Our 5-year anniversary, PHP2Shell, Sovereign Tech Resilience relaunch and more

On 12 October, we celebrated our five-year anniversary with guests and friends from policy, open source, government, industry, civil society, and academia. It was a wonderful night to look back at our beginnings, and ahead to the future challenges for digital infrastructure and Europe’s digital sovereignty.

The critical vulnerability PHP2Shell sent shockwaves through the internet, reminding us all how important long-term investments into open source components are for our collective security. Good news though: The Sovereign Tech Resilience program has expanded to include four new services: memory safety transition, post-quantum readiness, supply chain security, and Cyber Resilience Act compliance. Applications are open.

If you’d like to find out about these updates as they happen, you can find the Sovereign Tech Agency on Mastodon, LinkedIn, and Bluesky.

Celebrating five years of strengthening open digital infrastructure

October marks our fifth year anniversary! In 2021, the German Federal Ministry for Economic Affairs and Energy (BMWi) commissioned a small team to work out, in a feasibility study, how public investment in open digital infrastructure could be designed. Five years and more than 110 investments later, that blueprint has since grown into the Sovereign Tech Agency. We have strengthened the open source ecosystem with over €60 million and five programs tailored to how critical open source is developed and maintained.

To celebrate all of this, more than 150 guests, policy makers, open source maintainers, representatives from government, industry, civil society, and research, came together on 12 October in Berlin. Digital Minister Dr. Karsten Wildberger held the keynote.

Read more about our journey and the anniversary party in our blog.

New publication: “The Sovereign Tech Agency: From Feasibility to Implementation”

Our new report “The Sovereign Tech Agency: From Feasibility to Implementation,” published just in time for our five-year anniversary, traces our journey from feasibility study to the organization we are today. It reflects on what we've learned about designing public funding instruments, working with open source communities, and supporting the long-term maintenance and security of the infrastructure we all depend on.

As governments across Europe look to strengthen their digital sovereignty, we hope these lessons can help inform the next generation of public investment in open digital infrastructure.

You can find it on our brand-new publications page, that collects all our publications from the last five years in one place.

PHP2Shell exposes the funding gap in open source security

On 21 October 2026, the PHP project released fixes for two critical security vulnerabilities, collectively known as PHP2Shell. Under certain conditions, these vulnerabilities could allow attackers to execute code on affected web servers without authentication. PHP underpins a substantial share of the web, including public services, businesses, and widely used publishing platforms.

In 2024, the Sovereign Tech Agency commissioned the first external security audit of PHP’s core in over a decade. It identified 17 security-related findings and contributed to subsequent work on the underlying problem behind one of the PHP2Shell vulnerabilities.

This incident shows once more why securing the software we all depend on takes more than finding vulnerabilities. It takes sustained investment in the people who can fix and prevent them.

Read more about PHP2Shell on our blog.

The Sovereign Tech Agency was mentioned in several media reports concerning the PHP2Shell vulnerability, among them The Guardian, Frankfurter Allgemeine Zeitung, Süddeutsche Zeitung and Spiegel.

Apply for the Sovereign Tech Resilience program, now featuring four new services

The Sovereign Tech Resilience program has been running since 2023, with an approach that combines hands-on engineering, audits, and bug-and-fix bounties, delivered together with industry partners at no cost to participating free and open source software (FOSS) projects. It helps critical open source projects build better capacity to avoid, absorb, and handle security issues over time.

Sovereign Tech Resilience now adds four new services, memory safety transition, post-quantum readiness, supply chain security, and Cyber Resilience Act compliance, each delivered by a specialized implementation partner. For the two existing services, technical debt management and security audits, we are increasing the number of available service providers to expand capacity and cover a wider range of programming languages and ecosystems.

Sovereign Tech Agency out and about

We’re in the middle of conference season! Here are some upcoming events our team will be attending. If you’re around, say hi.

