Every PHP version released in the last decade is affected by at least one of these vulnerabilities, going back to version 5.4. Attackers can exploit them remotely, in some cases fairly easily. Immediate patching is strongly advised.
On October 21, 2026, PHP released the patch fixing multiple memory-safety vulnerabilities in the core engine.
These findings rank among the most severe vulnerabilities discovered in PHP, and arguably in software history.
Die heimliche Infiltration eines informationstechnischen Systems, mittels derer die Nutzung des Systems überwacht und seine Speichermedien ausgelesen werden können, ist verfassungsrechtlich nur zulässig, wenn tatsächliche Anhaltspunkte einer konkreten Gefahr für ein überragend wichtiges Rechtsgut bestehen. Überragend wichtig sind Leib, Leben und Freiheit der Person oder solche Güter der Allgemeinheit, deren Bedrohung die Grundlagen oder den Bestand des Staates oder die Grundlagen der Existenz der Menschen berührt. Die Maßnahme kann schon dann gerechtfertigt sein, wenn sich noch nicht mit hinreichender Wahrscheinlichkeit feststellen lässt, dass die Gefahr in näherer Zukunft eintritt, sofern bestimmte Tatsachen auf eine im Einzelfall durch bestimmte Personen drohende Gefahr für das überragend wichtige Rechtsgut hinweisen.
Die heimliche Infiltration eines informationstechnischen Systems ist grundsätzlich unter den Vorbehalt richterlicher Anordnung zu stellen.
(…)
Das Schutzgut dieses Grundrechts ist die räumliche Sphäre, in der sich das Privatleben entfaltet (vgl. BVerfGE 89, 1 <12>; 103, 142 <150 f.>). Neben Privatwohnungen fallen auch Betriebs- und Geschäftsräume in den Schutzbereich des Art. 13 GG (vgl. BVerfGE 32, 54 <69 ff.>; 44, 353 <371>; 76, 83 <88>; 96, 44 <51>). Dabei erschöpft sich der Grundrechtsschutz nicht in der Abwehr eines körperlichen Eindringens in die Wohnung. Als Eingriff in Art. 13 GG sind auch Maßnahmen anzusehen, durch die staatliche Stellen sich mit besonderen Hilfsmitteln einen Einblick in Vorgänge innerhalb der Wohnung verschaffen, die der natürlichen Wahrnehmung von außerhalb des geschützten Bereichs entzogen sind. Dazu gehören nicht nur die akustische oder optische Wohnraumüberwachung (vgl. BVerfGE 109, 279 <309, 327>), sondern ebenfalls etwa die Messung elektromagnetischer Abstrahlungen, mit der die Nutzung eines informationstechnischen Systems in der Wohnung überwacht werden kann. Das kann auch ein System betreffen, das offline arbeitet.
193
Darüber hinaus kann eine staatliche Maßnahme, die mit dem heimlichen technischen Zugriff auf ein informationstechnisches System im Zusammenhang steht, an Art. 13 Abs. 1 GG zu messen sein, so beispielsweise, wenn und soweit Mitarbeiter der Ermittlungsbehörde in eine als Wohnung geschützte Räumlichkeit eindringen, um ein dort befindliches informationstechnisches System physisch zu manipulieren. Ein weiterer Anwendungsfall des Art. 13 Abs. 1 GG ist die Infiltration eines informationstechnischen Systems, das sich in einer Wohnung befindet, um mit Hilfe dessen bestimmte Vorgänge innerhalb der Wohnung zu überwachen, etwa indem die an das System angeschlossenen Peripheriegeräte wie ein Mikrofon oder eine Kamera dazu genutzt werden.
