Story
24. Okt. 2026
KI entdeckte den verborgenen Fehler von PHP – jetzt liefern sich Verteidiger ein Rennen mit Hackern
Forscher und Sicherheitsbehörden sehen die PHP-Krise als Beleg dafür, dass KI Verteidigern einen entscheidenden Vorsprung verschaffen kann; Betreiber, die mit Altsystemen konfrontiert sind, sehen in derselben Technologie eine Verkürzung ihrer Reaktionszeit. Das Ergebnis war ein globaler Zielkonflikt zwischen der Aufrechterhaltung von Diensten und ihrer Absicherung.
Im August nutzten getrennte Teams bei Calif und dem zu Google gehörenden Wiz fortschrittliche KI-Tools, um PHP zu untersuchen – die Websprache, die schätzungsweise rund 70 % der Websites zugrunde liegt. Sie fanden zwei kritische Schwachstellen – später PHP2Shell genannt –, die mehr als ein Jahrzehnt lang verborgen geblieben waren. Wiz-Forscher Sagi Tzadik hielt das zunächst für einen KI-Fehler: „Modelle neigen zu Halluzinationen.“ Doch der Exploit funktionierte.1
Die Entdeckung war ein seltener Erfolg für die Verteidigung. Forscher koordinierten sich vertraulich mit der PHP Foundation und großen Infrastrukturunternehmen, um Patches zu entwickeln, bevor sie an die Öffentlichkeit gingen. OpenAI bezeichnete die Schwachstellen als „eines der folgenreichsten Sicherheitsprobleme der jüngeren Vergangenheit“ und warnte zugleich, dass dieselben KI-Fähigkeiten Angreifern rasch beim Aufbau offensiver Werkzeuge helfen könnten.2
Dieser Vorteil begann im Oktober zu schwinden. Amazon erklärte, am 17. Oktober – Tage vor der geplanten Veröffentlichung – einen Exploit-Versuch erkannt zu haben, während Berichte und ein versehentlich veröffentlichtes Proof-of-Concept-Video den Wettlauf beschleunigten. Als sich die Nachricht verbreitete, verzeichnete Cloudflare noch vor der Veröffentlichung Tausende Versuche, dann innerhalb von 45 Minuten Zehntausende, innerhalb von zwei Stunden Hunderttausende und schließlich Millionen.3
Am Mittwoch veröffentlichte die PHP Foundation Notfall-Patches. Die NSA und andere Behörden rieten Organisationen, die nicht sofort aktualisieren konnten, ihre Systeme vom Netz zu nehmen. Regierungen von Finnland und den Niederlanden bis Japan taten genau das; Großbritannien erklärte, 32 öffentliche Dienste seien vorübergehend nicht verfügbar gewesen. Für Nutzer war die Störung alltäglich, aber aufschlussreich: Der Entwickler Kalle Pusa aus Helsinki konnte die Abholung eines alten Sofas nicht organisieren und sagte, die digitale Infrastruktur, die „in das Gewebe unserer Gesellschaft eingewoben“ sei, sei zerrissen worden.4
Der Vorfall hat eine Spaltung in der Cybersicherheitswelt verschärft. Optimisten argumentieren, KI habe eine Katastrophe aufgedeckt, bevor sie sich vollständig entfalten konnte; Betreiber veralteter, nicht unterstützter Systeme sagen, die Geschwindigkeit KI-gestützter Ausnutzung habe den alten Zyklus aus Patchen und Planen durchbrochen. Als kommerzielle Tools auf den Markt drängten, warb Aravind Srinivas mit kostenlosen Guthaben für einen KI-Dienst, der PHP-Websites und Bereitstellungskonfigurationen auf Gefährdung prüft.
5
Vorerst sind Patches verfügbar, und bestätigte Kompromittierungen blieben in ersten Bewertungen begrenzt. Doch PHP2Shell hat die neue Realität deutlich gemacht: KI könnte die tiefsten Schwachstellen des Internets zuerst finden – ohne zu garantieren, dass Verteidiger genug Zeit haben, sie zu beheben.