Story
22. Okt. 2026
PHP2Shell verwandelt den KI-Durchbruch in das Patch-Rennen des Internets
Die PHP2Shell-Episode wird sowohl als defensiver Triumph für KI als auch als Warnung dargestellt, dass dieselben Tools die Zeitspanne auslöschen können, die Websites einst zur Reaktion hatten. Behörden drängen auf sofortiges Handeln, während Forschende darüber uneins sind, ob Angreifer bereits den Sprung von der Theorie zu funktionierenden Exploits geschafft haben.
Forschende bei Calif und Googles Wiz identifizierten mithilfe einer Mischung fortschrittlicher KI-Tools zwei kritische Schwachstellen in PHP, der Websprache hinter rund 70 % der Websites. Die seit Jahren im PHP-Codebestand vorhandenen Fehler könnten einem nicht authentifizierten Angreifer ermöglichen, Code auf einem Server auszuführen und auf Dateien oder Datenbanken zuzugreifen.1
Die Entdeckung wurde zunächst als Beispiel dafür präsentiert, dass KI den Fehler vor Angreifern gefunden hatte. OpenAI erklärte, Modelle der Spitzenklasse hätten die Schwachstellen vor Angreifern entdeckt und Forschenden bei der Validierung von Korrekturen geholfen. Zugleich warnte das Unternehmen jedoch, dass dieselbe Fähigkeit Angreifern helfen könnte, rasch offensive Werkzeuge zu entwickeln – ein Spannungsverhältnis, das im Zentrum der Reaktion steht.2
Bis Dienstag geriet diese Reaktion bereits unter Druck. Berichten zufolge wurde ein Proof-of-Concept-Video, das eine Exploit-Kette demonstrierte, kurzzeitig online veröffentlicht, wodurch die geplante Veröffentlichung von Patches der PHP Foundation um einen Tag vorgezogen wurde. Am Mittwoch erschienen Patches, und die NSA forderte Organisationen, die PHP einsetzen, dazu auf, unverzüglich zu aktualisieren oder betroffene Systeme offline zu nehmen.3
Diese Warnung löste Ausfälle aus, da Regierungen und andere Betreiber in Europa und den Vereinigten Staaten Websites vorübergehend abschalteten, um Patches einzuspielen. Japans Premierministerin Sanae Takaichi rief noch in derselben Nacht zum Handeln auf und erklärte, das Aussetzen von Websites könne das Risiko verringern, wenn eine schnelle Behebung nicht möglich sei.4
Der folgenreichste Streit dreht sich darum, ob das Rennen mancherorts bereits verloren ist. Amazon erklärte, es habe vier Tage vor der öffentlichen Bekanntgabe einen Ausnutzungsversuch festgestellt und die Fehler würden „nun breit in freier Wildbahn ausgenutzt“. 5 Die PHP Foundation erklärte hingegen, sie habe keine Belege für funktionierende Exploits gesehen – nur unvollständigen oder nicht funktionsfähigen generierten Code.3
Während Unternehmen hektisch reagieren, drängen auch kommerzielle Tools auf den Markt: Aravind Srinivas erklärte, Nutzer könnten Guthaben erhalten, um PHP-Systeme und GitHub-Bereitstellungskonfigurationen auf Gefährdung zu prüfen.
6 Die unmittelbare Aufgabe ist banal, aber gewaltig: schnell patchen oder abschalten.