Story
22. Okt. 2026
KI entdeckte jahrzehntealte PHP-Schwachstellen – und nun ist das Web im Wettlauf mit Angreifern
Die PHP-Krise wird sowohl als Durchbruch für die Verteidigung als auch als Warnung dargestellt: KI half Forschenden, Schwachstellen offenzulegen, die Menschen nur schwer in Exploits umwandeln konnten, während Regierungen und Sicherheitsexperten befürchten, dass dieselben Werkzeuge die verfügbare Reaktionszeit drastisch verkürzen.
Die Wurzeln des Notfalls reichen Jahre zurück. Eines der zugrunde liegenden Probleme war 2024 der PHP Foundation gemeldet worden, doch es folgte keine Behebung; die Stiftung bezeichnete dieses Versäumnis später als ein „strukturelles Versagen“ in ihrem Sicherheitsprozess.1 Die Schwachstellen blieben in PHP verborgen, der Websprache, die von rund 70 % der Websites genutzt wird, teils weil ihre Ausnutzung eine ungewöhnlich komplexe Kette technischer Schritte erforderte.
Das änderte sich Mitte August, als Forschende in Kalifornien mit OpenAIs GPT-5.6 Sol sowie ein separates Wiz-Team mit KI-Tools zwei kritische Schwachstellen entdeckten, die später PHP2Shell genannt wurden. Die Fehler könnten unauthentifizierte Remote-Code-Ausführung ermöglichen – also einem Eindringling faktisch erlauben, einen Server zu übernehmen, auf Daten zuzugreifen oder eine Website ohne Passwort zu verändern. OpenAI stellte das Ergebnis als Beweis dar, dass „fortschrittliche KI diese Schwachstellen vor Angreifern entdeckt hat“, räumte jedoch ein, dass dieselben Fähigkeiten rasch offensive Werkzeuge hervorbringen können.2
Der Vorsprung für den Schutz löste sich diese Woche auf. Ein Proof-of-Concept-Video wurde am Dienstag versehentlich veröffentlicht, Details verbreiteten sich online, und PHP zog die für Donnerstag geplante Patch-Veröffentlichung auf Mittwoch vor. Die NSA forderte Betreiber auf, unverzüglich zu patchen oder Systeme offline zu nehmen; Regierungswebsites in Europa sowie Dienste vom Internet Archive bis hin zu älteren Spielen gingen vorübergehend vom Netz. Amazon erklärte, es habe vier Tage vor der öffentlichen Offenlegung einen Ausnutzungsversuch beobachtet, und warnte, die Schwachstellen würden „breitflächig in freier Wildbahn ausgenutzt“.3
Darin liegt die zentrale Spannung: KI mag die Gefahr vor Kriminellen entdeckt haben, doch sie beschleunigt auch die Nachbildung erheblich. Sicherheitsforschende sagen, der früher wochenlange Zyklus zur Entwicklung von Exploits habe sich drastisch verkürzt; Website-Betreiber stünden nun vor der harten Wahl zwischen schnellen Updates und Ausfällen. Für gewöhnliche Nutzer ist das unmittelbare Risiko indirekt – kompromittierte Dienste können Zugangsdaten und Zahlungsdaten preisgeben –, weshalb Experten zu einzigartigen Passwörtern, Zwei-Faktor-Authentifizierung und Wachsamkeit gegenüber Benachrichtigungen über Datenpannen raten.4
Während der Patch-Marathon weiterging, machten KI-Unternehmen den Vorfall auch zu einem Markt für Abhilfemaßnahmen. Aravind Srinivas sagte, Computer biete Guthaben an, um PHP-Websites und GitHub-Bereitstellungskonfigurationen auf Gefährdung zu prüfen, was unterstreicht, wie automatisiertes Scannen sowohl Teil der Reaktion als auch der Bedrohung wird.
5