Im August nutzten Forscher bei Calif, die mit OpenAI und Googles Wiz zusammenarbeiteten, unabhängig voneinander fortschrittliche KI-Systeme, um verwandte Schwachstellen in PHP aufzudecken, der Websprache, die schätzungsweise rund 70 % der Websites zugrunde liegt. Bei Wiz entdeckte ein KI-Agent die PHP-Schwachstelle, während er prüfte, ob ein WordPress-Problem Drupal betreffen könnte – ein scheinbarer Fehler, der sich als real herausstellte. „Modelle neigen zu Halluzinationen“, sagte der Forscher Sagi Tzadik, doch dieses hatte einen Fehler aufgedeckt, der mehr als ein Jahrzehnt überdauert hatte.¹

Die Teams meldeten die Mängel und schlossen sich den PHP-Maintainern in einer koordinierten Anstrengung an, um einen Fix zu entwickeln. Die Arbeit war ungewöhnlich kollaborativ: Rund 15 Forscher konkurrierender Organisationen tauschten nahezu täglich Erkenntnisse aus, sagte Tomer Schwartz von Wiz, in einem Prozess, der „einfach auf Vertrauen basierte“. ¹ Ihr Erfolg barg auch seine eigene Warnung: KI kann Monate der Schwachstellenforschung auf Tage oder sogar Stunden verkürzen und Angreifern dieselbe Beschleunigung verschaffen, sobald Details öffentlich werden.

Dieser Druck entstand vor der geplanten Veröffentlichung. Informationen über die Schwachstellen verbreiteten sich online und zwangen die PHP-Maintainer, den Patch vorzuziehen. Ein Calif-Video, das den Exploit unbeabsichtigt demonstrierte, trug anschließend dazu bei, Nachahmeraktivitäten anzuheizen. Cloudflare verzeichnete vor der Offenlegung Tausende Ausnutzungsversuche; innerhalb von 45 Minuten stieg die Zahl auf Zehntausende, dann innerhalb von zwei Stunden auf Hunderttausende und schließlich auf Millionen.²

Am Mittwoch und Donnerstag nahmen Regierungen und Unternehmen von Helsinki bis New York Dienste offline, während sie Updates einspielten. Großbritannien erklärte, dass vorsorglich 32 Regierungsdienste abgeschaltet wurden, während die Störung in Finnland alltägliche Aufgaben beeinträchtigte. „Man könnte sagen, dass ein großer Teil des Gefüges zerrissen wurde“, sagte der Helsinkier Entwickler Kalle Pusa über die Abhängigkeit von digitalen öffentlichen Diensten.³

Die defensive Reaktion wurde rasch kommerziell und praktisch: Perplexity-Chef Aravind Srinivas sagte, sein Unternehmen biete Gutschriften für Überprüfungen an, die exponierte PHP-Websites identifizieren und Reparaturen priorisieren.Aravind Srinivas (AravSrinivas)⁴ Sicherheitspraktiker argumentieren jedoch, dass Patchen allein nicht Schritt halten könne. Ein Experte warnte, KI ermögliche selbst wenig qualifizierten Angreifern, schwerwiegende Schwachstellen „innerhalb von Minuten“ auszunutzen, wodurch der traditionelle Behebungszyklus durchbrochen werde.⁵

Am stärksten ist die Kluft für kleinere Organisationen. Der frühere US-Cyberbeamte Chris Krebs forderte Unternehmen dazu auf, kontinuierlich zu scannen, rasch zu patchen oder Altsysteme offline zu nehmen; große Firmen verfügen möglicherweise über fortschrittliche Werkzeuge, kleinere Unternehmen könnten jedoch Schwierigkeiten haben, zu reagieren.⁶ PHP2Shell wurde vor einer Katastrophe eingedämmt – doch der Vorfall machte es leichter, sich den nächsten Wettlauf vorzustellen.