Mitte August identifizierten Forscher des KI-Unternehmens Calif und des zu Google gehörenden Unternehmens Wiz zwei schwerwiegende Schwachstellen in PHP, der jahrzehntealten Sprache, die von rund 70 % der Websites mit bekannter serverseitiger Programmierung genutzt wird. Die Fehler könnten nicht authentifizierte Remote-Code-Ausführung ermöglichen – wodurch ein Eindringling faktisch Code auf einem verwundbaren Server ausführen könnte. Calif nutzte OpenAIs GPT-5.6 Sol; Wiz verwendete eine Kombination von KI-Tools. ¹

Die Gefahr bestand nicht nur darin, dass PHP verwundbar war, sondern darin, dass eine Schwachstelle, die vermutlich seit rund zwei Jahrzehnten existierte, deutlich leichter zu weaponisieren geworden war. Wiz erklärte, die Ausnutzung habe früher eine „außergewöhnlich komplexe Abfolge von Schritten“ erfordert, die nahe an der Grenze dessen lag, was menschliche Forscher erreichen konnten. ² Sicherheitsexperten argumentieren inzwischen, dass KI den früheren Puffer zwischen Offenlegung und Angriff verkleinert hat: Der Tolmo-Forscher Matt Suiche sagte, sein Team habe in weniger als einem Tag einen funktionierenden Exploit entwickelt – eine Aufgabe, die früher Wochen hätte dauern können. ¹

Dann beschleunigte sich das Rennen um die Offenlegung. Details gelangten vor der geplanten Veröffentlichung ins Internet, Calif veröffentlichte kurzzeitig ein Proof-of-Concept-Video, und die PHP Foundation zog ihren Patch um einen Tag vor. Amazon Threat Intelligence hatte bereits Tage zuvor einen Exploit-Versuch beobachtet; Cloudflare berichtete später, dass die Angriffe von Tausenden vor der Offenlegung auf Millionen danach gestiegen seien. ³

Am Mittwoch und Donnerstag wurde die defensive Reaktion für gewöhnliche Nutzer sichtbar. Regierungen in Finnland, den Niederlanden, Großbritannien, Deutschland und Japan nahmen Dienste offline oder forderten Unternehmen dazu auf; während Patches installiert wurden, zogen Unternehmen und Plattformen nach. Für große Institutionen bezeichnete ein Berater für kleine Unternehmen die Störung als eine „kleine Unebenheit“; bei kleineren Firmen dauerten Ausfälle bis zu sieben Stunden. ⁴

Der Konsens lautete: zuerst patchen, aber nicht in Panik geraten. Die PHP Foundation erklärte, es gebe keine Belege für erfolgreiche Remote-Code-Ausführung, während Dataminr von Scans und nicht funktionierenden Exploits statt von bekannten Kompromittierungen berichtete. ⁵ Ältere Websites stehen jedoch vor einer schwierigeren Entscheidung: Nicht unterstützte PHP-Versionen verfügen möglicherweise über keine offiziellen Korrekturen und riskieren ein dauerhaftes Verschwinden. Inmitten dieses Wettlaufs warb Aravind Srinivas für kostenlose Guthaben für eine automatisierte Prüfung auf PHP-Exposition – ein weiteres Zeichen dafür, dass KI neben dem Bedrohungsmodell auch Teil des Reparaturwerkzeugs wird. Aravind Srinivas (AravSrinivas)⁶