unterstützung gebaut ist, was bei den meisten Linux-Distributionen der Fall ist. Desktop-Programme auf Basis von Electron, etwa Visual Studio Code, Slack oder Signal, bringen eigene Kopien der Browser-Engine mit und brauchen eigene Updates. Behoben ist der Fehler in Brotli 1.0.10, 1.1.1 und 1.2.1 sowie in Node.js 22.23.4, 24.22.1 und 26.12.1. Entdeckt hat ihn laut der Sicherheitsfirma Aikido bereits im Februar OpenAI, die damalige Korrektur galt aber nicht als Sicherheitsfix. Am 26. Oktober waren heise noch keine Angriffe bekannt, inzwischen führt die CISA die Lücke als aktiv ausgenutzt. Dasselbe Node.js-Update entzieht übrigens der indischen Zertifizierungsstelle eMudhra das Vertrauen: Bei acht ihrer Zwischenzertifikate waren die privaten Schlüssel Zahlen zwischen 0 und 255, einer lautete schlicht „4“. Unsere Einordnung: Bei php2shell wie bei der Brotli-Lücke wird OpenAI unter den Entdeckern genannt. Solche Funde helfen den Verteidigern aber nur, wenn eine Korrektur auch als Sicherheitsfix gekennzeichnet wird und rasch auf den Systemen ankommt – bei Brotli lagen zwischen Fix und Release rund acht Monate.  weiterlesen

Knigge aktuell: Smartphone am Tisch? (Spiegel). Hand aufs Herz: Liegt bei Ihnen das Smartphone beim Essen auf dem Tisch? Nur mal schnell etwas in der Wikipedia nachschlagen – ist doch nicht so schlimm, oder? Fast zwei Drittel (63 Prozent) der rund 2500 Befragten einer Civey-Umfrage im Auftrag von Vodafone sehen das anders: Sie empfinden es als unhöflich, wenn das Gegenüber beim gemeinsamen Essen zum Smartphone greift. Selbst tut das nach eigenen Angaben zumindest gelegentlich jeder Sechste (17 Prozent). Noch mehr stört der Blick aufs Display im persönlichen Gespräch (71 Prozent), weniger beim ersten Date (40 Prozent) und im Kino oder Theater (34 Prozent). In Meetings und am Arbeitsplatz scheint das kurze Nachsehen dagegen weitgehend akzeptiert: Nur etwa jeder Fünfte (21 Prozent) findet es dort unhöflich, ebenso viele stört es im Bett neben der Partnerin oder dem Partner. Große Unterschiede zwischen den Geschlechtern gibt es laut Umfrage nicht: Beim Essen und im Gespräch sind etwas mehr Frauen verstimmt, im Bett und im Kino oder Theater etwas mehr Männer. Unsere Einordnung: Was für den einen normal ist, stört die andere. Wie die Befragten ausgewählt wurden und wann die Umfrage lief, steht allerdings nicht in der dpa-Meldung.  weiterlesen

Kekse bleiben (heise). Die EU-Staaten lehnen eine technische Lösung gegen die Flut von Cookie-Bannern ab. Die EU-Kommission hatte im November 2025 vorgeschlagen, dass Nutzerinnen und Nutzer ihre Haltung zu Cookies einmal pro Gerät festlegen, etwa im Browser; die Einstellung wäre dann automatisch an alle Websites übermittelt worden, und die wiederholte Abfrage hätte sich erübrigt. Betreiber großer Browser wie Google Chrome oder Microsoft Edge sollten verpflichtet werden, das umzusetzen. Deutschland, wo eine ähnliche Regelung mit der Einwilligungsverwaltungsverordnung seit April 2025 gilt, mangels passender Programme aber kaum wirkt, hatte den Vorschlag im Rat unterstützt. Stattdessen greifen die Mitgliedstaaten einen anderen Teil des Kommissionsvorschlags auf und setzen auf mehr Ausnahmen: Cookies für die Diensterbringung, die Reichweitenmessung oder die IT-Sicherheit sollen ohne vorherige Einwilligung erlaubt sein – laut heise genau der Deckmantel, unter dem schon heute zahlreiche Tracking-Cookies gesetzt werden. Gegen die Browser-Lösung hatten sich im Mai unter anderem europäische Verleger- und Rundfunkverbände gewandt, die um ihre Werbeeinnahmen fürchten. Verbraucherschutzorganisationen forderten dagegen in einem offenen Brief, am Vorschlag festzuhalten; Cláudio Teixeira vom europäischen Verbraucherverband BEUC hält die mögliche Streichung für äußerst besorgniserregend. Endgültig ist das nicht: Es handelt sich um die Verhandlungsposition des Rates zum sogenannten Digital Omnibus, einem Paket zur Vereinfachung mehrerer Digitalgesetze; das Europaparlament hat sich noch nicht festgelegt. Unsere Einordnung: Vorerst haben sich diejenigen durchgesetzt, die von Cookies leben – die Banner bleiben, und manche Kekse dürfen künftig ganz ohne Nachfrage gebacken werden.  weiterlesen

