Die Warnsignale hatten sich aufgebaut, seit KI-Systeme an der Spitze Befürchtungen nährten, dass die Entdeckung von Schwachstellen beschleunigt würde. Doch die PHP-Fehler — die von menschlichen Forschern im Rahmen eines KI-gestützten Vorhabens entdeckt wurden und nicht von Modellen, die allein handelten — machten diese Aussicht konkret. PHP bildet die Grundlage für schätzungsweise 70 % der Websites, was bedeutet, dass eine jahrzehntealte Schwäche nach ihrer Entdeckung eine enorme Reichweite hatte.¹

Bis Mittwoch begann die übliche Choreografie der koordinierten Offenlegung zu zerbrechen. Forscher und Anbieter hatten Patches und vertrauliche Benachrichtigungen vorbereitet, doch Informationen über die Fehler kursierten vor der geplanten Veröffentlichung. Die PHP Foundation erklärte, Chainguard habe „einseitig das Embargo gebrochen“, woraufhin Regierungen und Unternehmen Websites vom Netz nahmen, statt einen Einbruch zu riskieren.²

Der hektische Einsatz ließ die KI-Bedrohung greifbar werden, ohne bislang ihr schlimmstmögliches Ende herbeizuführen. Cloudflare sah die Angriffsversuche von Tausenden vor der Offenlegung auf Millionen danach ansteigen, während Amazon erklärte, die Ausnutzung sei weitverbreitet gewesen. Deutsche Behörden meldeten jedoch keine erfolgreiche Nutzung der Schwachstelle, und Forscher stellten fest, dass die Fehler schwieriger zu weaponisieren waren, als das Ausmaß der Scans vermuten ließ.²

Das hat Vergleiche mit Y2K ausgelöst: einer beängstigenden Warnung, die Verteidiger rechtzeitig mobilisierte. Sicherheitsexperten warnen davor, dieses knappe Entkommen mit Sicherheit zu verwechseln. „Wir müssen nicht erst weitere zwei Jahre warten, bevor das (wieder) passiert“, sagte Samantha Lewis, Leiterin der Bedrohungsanalyse bei Armadin. „Es könnte in drei Stunden soweit sein.“³

Der tiefere Streit dreht sich darum, was die Episode über die Fähigkeit des Webs zur Reaktion aussagt. Eine Sichtweise sieht ein System, das durch „Klebstoff und Träume“ zusammengehalten wird und in dem kleinen Betreibern und öffentlichen Einrichtungen die Ressourcen von Amazon oder Cloudflare fehlen.¹ Eine andere sieht darin den Beweis, dass grundlegende Disziplin — Patchen, Multifaktor-Authentifizierung, Eindämmungs- und Wiederherstellungspläne — weiterhin funktioniert. Doch Tomer Schwartz von Wiz argumentiert, dass die Zukunft nicht davon abhängen könne, dass einzelne Administratoren Korrekturen manuell einspielen: KI könne dabei helfen, Schwachstellen schnell zu finden und zu testen, während „manuelles Patchen nicht skalieren wird.“⁴