Story
24. Okt. 2026
KI entdeckte PHPs versteckten Fehler, doch das Patch-Rennen zeigte, wie wenig Zeit Verteidiger haben
Der PHP-Notfall war ein eingeschränkter Erfolg für KI-gestützte Verteidigung: Forscher fanden lange verborgene Schwachstellen und erstellten Korrekturen, bevor es zur Katastrophe kam. Doch Regierungen, Maintainer und Sicherheitsteams sahen auch, wie schnell dieser Vorteil verpuffen kann, wenn die Offenlegung scheitert und Millionen von Systemen gleichzeitig Aufmerksamkeit benötigen.
Die Krise begann im August, als getrennte Forschungsteams bei Wiz und Calif, die mit fortschrittlichen KI-Modellen arbeiteten, verwandte Schwachstellen entdeckten, die seit mehr als einem Jahrzehnt tief im Kerncode von PHP verborgen waren. Die Fehler könnten einem Außenstehenden Kontrolle auf Befehlsebene über einen ungepatchten Webserver verschaffen – eine ernste Aussicht für eine Sprache, die schätzungsweise etwa 70 % des Webs zugrunde liegt.1
Für die Forscher war dies ein Beweis dafür, dass KI die defensive Seite stärken kann. Der Wiz-Forscher Sagi Tzadik sagte, Agenten könnten „Monate traditioneller Forschung“ auf Tage oder sogar Stunden verkürzen, obwohl Menschen weiterhin Tage damit verbringen mussten, den Fehler zu verstehen und zu reproduzieren.1 Die PHP-Maintainer, konkurrierende Sicherheitsfirmen und andere Spezialisten arbeiteten anschließend wochenlang im Rahmen einer koordinierten Offenlegung an einem Patch.
Dieser geordnete Prozess zerbrach diese Woche. Details begannen vor der geplanten Veröffentlichung zu kursieren, und die PHP Foundation erklärte, Chainguard habe „einseitig das Embargo gebrochen“ und damit wochenlange Koordination gestört.2 Chainguard-CEO Dan Lorenc sagte, er habe gehandelt, weil er glaubte, die Ausnutzung sei bereits im Gange; andere bestritten diese Einschätzung. Das Ergebnis war der Albtraum, den Verteidiger hatten vermeiden wollen: öffentliche Hinweise, unvollständige Korrekturen und eine rasch wachsende Liste von Zielen.
Cloudflare verzeichnete vor der Ankündigung Tausende Ausnutzungsversuche, dann innerhalb von 45 Minuten Zehntausende, innerhalb von zwei Stunden Hunderttausende und schließlich Millionen. Regierungen und Unternehmen von Europa bis Asien nahmen Dienste vom Netz, während sie Updates einspielten.3 Für den niederländischen Cyberchef Matthijs van Amelsfort war die unmittelbare Vorgabe brutal einfach: „patchen, patchen und patchen.“2
Beamte betonten, dass Versuche keine bestätigten Einbrüche sind und gewöhnliche Besucher ihre Telefone nicht patchen müssen, nur um eine PHP-Website zu besuchen. Das dringende Risiko liegt bei Website-Betreibern: Ein ungepatchter Server könnte Daten offenlegen, verändert werden oder zur Startrampe für Angriffe an anderer Stelle werden.4
Die Reaktion wird bereits produktisiert. Aravind Srinivas sagte, Computer-Credits würden angeboten, um Websites auf PHP-Exposition zu prüfen – ein Beispiel dafür, wie KI sowohl für die Bereinigung als auch für die Entdeckung eingesetzt wird.
5 Doch die tiefergehende Warnung bleibt: OpenAI erwartet einen starken Anstieg ähnlicher Funde, während PHP-Patcher Ondřej Surý dies seit Langem als eine „Katastrophe, die nur darauf wartet zu passieren“ bezeichnete.6