Story
29. Okt. 2026
KI entdeckt PHPs Schwachstellen, bevor das Web sie schließen kann
Forscher und Sicherheitsspezialisten sehen den PHP-Vorfall sowohl als dringendes Patch-Problem als auch als Warnung: KI kann lange verborgene Schwachstellen schneller aufdecken, als Organisationen die Systeme, von denen sie abhängen, manuell reparieren können.
Jahrelang war die Allgegenwart von PHP für Menschen, die im Web surfen, größtenteils unsichtbar. Dann deckten KI-gestützte Forscher, die mit Werkzeugen von OpenAI und Google arbeiteten, schwerwiegende, seit Langem bestehende Schwachstellen in der Skriptsprache auf, die von etwa 70 % der Websites genutzt wird.1
Die Entdeckung verwandelte eine vertraute Softwareaufgabe in einen Notfall. Vergangene Woche veranlassten zwei kritische Fehler Organisationen dazu, betroffene Systeme hastig zu reparieren; einige nahmen Websites offline, statt sie ungeschützt zu lassen, während Patches vorbereitet wurden.2 Das Ausmaß der Reaktion spiegelte nicht nur die Reichweite von PHP wider, sondern auch die beunruhigende Möglichkeit, dass weit verbreiteter, alternder Code Schwachstellen enthalten könnte, die schlicht unbemerkt geblieben sind.
Forscher und das PHP-Team arbeiteten gemeinsam mit OpenAI, Wiz und der Forschungsgruppe Calif daran, Reparaturen zu koordinieren. Doch der Vorfall zeigte auch die Grenzen dieses Modells auf. Tomer Schwartz, CTO für Exposure Management und AppSec bei Wiz, sagte, das Unternehmen hätte „diese Fehler ohne KI nicht finden können“, nachdem maßgeschneiderte Werkzeuge über ein Wochenende Dutzende möglicher Ansätze getestet hatten.2
Diese Geschwindigkeit ist der Kern der Spannung. KI kann Verteidigern eine leistungsstarke Möglichkeit geben, alten Code zu untersuchen, sie kann aber auch die Entdeckung – und möglicherweise die Ausnutzung – neuer Schwachstellen beschleunigen. Einer der PHP-Fehler hatte laut dem Bericht über die Reaktion „mehr als ein Jahrzehnt lang offen zutage gelegen“, bevor veränderte Bedingungen ihn ausnutzbar machten.2
Für Betreiber von Websites ist die unmittelbare Botschaft weniger futuristisch: zeitnah patchen und prüfen, ob die Software unter einer Website tatsächlich aktualisiert wurde. Für die Sicherheitsbranche ist der PHP-Schreck eine härtere Lektion. Manuelles Patchen kann nicht skalieren, wenn Maschinen beginnen, internetweite Schwachstellen mit Maschinengeschwindigkeit zu finden.1