KI entdeckt kritische Jahrzehnte alte PHP-Sicherheitslücken und löst dringende globale Web-Sicherheitsreaktion aus

Image: TechCrunch · Source

KI-gestützte Werkzeuge von OpenAI und Google haben schwerwiegende Sicherheitslücken in PHP identifiziert, die seit 2004 bestehen. Dies führte zu einer koordinierten Reaktion mit großen Technologieunternehmen und dringenden Patch-Empfehlungen der NSA zum Schutz von Millionen Websites.

NSA warnt am 21. Oktober 2026 vor kritischen PHP-Sicherheitslücken, entdeckt durch KI

Am 21. Oktober 2026 gab die US-amerikanische National Security Agency (NSA) eine ernste Warnung zu zwei kritischen Sicherheitslücken in PHP heraus, einer weitverbreiteten serverseitigen Programmiersprache, die etwa 70 % der Websites weltweit betreibt – darunter viele, die beliebte Content-Management-Systeme wie WordPress verwenden. Die Schwachstellen, die Angreifern den Zugriff auf Dateisysteme oder Datenbanken betroffener Webserver ermöglichen, stammen aus der PHP-Version 5, die 2004 veröffentlicht wurde. Das bedeutet, dass unzählige Websites fast zwei Jahrzehnte lang potenziell gefährdet waren.

Patches und dringende Empfehlungen

Die PHP Foundation hat bereits Patches zur Behebung dieser Schwachstellen veröffentlicht. Die NSA empfiehlt dringend, Websites, die diese Updates nicht sofort einspielen können, offline zu nehmen, um eine Ausnutzung zu verhindern. Versionen älter als PHP 8.1 werden mittlerweile nicht mehr unterstützt, weshalb ein Upgrade auf PHP 8.5.12 oder höher für die Sicherheit unerlässlich ist.

Wesentliche Rolle der Künstlichen Intelligenz bei der Entdeckung

Diese langjährigen Sicherheitslücken wurden durch Fortschritte in der KI offenbar. Die OpenAI-Initiative "Patch the Planet" nutzte ihr Modell GPT-5.6 Sol, um eine solche Schwachstelle zu entdecken. Parallel dazu setzte die Sicherheitsfirma Wiz ihre KI-gesteuerten Tools ein, darunter den Wiz Atlas-Sicherheitsagenten, Gemini 4 Argon und GPT-5.6 Sol, um weitere Schwachstellen in PHP zu identifizieren.

Verantwortungsvolle Offenlegung und Zusammenarbeit

Sowohl OpenAI als auch Wiz folgten verantwortungsvollen Offenlegungsprotokollen und arbeiteten eng mit der PHP Foundation zusammen, um Patches zu entwickeln und zu validieren, bevor die Informationen öffentlich gemacht wurden. Die Anstrengungen wurden zu einer breiten Koalition ausgeweitet, an der Technologieführer wie Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft und Vercel beteiligt sind, um eine schnelle Bewertung und Verbreitung der Fixes sicherzustellen. Obwohl WordPress PHP verwendet, stellte WordPress klar, dass die Schwachstellen nicht spezifisch für sein Content-Management-System sind und forderte Nutzer auf, mit ihren Hosting-Anbietern zusammenzuarbeiten, um ihre Installationen zu schützen.

Auswirkungen und zukünftige Risiken

OpenAI betonte, dass die Fehler von Forschern entdeckt wurden, bevor irgendwelche bekannten Hacker sie ausnutzten – ein Zeitfenster, das wohl durch die bisher schwierige Erkennung und Ausnutzung solch tief verwurzelter Probleme ermöglicht wurde. Gleichzeitig warnte Wiz davor, dass die Verbreitung großer Sprachmodelle es Angreifern erleichtert, Exploits an verschiedene PHP-Versionen und -Konfigurationen anzupassen, was das Risikoprofil erhöht.

Paradox der KI in der Cybersicherheit und globale Herausforderungen

Dieses Ereignis verdeutlicht ein Paradoxon in der Rolle der KI in der Cybersicherheit: Sie ist maßgeblich für die Entdeckung und Prävention hochriskanter Sicherheitslücken verantwortlich, verkürzt jedoch gleichzeitig den Zeitraum zwischen Offenlegung und Ausnutzung durch böswillige Akteure. Die anhaltende Herausforderung für das globale Internet-Ökosystem besteht darin, schnellstmöglich Millionen von PHP-betriebenen Websites zu patchen, um potenzielle Angriffe zu verhindern. Die NSA fordert dringend zu sofortigem Handeln oder temporärem Abschalten der Seiten auf, was die Dringlichkeit dieses kritischen Sicherheitsvorfalls unterstreicht.