Legacy & Modernisierung.

Für PHP 7.4, 8.0 und 8.1 gibt es kein offizielles Release gegen php2shell. Welche Pakete, Hoster und Backports die Lücke schließen und wie Sie das prüfen.

Artikel lesen

Drei Tage nach dem PHP-Patch: wie viele Angriffe es gab, was davon belegt ist, die neue Lücke CVE-2026-115560 und wer seine Pakete nachgezogen hat.

Artikel lesen

Angriffsversuche seit dem 21. Oktober. Offiziell behoben erst in 8.2.35, 8.3.36, 8.4.27 und 8.5.12, alles darunter ist offen. Für 7.4 bis 8.1 nur Backports.

Artikel lesen

Ab 2027 kommt kein einziger Sicherheitsfix mehr. Wer nicht auf 8.2.35 steht, ist schon heute gegen php2shell offen. Was jetzt zu tun ist, mit Plan bis Silvester.

Artikel lesen

Die Weiche ist ein Nachmittag, die Daten sind das Vorhaben: Schnitt nach Zuständigkeit, Schattenbetrieb, Umschalten in Stufen, und wo es reißt.

Artikel lesen

Vier der zehn Bereiche sind für ein gewachsenes System eine Frage der Bauart, nicht der Absicht. Die Befunde, der Nachweis und die richtige Reihenfolge.

Artikel lesen

Ein Archiv ist keine Software. Was auf die Liste gehört, in welcher Reihenfolge man es anfordert, und was am ersten Tag danach zu tun ist.

Artikel lesen

Fünf Sätze, die sich durch vierundvierzig Artikel gezogen haben, zwei Einschätzungen, die sich verschoben haben, und vier Einstiege nach Lage.

Artikel lesen

Ein Regelset, ein Verzeichnis, ein Antrag: warum der erste Versuch scheitert, welche Sets Mechanik und welche Meinung sind, und wie man sie prüft.

Artikel lesen

Übergabe ist ein Zustand, kein Termin. Der eine Test, der etwas aussagt, die Zugangsinventur davor und die Frist statt der offenen Tür.

Artikel lesen

Nicht die Codemenge treibt den Preis, sondern fünf Größen, die in einer Woche feststellbar sind. Dazu die Posten, die in jeder Rechnung fehlen.

Artikel lesen

Messen statt raten, die Wartezeit nach dem Takt der Sache statt des Vorhabens, und die Liste dessen, was mitgeht. Halb gelöscht ist schlimmer als gar nicht.

Artikel lesen

Was alles ein Ablaufdatum hat, wie die Liste an einem Tag entsteht, warum nur Termin minus Vorlauf zählt, und der Satz, der das Budget bringt.

Artikel lesen

Nicht der Abzug, sondern der geformte Ausschnitt: Anker wählen, stille Verweise finden, deterministisch maskieren, die Ausgänge dichtmachen.

Artikel lesen

Ein Zuschnitt, der in ein Quartal passt: sechs Abschnitte, ein Ergebnis nach jedem, eine Entscheidung am Ende und die Stelle, an der jeder Plan reißt.

Artikel lesen

Von zusammengesetztem SQL bis zu md5-Passwörtern: die zehn Lücken, die ich in fast jedem alten PHP-System finde, je mit dem Befehl, der sie aufspürt.

Artikel lesen

Aus achttausend Meldungen wird an einem Tag eine Null: die Baseline, was auf welcher Stufe gefunden wird, und wo weitere Stufen nichts mehr bringen.

Artikel lesen

Warum das Team nach dem Projekt oft nichts ändert, vier prüfbare Kriterien für Übergabefähigkeit und die Rollenverteilung, die sich verschiebt.

Artikel lesen

Nicht modernisieren heißt nicht nichts tun. Fünf Dinge, die weiterlaufen, drei, die aufhören, und die zwei Angaben, ohne die es Vernachlässigung ist.

Artikel lesen

Nicht die Daten sind der Kostentreiber, sondern die Plugins. Drei Listen statt einer, vier Kategorien mit vier Antworten und die Reihenfolge, die sich lohnt.

Artikel lesen

Die fünf Phasen einer Datenumstellung im laufenden Betrieb, der Code für die heikelste davon, und die vier Stellen, an denen es in der Praxis reißt.

Artikel lesen

Wissen sammelt sich nicht, weil jemand es hortet, sondern weil das System es erzwingt. Fünf Eigenschaften und drei Maßnahmen, die nichts bringen.

Artikel lesen

Warum die Werkzeuge aus dem Symfony-Upgrade hier nicht greifen, und vier Stellen, an denen Laravel-Upgrades ihre eigenen Fallen haben.

Artikel lesen

Kein Lockfile, vendor im Repository, geforkte Pakete: wie Sie den Abhängigkeitsbaum eines alten PHP-Projekts rekonstruieren, bevor Sie ihn anheben.

Artikel lesen

Eine Umsetzung, die an einem Tag steht: Tabelle, Schalterklasse, stabile Zuteilung. Wo der Schalter sitzt und wie er wieder verschwindet.

Artikel lesen

Vier Kostenarten, die sich beziffern lassen, die Durchlaufzeit als Messung statt Schätzung, eine Risikorechnung mit Erwartungswert und die eine Folie.

Artikel lesen

Aus zwölftausend Meldungen eine Reihenfolge machen: drei Sorten Deprecation, der Weg von unten nach oben, und die drei Umbauten, die sich nie melden.

Artikel lesen

Das Schema überlebt jede Modernisierung des Codes. Die vier Altlasten, die fast immer da sind, was Sie vorher messen und in welcher Reihenfolge Sie ändern.

Artikel lesen

Wie Sie das Verhalten eines Altsystems festhalten, bevor Sie es ändern: Characterization Tests, Golden Master, Nahtstellen und wann Sie aufhören.

Artikel lesen

Wie ich ein Altsystem in fünf Tagen prüfe, bevor jemand es kauft oder übernimmt: die Reihenfolge, die Befehle und was am Ende im Bericht steht.

Artikel lesen

Wenn der Entwickler eines laufenden Systems weg ist, entscheidet die erste Woche über die Kosten. Was vor dem Code zu sichern ist, in der Reihenfolge.

Artikel lesen

Fünf Major-Versionen in einem Sprung. Laute Fehler sind billig, der gefährliche Bruch ist still: Ihr Kunde findet ihn zuerst. Was bricht und was es kostet.

Artikel lesen

Seit fast zehn Jahren kein Sicherheitsfix, und trotzdem hängt Umsatz daran. Warum zf1-future Zeit kauft, aber keinen Support. Und drei Wege hinaus.

Artikel lesen

Wie ich neue hochperformante Go-Services in bestehende PHP-Systeme integriere, ohne alles umzubauen. Strangler-Fig in der Praxis statt Big-Bang-Rewrite.

Artikel lesen

Rewrites scheitern, Stillstand auch. Warum der komplette Neubau fast nie funktioniert und wie schrittweise Modernisierung messbare Ergebnisse liefert.

Artikel lesen

Eine Suchmigration von Sphinx zu Manticore über Latenz, Relevanz und operative Disziplin. Von 5 Sekunden auf unter 100 ms in der Praxis.

Artikel lesen

Technische Schulden sind kein Entwickler-Problem, sondern ein Geschäftsrisiko. Sie wachsen still und werden sichtbar, wenn am wenigsten Platz dafür ist.

Artikel lesen