Story
23. Okt. 2026
KI entdeckte PHPs verborgenen Fehler, dann hatte das Web Stunden Zeit zu reagieren
Die PHP-Krise wird auf zwei Arten gelesen: als seltener defensiver Erfolg für KI, die half, eine lange verborgene Gefahr aufzudecken, und als Warnung, dass dieselben Werkzeuge die verfügbare Zeit zum Schutz der ältesten Infrastruktur des Internets verkürzt haben.
Die Probleme begannen im August, als Forscher bei Calif und dem zu Google gehörenden Unternehmen Wiz unabhängig voneinander KI-Systeme nutzten, um PHP zu untersuchen, die jahrzehntealte Sprache hinter WordPress, Drupal und nach einigen Schätzungen rund 70 % der Websites. Calif nutzte OpenAIs GPT-5.6 Sol; Wiz kombinierte seinen Atlas-Agenten mit Gemini 4 Argon und GPT-5.6 Sol. Ihre Entdeckung: zwei kritische Schwachstellen, die zusammen PHP2Shell genannt werden und es einem nicht authentifizierten Angreifer ermöglichen könnten, Code auf einem anfälligen Server auszuführen.1
Die Fehler hatten jahrelang in PHP gesteckt, auch weil der Bau eines Exploits zuvor eine ungewöhnlich komplexe Kette technischer Schritte erforderte. Wiz’ Warnung war eindeutig: KI kann einen Exploit nun an „verschiedene PHP-Versionen, Konfigurationen und Speicherlayouts“ anpassen.2 Damit wurde die koordinierte Offenlegung weniger zu einem routinemäßigen Software-Update als zu einem Wettlauf gegen die Zeit.
Als Details vor der geplanten Veröffentlichung durchsickerten, beschleunigte die PHP Foundation die Bereitstellung von Patches auf Mittwochmorgen. Regierungen und Unternehmen wurde geraten, umgehend zu aktualisieren oder Systeme vom Netz zu nehmen. Japans Premierministerin Sanae Takaichi rief zu dringendem Handeln auf und erklärte, eine vorübergehende Aussetzung könne ein wirksames Mittel zur Risikominderung sein, wenn schnelles Patchen nicht möglich sei.3
Die Abschaltungen breiteten sich von finnischen und niederländischen öffentlichen Diensten bis zu britischen Regierungswebsites aus, während Unternehmen mit denselben Störungen zu kämpfen hatten. Für Kalle Pusa in Helsinki musste sogar die Organisation der Abholung eines alten Sofas warten: Essenzielle digitale Dienste seien, so sagte er, „in das Gefüge unserer Gesellschaft eingewoben“, und dieses Gefüge sei zerrissen worden.4
Angreifer handelten schnell. Cloudflare verzeichnete vor der Offenlegung Tausende Exploit-Versuche, dann Zehntausende innerhalb von 45 Minuten, Hunderttausende innerhalb von zwei Stunden und schließlich Millionen.4 Das Bild blieb jedoch umstritten: Die PHP Foundation erklärte, sie habe keine Hinweise auf funktionierende Exploits, während Amazon-Telemetriedaten vor dem Patch einen versuchten PHP2Shell-Angriff meldeten.5
Für Nutzer liegt die unmittelbare Last bei den Betreibern von Websites – obwohl Sicherheitsexperten warnen, dass kompromittierte Dienste persönliche Daten offenlegen könnten. Eine praktische Reaktion wird bereits kommerzialisiert: Aravind Srinivas sagte, Computer biete Guthaben zur Überprüfung von PHP-Schwachstellen an, mit einem Tool, das Websites und Bereitstellungskonfigurationen scannt und Korrekturen priorisiert.
6