Story
21. Okt. 2026
KI entdeckte PHPs Zeitbombe – jetzt kämpft das Web um schnelle Patches
Die Entdeckung beschert Verteidigern einen seltenen Erfolg: KI half dabei, ein jahrzehntealtes Risiko offenzulegen, bevor Kriminelle es offenbar fanden. Doch derselbe Vorfall konfrontiert Sicherheitsteams, Regierungen und Website-Betreiber mit einer härteren Realität – Maschinen könnten Schwachstellen bald schneller finden und zu Waffen machen, als das Internet sie patchen kann.
Die Alarmierung begann mit einer KI-gestützten Suche nach Schwachstellen in PHP, der Open-Source-Sprache, die in einem enormen Anteil des Webs verwoben ist. OpenAI erklärte, ein Forscher bei Calif habe GPT-5.6 Sol eingesetzt, um die kritischen Exploits vor Angreifern zu identifizieren, und anschließend ein Tool veröffentlicht, das Entwicklern helfen soll, anfällige PHP-Versionen zu erkennen.1
Das Ausmaß wurde deutlich, als Forscher beschrieben, was die Schwachstellen ermöglichen könnten: Angreifer könnten anfällige Webserver ohne Passwörter übernehmen und damit einen Weg zu gestohlenen Daten, veränderten Websites und weitreichenderen Störungen eröffnen. PHP wird von fast 70 % der Websites genutzt, während Wiz-Forscher die Befunde als „unter den schwerwiegendsten Schwachstellen, die in PHP und wohl in der Geschichte von Software entdeckt wurden“ bezeichneten.2 Die Entdeckung verschärfte zudem eine seit Langem bestehende Spaltung in der Cybersicherheit. OpenAI stellte KI als Verteidigungskraft dar, die Fehler finden kann, welche Menschen übersehen haben; Sicherheitsexperten warnten, dass dieselbe Fähigkeit die Zeit zwischen Offenlegung und Ausnutzung verkürzen kann.
Bis Mittwoch war diese theoretische Gefahr zu einer operativen Krise geworden. Regierungen und Organisationen in Europa und den Vereinigten Staaten nahmen Websites vorübergehend offline, während sie Sicherheitsupdates mit Hochdruck einspielten.3 Website-Betreiber standen vor einer unschönen Wahl: Ausfallzeiten akzeptieren und sofort patchen oder online bleiben, während sie einer Schwachstelle ausgesetzt sind, die Angreifern die Kontrolle über ihre Systeme übertragen könnte.
Die öffentliche Offenlegung löste dann weltweit dringende Warnungen von Amtsträgern aus, darunter vom japanischen Premierminister, während Cloudflare-CTO Dane Knecht erklärte, dass bereits „frühe Angriffe“ aufkämen und Gegenmaßnahmen aktualisiert würden, sobald neue Angriffsvektoren auftauchten.4 Für Verteidiger war es ein entscheidender Vorteil, den Fehler zuerst zu finden. Der Kampf, ihn einzudämmen, zeigt, wie schmal dieser Vorteil sein könnte, wenn KI beide Seiten des Sicherheitswettlaufs beschleunigt.5