• 26 - 30 October 2026: Tara Tarakiyee, Sovereign Tech Agency Lead Technologist, as well as the Sovereign Tech Standards network, are at W3C TPAC 2020 in Dublin, Ireland.
• 2 - 3 November 2026: Erik Möller, Paul Sharratt, and Luisa von Beust will be at Digital Summit in Berlin, Germany. Don’t miss the panel discussion “AI, Open Source and Digital Sovereignty – A Paradigm Shift in the Making” with Erik Möller on 2 November, 2:45 pm.
• 25 - 26 November 2026: Laia Domenech Burin will be speaking at Compute! in Paris, France. Her talk “The Invisible Work of the Stack: Measuring the Impact of Public Investment in PyPI” will take place on 25 November, 2:05 pm.

5 Jahre Sovereign Tech Agency, PHP2Shell, das Resilience Programm startet neu und mehr

Am 12. Oktober feierten wir mit Gästen und Wegbegleiter*innen aus Politik, der Open-Source-Community, Wirtschaft, Zivilgesellschaft und Wissenschaft unser fünfjähriges Jubiläum in Berlin. Es war ein toller Abend mit Rückblicken, Zukunftsvisionen und Impulsen zu kommenden Herausforderungen für digitale Infrastruktur und Europas digitale Souveränität.

Die kritische Sicherheitslücke PHP2Shell versetzte das Internet in Aufruhr. Der Fall zeigt nochmals eindrücklich, wie wichtig langfristige Investitionen in Open-Source-Komponenten für die Sicherheit der gesamten Gesellschaft sind. Die gute Nachricht: Das Sovereign Tech Resilience Programm wurde um vier neue Dienstleistungen erweitert: Übergang zu Speichersicherheit, Vorbereitung auf Post-Quanten-Verschlüsselung, Sicherheit der Software-Lieferkette und Einhaltung des Cyber Resilience Act. Open-Source-Projekte können sich jetzt bewerben.

Um keine Updates zu verpassen, folgt der Sovereign Tech Agency auch auf Mastodon, LinkedIn und Bluesky.

Wir feiern fünf Jahre Engagement für offene digitale Infrastruktur

Vor fünf Jahren beauftragte das Bundesministerium für Wirtschaft und Energie ein kleines Autorinnenteam, in einer Machbarkeitsstudie herauszuarbeiten, wie öffentliche Investitionen in offene digitale Infrastrukturen gestaltet werden könnten. Fünf Jahre und über 110 Investitionen später ist aus dieser Blaupause die Sovereign Tech Agency geworden. Mit bereits über 60 Mio. Euro und unseren fünf Programmen stärken wir das Open-Source-Ökosystem kontinuierlich.

Um diese Erfolge zu feiern, kamen am 12. Oktober in Berlin über 150 Gäste und Wegbegleiter*innen aus Politik, der Open-Source-Community, Wirtschaft, Zivilgesellschaft und Wissenschaft zusammen. Bundesdigitalminister Dr. Karsten Wildberger eröffnete den Abend mit einer Keynote.

Mehr über die letzten 5 Jahre und unsere Jubiläumsparty erfahrt ihr in unserem Blog.

Neuer Bericht: “Die Sovereign Tech Agency: Von der Machbarkeit zur Umsetzung”

Pünktlich zu unserem Jubiläum haben wir die Publikation “Die Sovereign Tech Agency: Von der Machbarkeit zur Umsetzung” veröffentlicht. Sie zeichnet unseren Weg von der Machbarkeitsstudie bis heute nach und fasst zusammen, was wir in den Jahren gelernt haben, über die Gestaltung öffentlicher Förderinstrumente, die Zusammenarbeit mit Open-Source-Communitys und die Unterstützung der langfristigen Wartung und Sicherheit der Infrastruktur, von der wir alle abhängen.

In einer Zeit, in der Regierungen in ganz Europa ihre digitale Souveränität stärken wollen, hoffen wir, dass diese Erkenntnisse dazu beitragen, die nächste Generation öffentlicher Investitionen in offene digitale Infrastruktur mitzugestalten.

