Anfang August bat ein Forscher von Wiz einen KI-Agenten zu testen, ob eine WordPress-Schwachstelle auch auf Drupal zutreffen könnte. Der Agent scheiterte an dieser Aufgabe – deckte stattdessen jedoch einen lange verborgenen PHP-Fehler auf. Der Fund stieß zunächst auf Skepsis, weil „Modelle dazu neigen zu halluzinieren“, wie der Forscher Sagi Tzadik sagte, bevor sich der Exploit als echt erwies.¹

Diese Entdeckung war kein Einzelfall. Calif hatte in Zusammenarbeit mit OpenAI eine verwandte Schwachstelle gefunden, und die Gruppen koordinierten sich mit den PHP-Maintainern, um die Fehler zurückzuverfolgen und eine Behebung vorzubereiten. Für Verteidiger war es ein seltener Erfolg: KI hatte das, was Tzadik als „Monate traditioneller Forschung“ bezeichnete, auf Tage oder Stunden verkürzt.¹ Doch dieselbe Beschleunigung verschärfte die Gefahr. Ein Cybersicherheitsexperte warnte, KI habe den alten Reaktionszyklus durchbrochen und ermögliche selbst wenig qualifizierten Angreifern, schwerwiegende Schwachstellen innerhalb von Minuten auszunutzen.²

Dann geriet die Offenlegung ins Stocken. Details kursierten online vor der geplanten Veröffentlichung des Patches; ein Video, das unbeabsichtigt einen Exploit zeigte, erhöhte den Druck zusätzlich. Als die Updates der PHP Foundation eintrafen, hatte Cloudflare bereits vor der öffentlichen Offenlegung Tausende Exploit-Versuche registriert, danach Zehntausende innerhalb von 45 Minuten und anschließend Millionen.³

Regierungen und Unternehmen reagierten, indem sie Dienste während des Patchens offline nahmen. Großbritannien nahm vorsorglich 32 Regierungsdienste vom Netz; finnische öffentliche Websites setzten Routineaufgaben aus; niederländische Portale für digitale Identitäten und Meldungen gingen offline. Für große Institutionen nannte ein Betreiber eines Kleinunternehmens die Unterbrechung eine „kleine Unebenheit“; für kleinere Firmen dauerten Ausfälle bis zu sieben Stunden.³ Rasch erschienen Tools und Dienste, die Administratoren bei der Bewertung ihrer Gefährdung helfen sollten, darunter ein Angebot von Perplexitys Aravind Srinivas für Guthaben zur Prüfung auf PHP-Schwachstellen.Aravind Srinivas (AravSrinivas)⁴

Die unmittelbare Katastrophe trat jedoch nicht vollständig ein. Spätere Bewertungen ergaben, dass die PHP-Fehler trotz Millionen von Versuchen ungewöhnlich schwer erfolgreich auszunutzen waren.⁵ Das verschaffte Zeit zum Durchatmen, war jedoch keine Entwarnung. Wie die Leiterin der Threat Intelligence Samantha Lewis sagte, „könnte die nächste Krise in drei Stunden eintreten.“⁵