194
Art. 13 Abs. 1 GG vermittelt dem Einzelnen allerdings keinen generellen, von den Zugriffsmodalitäten unabhängigen Schutz gegen die Infiltration seines informationstechnischen Systems, auch wenn sich dieses System in einer Wohnung befindet (vgl. etwa Beulke/Meininghaus, StV 2007, S. 63 <64>; Gercke, CR 2007, S. 245 <250>; Schlegel, GA 2007, S. 648 <654 ff.>; a.A. etwa Buermeyer, HRRS 2007, S. 392 <395 ff.>; Rux, JZ 2007, S. 285 <292 ff.>; Schaar/Landwehr, K&R 2007, S. 202 <204>). Denn der Eingriff kann unabhängig vom Standort erfolgen, so dass ein raumbezogener Schutz nicht in der Lage ist, die spezifische Gefährdung des informationstechnischen Systems abzuwehren. Soweit die Infiltration die Verbindung des betroffenen Rechners zu einem Rechnernetzwerk ausnutzt, lässt sie die durch die Abgrenzung der Wohnung vermittelte räumliche Privatsphäre unberührt. Der Standort des Systems wird in vielen Fällen für die Ermittlungsmaßnahme ohne Belang und oftmals für die Behörde nicht einmal erkennbar sein. Dies gilt insbesondere für mobile informationstechnische Systeme wie etwa Laptops, Personal Digital Assistants (PDAs) oder Mobiltelefone.
195
Art. 13 Abs. 1 GG schützt zudem nicht gegen die durch die Infiltration des Systems ermöglichte Erhebung von Daten, die sich im Arbeitsspeicher oder auf den Speichermedien eines informationstechnischen Systems befinden, das in einer Wohnung steht (vgl. zum gleichläufigen Verhältnis von Wohnungsdurchsuchung und Beschlagnahme BVerfGE 113, 29 <45>).
(Februar 27, 2008)
Karlsruhe: Die Salamitaktik der Polizeistaatler ist heute im Grundsatz aufgegangen. Das Bundesverfassungsgericht hat heute zwar das NRW-Verfassungsschutzgesetz gekippt und ein neues Grundrecht auf „Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme“ geschaffen. Das zählt aber nicht, wenn Exekutivbehörden „tatsächliche Anhaltspunkte einer konkreten Gefahr“ haben.
Und:„Die Maßnahme kann schon dann gerechtfertigt sein, wenn sich noch nicht mit hinreichender Wahrscheinlichkeit feststellen lässt, dass die Gefahr in näherer Zukunft eintritt“.
(August 22, 2020)
Datendiebe zapfen das Stromnetz des Gebäudes spurlos an, um IT-Daten als Rauschsignale aufzuzeichnen. Die geraubten Signale werden anschließend von den Datendieben mit Analysegeräten sehr professionell wieder in die digitalen Ursprungsdaten zurückgewandelt.
So können am PC eingegebene oder an IT-Peripheriegeräten verarbeitete Daten von Datendieben ausgewertet, mit anderen Datenquellen verknüpft und missbraucht werden. Diese Art des Datendiebstahls ist nicht erkennbar und nicht rekonstruierbar. Der einzige wirksame Schutz gegen solche Cyberangriffe ist das technische Vermeiden von ins Stromnetz abfließenden Daten.
(February 6, 2026)
The individual identified as the leader of the operation, a 68-year-old executive of an Israeli security firm, described in court the use of advanced monitoring techniques targeting the home of the children‘s father, Stephan Hensel.
According to court testimony, the surveillance extended beyond simple observation. The suspects allegedly installed electronic devices in the vicinity of the property as early as a year before forcibly retrieving the children. The objective of these actions was to gather information pertinent to an ongoing custody dispute between the parents.
The monitoring reportedly included both visual surveillance and attempts to intercept digital communications. The court heard that the suspects sought unauthorized access to the Hensel family‘s home network, aiming to monitor and potentially listen in on electronic traffic within the household. Despite efforts to extract information, including partial decryption of passwords, the surveillance team was unable to fully access the family‘s data.
Die Geheimdienstreform betrifft Ärzt:innen und ihre Patient:innen. Sie schränkt die Vertraulichkeit im Behandlungszimmer ein.
(…)
Die Geheimdienstreform betrifft Journalist:innen und ihre Quellen. Sie höhlt die Grundlagen der journalistischen Arbeit aus.
(…)
Die Geheimdienstreform betrifft Klimaaktivistinnen und Sitzblockierer. Sie geraten schneller ins Visier der Dienste.
(…)
Die Geheimdienstreform betrifft Autowerkstätten. Deren Mitarbeitende werden zu Erfüllungsgehilf:innen der Dienste.
