Forscher bei Calif nutzten im August ein fortschrittliches OpenAI-Modell, um eine tiefgreifende Schwachstelle in PHP aufzudecken, der Websprache, die schätzungsweise auf rund 70 % der Websites läuft. Der Fehler, später PHP2Shell genannt, könnte einem Angreifer ermöglichen, auf einem ungepatchten Server Befehle auszuführen und dessen Daten oder Steuerung zu übernehmen.¹

Die Entdeckung folgte zunächst dem etablierten Vorgehen: privat melden, einen Fix vorbereiten, dann offenlegen. Doch dieser Zeitplan zerbrach, als Details vor der geplanten Veröffentlichung der PHP Foundation zirkulierten. Die Stiftung erklärte, Chainguard habe „einseitig das Embargo gebrochen“; Chainguard-CEO Dan Lorenc sagte später, er habe gehandelt, weil er glaubte, die Schwachstelle werde bereits ausgenutzt.²

Bis Mittwoch war aus dem theoretischen Risiko ein operativer Notfall geworden. Die PHP Foundation veröffentlichte einen Patch, während Regierungen und Unternehmen Dienste vom Netz nahmen, statt das Risiko einer Exponierung einzugehen. Großbritannien schaltete vorsorglich 32 Regierungsdienste ab; öffentliche Portale in Finnland und den Niederlanden gingen offline, und Japans Premierminister forderte Unternehmen auf, es ihnen gleichzutun.³

Der Druck entstand durch die Geschwindigkeit des Angriffsverkehrs. Cloudflare registrierte vor der öffentlichen Offenlegung Tausende Exploit-Versuche, dann Zehntausende innerhalb von 45 Minuten, Hunderttausende innerhalb von zwei Stunden und schließlich Millionen. Dabei handelte es sich um Versuche – nicht um einen Beweis für massenhafte erfolgreiche Einbrüche –, doch sie ließen Verzögerungen gefährlich erscheinen.⁴ Aravind Srinivas bewarb unterdessen kostenlose Guthaben für ein Tool, das PHP-Websites und Bereitstellungskonfigurationen auf Exponierung prüft – ein Zeichen für die schnelle Marktreaktion rund um die Behebung.Aravind Srinivas (AravSrinivas)⁵

Für Sicherheitsteams schärfte der Vorfall den zentralen Widerspruch. KI half dabei, eine Schwachstelle aufzudecken, die mehr als ein Jahrzehnt lang im PHP-Kerncode verborgen gewesen war; dieselben Tools können Angreifern helfen, Ziele zu finden und die Ausnutzung zu automatisieren. Ein Cybersicherheitsexperte warnte, die alte Abfolge – das Ausmaß der Exponierung bestimmen, einen Plan entwerfen, den Fix zuweisen – sei „kaputt“, wenn wenig qualifizierte Angreifer innerhalb von Minuten handeln können.⁶

Der praktische Konsens ist weniger dramatisch: exponierte Systeme identifizieren, das PHP-Update installieren und Systeme isolieren, die nicht sofort gepatcht werden können. Wie Matthijs van Amelsfort von der niederländischen Cyberagentur es ausdrückte, lautet die unmittelbare Empfehlung schlicht: „patchen, patchen und patchen.“²