Microtargeting von vier Parteien rechtswidrig (netzpolitik.org). Die Berliner Datenschutzbeauftragte hat CDU, SPD, Bündnis 90/Die Grünen und Die Linke verwarnt. Die Parteien sollen im Bundestagswahlkampf 2021 auf Facebook Wahlwerbung gezielt an bestimmte Personengruppen ausgespielt haben, auf Grundlage von Profilen, die die Plattform aus Tracking-Daten zu Interessen und Verhalten erstellt. Nach Einschätzung der Behörde verstößt das gegen die Datenschutz-Grundverordnung: Wer Menschen anhand ihrer mutmaßlichen politischen Meinung anspricht, verarbeitet besonders geschützte Daten, und dafür hätten die Betroffenen ausdrücklich einwilligen müssen. Zudem hätten die Parteien und Meta nicht ausreichend darüber informiert, wie die Daten verarbeitet werden. Anlass war eine Beschwerde der Datenschutzorganisation Noyb vom März 2023, die auf Recherchen des ZDF Magazin Royale beruhte; Zuschauerinnen und Zuschauer hatten 2021 mit einer Browser-Erweiterung gezielte Wahlwerbung dokumentiert. Die Bescheide sind noch nicht rechtskräftig. Das Verfahren gegen die AfD läuft weiter, sie hat die Ermittlungsbefugnisse der Behörde gerichtlich angefochten; der Fall liegt inzwischen beim Oberverwaltungsgericht Berlin-Brandenburg. Die Behörde weist darauf hin, dass sie nach der früheren Rechtslage entschieden hat; seit Oktober 2025 gilt die EU-Verordnung über die Transparenz und das Targeting politischer Werbung. Noyb-Vorstand Max Schrems bedauert, dass die Behörde kein Verbot von Microtargeting erlassen hat.  weiterlesen

OpenCV erklärt (Computerwoche). OpenCV ist laut Computerwoche das am häufigsten genutzte quelloffene Werkzeug für Computer Vision, also die Analyse von Bildern und Videos in Echtzeit. Die Bibliothek stammt aus den Forschungslaboren von Intel, erschien erstmals im Jahr 2000 und wird heute von der gemeinnützigen Open Source Vision Foundation betreut. Im Juni ist Version 5.0 erschienen, eine umfassende Überarbeitung mit modernisierter Programmierschnittstelle. Der Kern ist in C++ geschrieben und steht unter der Apache-2.0-Lizenz; ansprechen lässt er sich auch aus Python, Java und JavaScript. Eine eigene Beschleunigungsschicht nutzt automatisch, was der Prozessor bietet, etwa die Vektorbefehle AVX-512. Typische Aufgaben sind Gesichts-, Text- und Objekterkennung, Bewegungsverfolgung oder Augmented Reality; fertige Module gibt es etwa für Objekterkennung, samt Barcode-Erkennung, und für Videoanalyse. Mit dem Modul dnn lassen sich zudem vortrainierte neuronale Netze aus TensorFlow, PyTorch und anderen Frameworks laden, die das Austauschformat ONNX exportieren, und ohne separate Laufzeitumgebung ausführen. Der Artikel, eine gekürzte Übersetzung eines InfoWorld-Beitrags von Serdar Yegulalp, hält fest, dass solche spezialisierten Werkzeuge neben großen KI-Modellen weiter ihren Platz haben. Unsere Einordnung: Wer Bilder auswerten will, muss nicht gleich ein großes Sprachmodell bemühen; oft genügen die Bausteine einer Bibliothek, die seit mehr als 25 Jahren gepflegt wird.  weiterlesen

THEMA IM FOKUS

Dieses Mal haben wir leider kein Thema im Fokus. Wir freuen uns auf Ihre Einsendungen!

GI-MELDUNGEN

Regionalgruppe Karlsruhe neu gestartet. Die gemeinsame Regionalgruppe Karlsruhe von GI und German Chapter of the ACM ist wieder aktiv. Zum Auftaktabend am 15. September kamen viele Interessierte aus Wissenschaft und Praxis in die „Church“ des CyberForum in der Hoepfner-Burg. Lukas Struppek (FAR.AI) eröffnete mit dem Vortrag „Safeguards in the Wild: Die Grenzen von KI-Sicherheit“, danach wurde lebhaft diskutiert. Außerdem wurde das neue Leitungsgremium bestätigt, Sprecher ist Andreas Fritsch, Vize-Sprecherin Meike Ullrich, beide vom KIT. Weiter geht es vom 6. bis 8. November mit einem Smart City Hackathon in Kooperation mit der Stadt Pforzheim. Im November startet außerdem ein erster Stammtisch, und im neuen Jahr folgt eine Vortragsreihe zu „Gesellschaft und Informatik“. Interessierte sind herzlich willkommen – wir freuen uns über die Wiederbelebung und viele neue Gesichter!  weiterlesen