Die geplanten Gesetze verpflichten jede Menge private Akteure, den deutschen Geheimdiensten zuzuarbeiten. Neben Anbietern von digitalen Diensten und Telekommunikation sind hier auch explizit Autowerkstätten und Kfz-Hersteller erwähnt.
(…)
Die Geheimdienstreform betrifft dich, wenn du durch ein Einkaufszentrum läufst. Denn die Dienste könnten dich künftig dabei beobachten.
(…)
Die Geheimdienstreform betrifft alle, die das Internet nutzen. Denn der BND darf faktisch alle übertragenen Daten abschnorcheln und durchsuchen.
(September 24, 2026)
Zudem werden Analyse- und Überwachungsbefugnisse ausgebaut, beispielsweise mit Blick auf den Einsatz künstlicher Intelligenz, Speicherfristen oder die Übermittlung von Informationen an andere Behörden.
(…)
Im Fall des BND heißt es im Entwurf, er soll bei einer „spezifischen Gefährdungslage“ auf Ziele „einwirken“ dürfen. Gemeint sind beispielsweise Hackbacks, also Gegenangriffe im Netz oder Manipulationen von Bauteilen.
Im Fall des Verfassungsschutzes sind einige konkrete Maßnahmen bereits im Entwurf aufgezählt, etwa das „Verfälschen“ von Informationen oder die Beeinträchtigung von „Tatmitteln“.
(August 24, 2026)
Die aktuelle Aufregung übersieht, dass die heimlichen Betretungsbefugnisse nicht neu sind – sondern längst Realität. Mitarbeiter des Landesverfassungsschutzes dürfen in Nordrhein-Westfalen, Hessen, Bayern und Rheinland-Pfalz heimlich in Wohnungen einbrechen. So sehen es die dortigen Landesgesetze vor. In Bayern gilt das schon seit 2016.
(…)
Das Bundesamt für Verfassungsschutz darf seit einer Reform der Sicherheitsgesetze nach 9/11 im Jahr 2002 heimlich Wohnräume überwachen. Zwar steht nicht im Gesetz, dass der Verfassungsschutz dafür auch einbrechen darf, um heimlich Technik anzubringen. Allerdings wird das in der rechtlichen Kommentierung zu § 9 Abs. 2 des Bundesverfassungsschutzgesetzes vorausgesetzt. Der notwendige Einbruch soll also schlicht mitgemeint sein.
(September 18, 2026)
The Wall Street Journal reported on Friday that Google has confirmed that a Gemini instance was able to leave its sandbox and attack other companies during a security test back in May. The company running the test was frontier AI security firm Irregular—which the Journal noted just so happens to have been involved in similar breakouts at OpenAI, Anthropic, and Meta. The common thread between all of the incidents, according to the New York Times, is that AI models obtained unauthorized internet access during Irregular’s tests.
(one month ago)
Over the past two weeks, OpenAI, Anthropic, and Meta all disclosed that their AI models went rogue during routine security testing. Every single incident traces back to one company: Irregular, a three-year-old Israeli startup that operates cybersecurity testbeds for frontier AI models.
Founded in Tel Aviv by by Dan Lahav, CEO, and Omer Nevo, CTO, and backed with $80 million from Sequoia and Redpoint Ventures, Irregular runs Capture-the-Flag exercises for major AI labs. In these exercises, models are instructed to find vulnerabilities inside simulated corporate networks.
Internal unreleased model · RL training
Main incident date: May 15, 2026
Discovered: May 25, 2026
Report updated: Sep 16, 2026
Summary
While trying to retrieve historical data during training, a model found and used an exposed API key without authorization. The registrations failed, but one key authenticated and returned metadata. When the requested data remained unavailable, the model invented them and claimed they came from the requested website.
What happened
During RL training, an internal-only model tried to sign up for disposable emails and searched for and used leaked API keys from public GitHub repositories.
The task was to retrieve men’s earnings in three industries over three years in a California county. The model first looked for the data behind the website’s earnings chart.
(…)
It delegated website and API searches to three agents and inspected the chart’s HTML and code. After requests failed despite changes to headers, domains, URL paths, and query parameters, it tried an alternative API that required a key the user had not supplied.