Den Bericht findet ihr auf unserer neuen Publikationsseite, wo ihr ab jetzt alle unsere Veröffentlichungen abrufen könnt.

PHP2Shell zeigt: Sichere Open-Source-Software braucht nachhaltige Finanzierung

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Sicherheitsupdates für zwei kritische Schwachstellen, die zusammen als PHP2Shell bekannt sind. Unter bestimmten Umständen könnten diese Sicherheitslücken es Angreifer*innen ermöglichen, ohne Authentifizierung Code auf betroffenen Webservern auszuführen. PHP bildet die Grundlage für einen erheblichen Teil des Internets, darunter öffentliche Dienste, Unternehmen und weit verbreitete Publishing-Plattformen.

Im Jahr 2024 finanzierte die Sovereign Tech Agency den ersten externen Sicherheitsaudit des PHP-Kerns seit über einem Jahrzehnt. Der Audit identifizierte 17 sicherheitsrelevante Befunde und trug zur anschließenden Arbeit an dem zugrunde liegenden Problem hinter einer der PHP2Shell-Schwachstellen bei.

Der Fall zeigt, warum die Sicherung der Software, auf die wir alle angewiesen sind, mehr erfordert als nur das Aufspüren von Schwachstellen. Es bedarf nachhaltiger Investitionen in die Menschen, die diese beheben und verhindern können.

Mehr über PHP2Shell erfahrt ihr in unserem Blogbeitrag:

Die Sovereign Tech Agency wurde im Rahmen der Berichterstattung über PHP2Shell in mehreren Medien erwähnt, unter anderem berichteten The Guardian, Frankfurter Allgemeine Zeitung, Süddeutsche Zeitung und Der Spiegel.

Sovereign Tech Resilience Programm bietet vier neue Dienstleistungen an. Jetzt bewerben!

Das Sovereign Tech Resilience Programm läuft seit 2023 und bietet Open-Source-Projekten kostenlose Dienstleistungen wie Entwicklungsarbeit, Audits und Bug- und Fix-Bountys an. Die Umsetzung erfolgt gemeinsam mit Partnern aus der Industrie. Das stärkt langfristig die Fähigkeit kritischer Open-Source-Projekte, Sicherheitsprobleme zu vermeiden, aufzufangen und zu bewältigen.

Jetzt sind vier neue Dienstleistungen dazugekommen: Übergang zu Speichersicherheit, Vorbereitung auf Post-Quanten-Verschlüsselung, Sicherheit der Software-Lieferkette und Einhaltung des Cyber Resilience Act. Bei den beiden bestehenden Dienstleistungen, Management technischer Schulden und Sicherheitsaudits, erhöhen wir die Zahl der Implementierungspartner, um die Kapazität zu steigern und ein breiteres Spektrum an Programmiersprachen und Ökosystemen abzudecken. Open-Source-Projekte können sich jetzt bewerben.

Sovereign Tech Agency unterwegs

Die Konferenz-Saison ist in vollem Gange! Unser Team wird auf folgenden Veranstaltungen vor Ort sein.

• 26. - 30. Oktober 2026: Tara Tarakiyee, Sovereign Tech Agency Lead Technologist, und das Sovereign Tech Standards Netzwerk, sind beim W3C TPAC 2020 in Dublin, Irland.
• 2. - 3. November 2026: Erik Möller, Paul Sharratt und Luisa von Beust sind beim Digital Gipfel in Berlin. Auf der Paneldiskussion “AI, Open Source and Digital Sovereignty – A Paradigm Shift in the Making” am 2. November, 14:45 Uhr spricht Erik Möller.
• 25. - 26. November 2026: Laia Domenech Burin wird auf der Compute! in Paris, Frankreich, sprechen. Ihr Vortrag “The Invisible Work of the Stack: Measuring the Impact of Public Investment in PyPI” findet am 25. November um 14:05 Uhr statt.

Sovereign Tech Agency GmbH
Gartenstr. 7, 10115, Berlin, Germany

This email was sent to [subscriber]

You've received it because you've subscribed to our newsletter.