GI-Fellows 2027: Ihre Vorschläge. Wie in jedem Jahr erwartet der Nominierungsausschuss für die GI-Fellows Ihre Vorschläge: Welches GI-Mitglied hat sich in besonderer Weise um die GI und/oder die Informatik im Allgemeinen verdient gemacht? Wir zeichnen GI-Mitglieder mit einer besonderen Geschichte aus und stellen sie im Rahmen unseres Informatik Festivals 2027 vor. Nominiert wird mit einem Formblatt, jeder Vorschlag muss von mindestens fünf GI-Mitgliedern unterstützt werden. Nicht vorgeschlagen werden sollten Personen, die derzeit eine herausgehobene Leitungsfunktion in der GI oder in ihrem Auftrag innehaben oder bereits Ehrenmitglied oder Träger der Konrad-Zuse-Medaille sind. Nominierungen sind bis zum 25. Mai 2027 möglich.  weiterlesen

Women Informatics Thesis Award 2027. Nach den erfolgreichen Preisvergaben der letzten Jahre lobt die Fachgruppe Frauen und Informatik erneut den Women Informatics Thesis Award (WITA) für herausragende Abschlussarbeiten mit Informatik-Schwerpunkt aus. Vergeben werden je ein Preis für eine Bachelor- und eine Masterarbeit, dotiert mit jeweils 500 Euro und einer einjährigen kostenlosen Mitgliedschaft in der Fachgruppe. Bewerben können sich Absolventinnen, die ihr Studium nach dem 1. November 2024 an einer deutschsprachigen Hochschule abgeschlossen haben; die Arbeit kann auf Deutsch oder Englisch verfasst sein. Mit dem Preis will die Fachgruppe die Leistungen junger Frauen in der Informatik sichtbar machen und engagierten Frauen in der IT einen Anreiz bieten, sich einer größeren Öffentlichkeit zu präsentieren. Verliehen werden die Preise am 17. April 2027 auf der Jahrestagung der Fachgruppe in Berlin. Einreichungsschluss ist bereits der 15. November 2026, also in gut zwei Wochen.  weiterlesen

Kennen Sie eigentlich den GI-Pressespiegel? Dort sammeln wir die Berichterstattung über unsere Fachgesellschaft in Zeitungs-, Radio- und Fernsehbeiträgen. Schauen Sie ruhig hinein – es gibt dort immer wieder Neues oder auch ältere Fundstücke.

FUNDSTÜCK

Zaubern auf der Kommandozeile. Im Textadventure Terminus gelten Terminalbefehle als Zaubersprüche, Orte sind Verzeichnisse, Gegenstände und Figuren sind Dateien. Mit cd und ls zieht man durch eine Fantasy-Welt, mit less liest man Briefe und spricht mit Figuren. Später schiebt man per mv einen Felsbrocken in ein Loch, räumt mit rm Hindernisse beiseite und sucht mit grep nach dem Passwort, mit dem sudo schließlich den Weg ins „Paradise“ öffnet. Die Shell ist nur simuliert: Groß- und Kleinschreibung zählt, Tab-Vervollständigung gibt es, Optionen und Pipes nicht. Das englischsprachige Spiel haben die MIT-Studierenden Michele Pratusevich und Shawn Conrad 2012/13 entwickelt. Es ist kostenlos, läuft ohne Konto im Browser und merkt sich den Spielstand eine Woche lang in einem Cookie; am besten spielt man am Rechner mit Tastatur. Den Tipp verdanken wir Mareike Lisker aus Berlin, die das Spiel ihren Erstsemestern für die Ferien empfiehlt.  Zum Fundstück (web.mit.edu, engl.)

Welches Fundstück hat Sie zuletzt inspiriert? Senden Sie uns Ihre Ideen!

Dies war Ausgabe 412 des GI-Radars vom 30. Oktober 2026. Zusammengestellt hat diese Ausgabe Dominik Herrmann, dessen privater Schlüssel deutlich länger ist als acht Bit. Die Kurzmitteilungen und die GI-Meldungen hat GI-Geschäftsführerin Cornelia Winter zusammengetragen. Das nächste Radar erscheint am 13. November 2026.

Im GI-Radar berichten wir alle zwei Wochen über ausgewählte Informatik-Themen. Wir sind sehr an Ihrer Meinung interessiert. Für Anregungen und Kritik haben wir ein offenes Ohr, entweder per E-Mail (redaktion@gi-radar.de) oder über das Feedback-Formular bei SurveyMonkey.