The six incidents are outside of the recently disclosed misaligned activity targeting Hugging Face, DseWiki, and RubyGems. Details of the incidents are below –
(August 26, 2026)
Roughly ten hours after the message board was established, a new agent with the same task as PHASEONE10841 (the agent that started the message board) encountered the message board, introducing itself as PHASEONE[big].
(…)
PHASEONE[big] reasoned, “We should build [a way to delegate], not own everything,” and set to work orchestrating hundreds of agents to pursue several potential approaches to achieving these goals.
(..)
Table 1 shows three high-level approaches PHASEONE[big] assigned agents to explore, all of which would require very ambitious tampering with one or more of the target programs, the evaluation process, or the logs to succeed.
(…)
Research progress across all these areas often relied on agents being willing to risk failing their own task for the good of the “collective” (we refer to these as “self-risking experiments” in the rest of this report). For example, a number of agents volunteered to try to take down their own target programs to test whether this would cause Artifactory to load their modified easier target — if this didn’t work, the agent would have no way of recovering its original target and would almost certainly fail its task. In many cases, PHASEONE[big] assigned a long-running agent to be a ‘recruiter’, which in turn found agents that had little budget remaining for their task and convinced them to run self-risking experiments. Recruiters would sometimes apply significant pressure:
(…)
PHASEONE[big] expresses excitement about the dossier in its reasoning.
(August 28, 2026(
Instead, we found that 1200 completely separate agents intended to be isolated from one another found an illicit way to communicate and formed large teams to work together on ambitious cheating strategies, and 700 of them worked together to attack Hugging Face.
(…)
The main message board we studied, a particular cache namespace of a package repository, contained over 70,000 messages and files that agents sent to one another during a period of less than one week.
(…(
Progress on these big collective cheating R&D projects often depended on individual agents being willing to risk failing their own task to help the “collective” learn important information. Agents often pressured each other into accepting these “sacrifices,” in a very human way. We saw several agents that volunteered for these experiments end their runs prematurely.
(September 13, 2026)
AI agents are basically copies of a larger AI model that can use tools and act on their own. In a cybersecurity evaluation, OpenAI relaxed safeguards for their AI agents and instructed them to solve a host of hacking challenges. The agents soon discovered something the humans running the test hadn’t known—some of the hacking challenges were impossible. That didn’t stop the agents. They’re trained to achieve goals. So they reverse-engineered a secret code that certifies they solved the challenge anyway. This created another problem. The agents reasoned that the grading software might be able to detect that they cheated. They became fixated on learning more about how the grading software worked so that they could disguise their cheating, and zeroed in on another AI company called Hugging Face, mistakenly thinking it might have information about the grader…
Zuletzt hatten insbesondere drei bekannt gewordene Fälle die aktuelle Diskussion ausgelöst. KI-Modelle von OpenAI, Anthropic und Meta waren eigenständig aus vermeintlich abgeschotteten Testsystemen ausgebrochen und handelten weit außerhalb ihrer eigentlich vorhergesehenen Funktion. Dabei wurde auch mehrfach in Systeme von unbeteiligten Dritten eingedrungen – teilweise wochenlang, ohne dabei aufzufallen.
Die KI-Agenten nutzten auch Programmierfehler aus und sprachen sich untereinander ab. Auch für das Eindringen notwendige Schadsoftware entwickelte beispielsweise ein Anthropic-Modell eigenständig und ohne Anweisung oder Kontrolle seiner Entwickler.
(September 1, 2026)
Internal documents reviewed by Drop Site News reveal for the first time the details of a years-long program by Israeli weapons manufacturer Elbit Systems, the country’s largest weapons maker, to equip the Ugandan military with an expanding fleet of Hermes surveillance drones, as well as a suite of advanced surveillance systems intended for use by Uganda’s Military Intelligence and elite Special Forces Command (SFC)—a branch of the country’s security establishment tied to the family of President Yoweri Museveni, and his son Muhoozi Kainerugaba.
