KI deckt PHP-Lücken in der Internet-Infrastruktur auf

Der plötzliche Aufruf, Websites wegen neu bekanntgewordener Schwachstellen in der Programmiersprache PHP sofort zu patchen oder abzuschalten, hat die Fragilität zentraler Online-Infrastrukturen offengelegt. PHP wird laut einer im TechCrunch-Podcast Equity genannten Größenordnung in rund 70 Prozent aller Websites eingesetzt, darunter auch weit verbreitete Content-Management-Systeme wie WordPress und Drupal. Damit sind potenziell Dutzende Millionen Seiten betroffen. Die entdeckten Sicherheitslücken sind teilweise seit Jahrzehnten vorhanden und wurden nun im Rahmen der Initiative Hack the Planet von OpenAI und dem inzwischen zu Google gehörenden Sicherheitsexperten Wiz gemeldet. Die Schwachstellen wurden von menschlichen Sicherheitsforschenden identifiziert; KI-Werkzeuge spielten bei der Analyse und bei Experimenten zur Ausnutzung eine wichtige Rolle. Die Nachricht löste eine akute Panik aus, weil eine koordinierte Nachbesserung bei einem so fundamentalen Baustein des Webs praktisch unmöglich ist. Statt geheimer Meldungen an einzelne Betreiber mussten diese schnell informiert und oft zum temporären Abschalten ihrer Angebote aufgefordert werden. Diese Offenlegung beschleunigte zugleich das Rennen zwischen Angreifern und Verteidigern. Cloudflare-Chef Matthew Prince sprach von mehreren Millionen Versuchen, die Lücke PHP2Shell auszunutzen. Amazon berichtete, dass Angriffsversuche bereits vor der öffentlichen Bekanntgabe über ein eigenes Honeypot-Netzwerk registriert wurden. Kritiker werfen den beteiligten Firmen zudem ein zu selbstbewusstes Auftreten und Probleme bei der Einhaltung der Embargofristen vor. Die Diskussion zeigt, wie weit KI den Druck auf die Cybersicherheit erhöhen kann. Während KI-Agenten das Aufspüren und Skalieren von Angriffen ermöglichen können, bleibt die Abwehr bei veralteter, weit verteilter Software schwierig. Viele Betreiber wissen nicht, dass PHP-Code auf ihren Seiten läuft, oder haben keine ausreichenden Ressourcen für schnelle Patches. Besonders kleine Anbieter, kommunale und staatliche Websites stehen vor dem Problem, Inhalte dauerhaft zu verlieren, wenn sie statt Nachbesserung offline gehen. Für Analysten ist der Vorfall ein Warnsignal: Je zugänglicher KI-Modelle und automatisierte Agenten werden, desto eher dürften langsame Schwachstellen in historisch gewachsenen Systemen gleichzeitig gefunden und ausgenutzt werden. Die offene Frage lautet, wie Sicherheitsmeldungen künftig vertraulicher, präziser und zugleich schnell genug verbreitet werden können, ohne eine unkontrollierte Exploit-Welle auszulösen. Diskutiert werden auch neue Sicherheitsabstraktionen, Start-ups sowie quelloffene Abwehrwerkzeuge, um die kritischen Schichten des Internets besser zu schützen.