Ein Paar kritischer Schwachstellen in PHP, der Programmiersprache, auf der schätzungsweise 70 % aller Websites laufen, löste diese Woche einen globalen Patch-Wettlauf aus, nachdem Forscher zeigten, dass die Fehler Angreifern ohne Passwort die Kontrolle über Server verschaffen könnten.
Die Schwachstellen wurden mithilfe von OpenAI-Modellen in Zusammenarbeit mit den Sicherheitsfirmen Wiz und Calif gefunden. Die Gruppe taufte das Fehlerpaket PHP2Shell. Eine der Schwachstellen steckte seit 14 Jahren in der Sprache.
Was die Schwachstelle ermöglicht
Angreifer könnten betroffene Webserver ohne Authentifizierung übernehmen und Speicher lesen, der Passwörter und Sitzungsdaten enthalten kann. Da PHP unter WordPress, Drupal und einer langen Liste individueller Websites liegt, reicht die Exposition bis in Krankenhäuser, Einzelhändler und Regierungsportale, nicht nur in Technologieunternehmen.
Wiz verglich die Schwere mit Heartbleed, dem Verschlüsselungsfehler von 2014, der Daten in weiten Teilen des Webs offenlegte. Forscher sagten, der Fehler sei so anspruchsvoll, dass er an der Grenze dessen liege, was menschliche Analysten ausnutzen könnten, und einfach für einen KI-Agenten, der Angriffsschritte selbstständig ausführen kann.
Wer Organisationen zum Handeln aufforderte
Die US-National Security Agency und die Cybersicherheitsbehörde der Europäischen Union rieten zu sofortigem Patchen. Beide sagten, Systeme, die nicht schnell aktualisiert werden könnten, sollten offline genommen werden. Einige europäische Regierungswebsites taten genau das, und Teile ihrer öffentlichen Dienste waren einen Tag lang nicht erreichbar.
Cloudflares Technologiechef Dane Knecht sagte, das Unternehmen habe frühe Angriffsversuche gesehen, bevor der Patch öffentlich wurde. OpenAI veröffentlichte ein Tool, mit dem Administratoren prüfen können, ob eine Installation exponiert ist.
Warum die Offenlegung überstürzt war
Details gelangten diese Woche online, was die PHP-Maintainer zwang, die Warnung und das Update früher als geplant zu veröffentlichen. Das verkürzte die Lücke zwischen Warnung und Ausnutzung – die Lücke, auf die Verteidiger am meisten angewiesen sind.
Die Episode hat zwei Seiten. KI fand einen Fehler, den jahrelange menschliche Prüfung übersehen hatte, und dieselbe Fähigkeit kann Angreifern helfen, Exploits schneller zu schreiben. Sicherheitsteams stehen nun vor einer einfachen Prüfung: patchen oder trennen.