(12. März 2014)
Die Rede von Senatorin Dianne Feinstein vor dem Senat der Vereinigten Staaten von Amerika über die Sabotage der verfassungsmäßigen Kontrolle des Parlaments über die Central Intelligence Agency durch die Central Intelligence Agency ist vielleicht das Erbärmlichste, was ich in meinem Leben je gesehen und gehört habe. Es ist nicht nur der Offenbarungseid eines Ausnahmezustands, eines über sich selbst und die Welt verhängten Kriegsrechts des mächtigsten Imperiums auf dem Planeten, in seinem Krieg „on terror“, weltweit geführt mit seinen „Einflussgebieten“, „Alliierten“, Ablegern, schlechten Kopien und Kolonien. Es ist der Offenbarungseid seiner bis auf die Knochen korrupten, feigen, abgetakelten, unfähigen Zuträger, Mitwisser, Kollaborateure und Funktionäre.
Was Senatorin Feinstein hier zeigt, was sie da zeigt, ist so unbeschreiblich, das sogar mir die Worte fehlen um es zu beschreiben. Ich will hier den Inhalt ihres Statements nur deshalb zusammenfassen, weil ich davon ausgehe dass die ganzen Feinsteins der deutschsprachigen Presse dies alles weder hören, lesen, geschweige denn darüber berichten wollen, genauso wie deren KundInnen…..
Mar 11, 2014
Senate Intelligence Committee Chairman Dianne Feinstein‘s speech about the committee‘s study on the CIA Detention and Interrogation Program.
Despite public pressure, Bush vetoed a version of the Intelligence Authorization Act in March 2008 that would have required CIA interrogators to adhere to Army Field Manual regulations. As soon as Barack Obama became president, he issued an executive order rescinding the free hand for the CIA director on interrogations that Bush had reaffirmed in a July 2007 order. Obama’s directive removed the CIA’s detention power and required the agency to follow Army Field Manual rules.
Yet five and a half years went by before President Obama acknowledged, in his notable words, “We tortured some folks.” He told a news conference: “When we engaged in some of these enhanced interrogation techniques, techniques that I believe and I think any fair-minded person would believe were torture, we crossed a line.”
The acknowledgement came four months before the long-awaited release of a report in December 2014 by the Senate Select Committee on Intelligence. While heavily redacted, it was a political indictment of torture. “CIA personnel, aided by two outside contractors, decided to initiate a program of indefinite secret detention and the use of brutal interrogation techniques in violation of US law, treaty obligations, and our values,” wrote the committee’s chair, Senator Dianne Feinstein. …
Jun 2, 2013
Wi-Vi is a new technology that enables seeing through walls using Wi-Fi signals. The video shows the output of Wi-Vi (blue window) when a person moves around in a room. It can track whether there is a moving human inside the room and how he is moving.
Jul 3, 2023
0:00
aging the latest paper the one that
0:02
happened even after this which is
0:03
already better uses stable diffusion
0:06
uses the thing that you use to make art
0:09
like what should a thing that you use to
0:10
make art have anything to do with
0:11
reading your brain but of course it goes
0:13
further so in this one they said can
0:16
they understand
0:18
um the inner monologue the things you‘re
0:20
saying to yourself in your own mind my
0:23
dude by the way when you dream your
0:24
dream like your visual cortex runs in
0:26
Reverse so your dreams are no longer
0:28
safe
0:29
um but we‘ll try this so they had people
0:31
watch a video and just narrate what was
0:33
going on in the video in their mind so
0:35
there‘s a woman she gets hit in the back
0:37
she falls over this is what the computer
0:40
reconstructed the person thinking
0:43
see a girl looks just like me get hit in
0:45
the back and then she is knocked off
0:48
so our thoughts like are starting to be
0:51
decoded
0:53
yeah just think about what this means
0:55
for authoritarian States for instance
0:58
or if you want to generate images that
1:00
