Story
27. Okt. 2026
KI entdeckte einen PHP-Fehler im gesamten Web – dann hatte das Internet Stunden Zeit zu reagieren
Die PHP2Shell-Krise bot das bislang beunruhigendste Paradox der KI: Sie half Verteidigern, eine lange verborgene Bedrohung aufzudecken, und beschleunigte zugleich den Wettlauf um deren Ausnutzung und Behebung dramatisch. Behörden betrachteten Abschaltungen als umsichtige Schutzmaßnahme; Forscher warnten, dass die eigentliche Schwäche ein Internet sei, das noch immer auf alterndem, unterfinanziertem Code aufgebaut ist.
Im August nutzten Forscher bei Calif und Google’s Wiz fortschrittliche KI-Modelle, um zusammenhängende Schwachstellen in PHP aufzudecken, der jahrzehntealten Sprache, die schätzungsweise etwa 70 % der Websites zugrunde liegt. Die Fehler könnten nicht authentifizierte Remote-Code-Ausführung ermöglichen – und einem Angreifer damit faktisch Kontrolle über die Kommandozeile eines ungepatchten Servers geben.1
Für Verteidiger war die Entdeckung ein knapper Erfolg. Der Wiz-Forscher Sagi Tzadik zweifelte zunächst am Fund der KI, weil „Modelle dazu neigen zu halluzinieren“, doch der Exploit funktionierte. Er argumentierte, dass KI die Entdeckung von Schwachstellen beschleunige: „Monate traditioneller Forschung, komprimiert auf, sagen wir, Tage.“2 Doch dieselbe Beschleunigung verschärfte die Gefahr, sobald die Erkenntnisse nicht mehr unter Verschluss waren.
Mitte Oktober begannen Details vor der geplanten Patch-Veröffentlichung zu kursieren. Ein Proof-of-Concept-Video wurde kurzzeitig veröffentlicht, die PHP Foundation zog ihre Veröffentlichung vor, und Angreifer begannen mit Sondierungen. Cloudflare verzeichnete Tausende Versuche vor der Offenlegung, dann Zehntausende innerhalb von 45 Minuten, Hunderttausende innerhalb von zwei Stunden und schließlich Millionen.3
Das führte am Mittwoch und Donnerstag zu einer außergewöhnlichen vorsorglichen Reaktion. Regierungen und Unternehmen von Finnland bis Japan nahmen Websites offline, während sie Korrekturen installierten; Großbritannien erklärte, 32 öffentliche Dienste seien vorübergehend nicht verfügbar. Für Betreiber von Altsystemen war die Wahl eindeutig: sofort patchen oder die Verbindung trennen. Der niederländische Cyberchef Matthijs van Amelsfort fasste die Abhilfe in drei Worten zusammen: „patchen, patchen und patchen.“4
Das Risiko für die Öffentlichkeit war begrenzter, als der Alarm vermuten ließ: Der bloße Besuch einer anfälligen PHP-Website infizierte das Gerät eines Nutzers nicht. Doch ein kompromittierter Server könnte Daten offenlegen, Websites verändern oder zum Ausgangspunkt für Angriffe auf größere Netzwerke werden. Frühe Bewertungen stellten überwiegend Scans und fehlgeschlagene Exploits fest, während ein späterer X-Repost unter Verweis auf Honeypot-Aktivitäten besagte, dass Ausnutzung in freier Wildbahn beobachtet worden sei, wobei Angreifer Shell-Befehle zum Abrufen von Payloads ausführten.
5
Der Vorfall blieb nur deshalb hinter einer webweiten Katastrophe zurück, weil ein Patch bereitstand. Er offenbarte auch das neue Ungleichgewicht im KI-Zeitalter: Verteidiger könnten zwar mehr Schwachstellen zuerst finden, doch jedes Leck verwandelt koordinierte Offenlegung in einen Countdown.