Story
27. Okt. 2026
KI entdeckte PHPs verborgenen Fehler und zwang das Web dann in einen Wettlauf um Patches
Der PHP-Notfall zeigte die zwei Seiten der KI: Sie half Forschenden, lange verborgene Schwachstellen aufzudecken, bevor Angreifer sie vollständig ausnutzen konnten, verkürzte jedoch zugleich die Zeit, die jedem Website-Betreiber zur Reaktion blieb. Verteidiger nennen das einen Sicherheitsfortschritt; Behörden und kleinere Betreiber sehen darin einen alarmierenden Test eines Internets, das auf alterndem, weit verbreitetem Code aufgebaut ist.
Der Alarm begann im August, als Sicherheitsforschende fortschrittliche KI-Tools nutzten, um alte Web-Infrastrukturen zu untersuchen. Bei Wiz scheiterte ein KI-Agent daran, eine WordPress-Schwachstelle auf Drupal zu übertragen – deckte stattdessen jedoch einen separaten PHP-Fehler auf. Der Forscher Sagi Tzadik nahm zunächst an, das Modell liege falsch: „Modelle neigen zu Halluzinationen.“ Der Exploit funktionierte dennoch und legte eine Schwachstelle offen, die mehr als ein Jahrzehnt lang unentdeckt geblieben war.1
Diese Entdeckung brachte inmitten von Behauptungen über einen allein durch KI erzielten Durchbruch eine wichtige Einschränkung mit sich: Menschliche Forschende bei Wiz und Calif mussten die Fehler weiterhin verifizieren, verstehen und verantwortungsvoll melden. Eine Gruppe von etwa 15 Personen arbeitete anschließend firmenübergreifend mit Konkurrenten und dem PHP-Projekt zusammen, um die Schwachstellen nachzuverfolgen und eine Lösung vorzubereiten – ein Aufwand, den Tomer Schwartz von Wiz als „einfach auf Vertrauen basierend“ beschrieb.1
Der koordinierte Prozess begann vor der geplanten Veröffentlichung zu bröckeln. Details kursierten online, und Chainguard-CEO Dan Lorenc veröffentlichte Informationen vorzeitig, da er glaubte, die Schwachstelle werde bereits ausgenutzt; die PHP Foundation erklärte, dieser Schritt habe die Sperrfrist gebrochen und wochenlange Koordination missachtet.2
Bis Mittwoch und Donnerstag waren die Folgen von Helsinki bis New York sichtbar. Regierungen und Unternehmen nahmen Dienste vorübergehend vom Netz, während sie den Patch der PHP Foundation einspielten. Cloudflare erklärte, man habe vor der öffentlichen Bekanntgabe Tausende Exploit-Versuche beobachtet, dann innerhalb von 45 Minuten Zehntausende, innerhalb von zwei Stunden Hunderttausende und schließlich Millionen.3
Für Verteidiger war die Episode sowohl ein Beinaheunfall als auch eine neue Betriebsrealität. Ein Cybersicherheitsexperte warnte, dass KI selbst Angreifern mit geringen Fähigkeiten ermöglichen könne, kritische Fehler innerhalb von Minuten auszunutzen, wodurch die traditionelle Abfolge aus Bewertung der Gefährdung, Zuweisung von Abhilfemaßnahmen und Patchen „kaputt“ sei.4 Die praktische Reaktion bleibt entschieden unspektakulär: PHP-abhängige Systeme identifizieren, sie scannen und sofort aktualisieren – statt anzunehmen, jede verwundbare Website müsse vom Netz gehen.
KI-Unternehmen und Tool-Anbieter verwandeln den Schrecken bereits in defensive Automatisierung. Aravind Srinivas sagte, sein Unternehmen biete Guthaben für PHP-Schwachstellenprüfungen an, darunter ein Tool, das Lösungen priorisieren soll.
5 Doch die zentrale Spannung bleibt bestehen: KI kann Schwachstellen für die Guten schneller finden, während sie zugleich sicherstellt, dass die Bösen, sobald ein Geheimnis entweicht, genauso schnell handeln können.