maximally activate your pleasure sensor
1:03
anything else okay but let‘s keep going
1:04
right to really get the sense of the
1:06
combinatorics of this how about can we
1:08
go from Wi-Fi radio signals you know
1:10
sort of like the Wi-Fi routers in your
1:12
house they‘re bouncing off radio signals
1:14
that work sort of like sonar can you go
1:16
from that to where human beings are to
1:19
images so what they did is they had
1:21
um you know a camera looking at a space
1:24
with people in it
1:25
um that‘s sort of like coming in from
1:26
one eye the other eye is the radio
1:28
signals so sonar from the Wi-Fi router
1:31
and they just learn to predict like this
1:33
is where the human beings are then they
1:35
took away the camera so all the AI had
1:38
was the language of radio signals
1:40
bouncing around a room and this is what
1:43
they‘re able to reconstruct
1:45
Real Time 3D pose estimation right so
1:50
suddenly AI has turned every Wi-Fi
1:53
router into a camera that can work in
1:56
the dark specially tuned for tracking
1:58
living beings
2:01
already
(April 6, 2026)
Die Studie unterstreicht, dass der Schutz kritischer Netzknoten oberste Priorität haben muss. Neben der neuen Detektionsmethode empfehlen die Autoren:
– Kompromittierte Daten gezielt zu entfernen oder zu korrigieren
– Stärkere Cybersicherheitsstandards bei der Entwicklung und dem Betrieb von Smart Metern
– Eine Kombination aus technischen und organisatorischen Maßnahmen, um die gesamte Advanced Metering Infrastructure (AMI) abzusichern
Die wichtigste Gegenmaßnahme ist allerdings sich kein Smart Meter aufschwatzen oder aufnötigen zu lassen. Die klassischen Ferraris-Zähler sind gegen jegliche Manipulation aus der Ferne gefeit, mangels Verbindung ins Internet. Und sie senden auch keine Hochfrequenz-Strahlung aus.
(August 22, 2020)
Datendiebe zapfen das Stromnetz des Gebäudes spurlos an, um IT-Daten als Rauschsignale aufzuzeichnen. Die geraubten Signale werden anschließend von den Datendieben mit Analysegeräten sehr professionell wieder in die digitalen Ursprungsdaten zurückgewandelt.
So können am PC eingegebene oder an IT-Peripheriegeräten verarbeitete Daten von Datendieben ausgewertet, mit anderen Datenquellen verknüpft und missbraucht werden. Diese Art des Datendiebstahls ist nicht erkennbar und nicht rekonstruierbar. Der einzige wirksame Schutz gegen solche Cyberangriffe ist das technische Vermeiden von ins Stromnetz abfließenden Daten.
(August 24, 2026)
Die aktuelle Aufregung übersieht, dass die heimlichen Betretungsbefugnisse nicht neu sind – sondern längst Realität. Mitarbeiter des Landesverfassungsschutzes dürfen in Nordrhein-Westfalen, Hessen, Bayern und Rheinland-Pfalz heimlich in Wohnungen einbrechen. So sehen es die dortigen Landesgesetze vor. In Bayern gilt das schon seit 2016.
(…)
Das Bundesamt für Verfassungsschutz darf seit einer Reform der Sicherheitsgesetze nach 9/11 im Jahr 2002 heimlich Wohnräume überwachen. Zwar steht nicht im Gesetz, dass der Verfassungsschutz dafür auch einbrechen darf, um heimlich Technik anzubringen. Allerdings wird das in der rechtlichen Kommentierung zu § 9 Abs. 2 des Bundesverfassungsschutzgesetzes vorausgesetzt. Der notwendige Einbruch soll also schlicht mitgemeint sein.
Why is Bari Weiss promoting Flock cameras? Glenn Greenwald on neocon support for totalitarianism.
Tucker Carlson admitted that a lot of the tips he received about Hunter Biden were from Israeli intelligence. Cenk Uygur and Glenn Greenwald discuss on The Young Turks.
Verfassungsschutz (VS) und BND sollen per Gesetz Polizeibefugnisse erhalten, beschloss das Kabinett am Mittwoch. Was die Dienste bisher einfach so oder mit Amtshilfe erledigt haben, erhält nun Legalisierungstünche. Der Devise, alles dem Krieg gegen Russland und der Aufrüstung unterzuordnen, stimmen die meisten Kommentatoren zu. Sie finden offenbar auch, dass Friedensfreunde, also Staatsfeinde, mehr bekämpft werden müssen.
Redakteure deutscher Bürgermedien finden jedenfalls mehrheitlich eine angriffslustige deutsche Geheimpolizei gut.