Ein Hacker-News-Post brach das Embargo – und PHP musste den Notfallpatch vorziehen
TLP Is Not a Suggestion
Am 21. Oktober 2026 veröffentlichte das PHP-Projekt einen Notfallpatch für PHP2Shell, zwei kritische Remote-Code-Execution-Lücken. Eigentlich war der Release für Donnerstag geplant, doch ein Hacker-News-Post brach das Embargo bereits am Montag. Ein Hersteller bestätigte die Bugs innerhalb von Stunden, ein Forscher veröffentlichte eine Rekonstruktion vor dem Patch, und Exploit-Versuche begannen, bevor die meisten Administratoren überhaupt wussten, dass es etwas zu patchen gab. Betroffen sind je nach Zählung zwei bis über fünf Millionen Hosts. Der Beitrag von Akamai zeigt, warum das Traffic Light Protocol keine Empfehlung ist.
Das Protokoll funktioniert nur unter Leuten, die wollen, dass es funktioniert, und es scheitert in dem Moment, in dem ein Beteiligter entscheidet, dass seine Stellung im Markt wichtiger ist als seine Stellung in der Community.