Die Entdeckung von Sicherheitslücken in der Programmiersprache PHP führt zu weltweiten Internetabschaltungen

22. Oktober 2026Facebook-Symbol Ein Patchpanel für Ethernet ist am Donnerstag, 6. Juni 2024, in Portland, Oregon, zu sehen. [AP Photo/Jenny Kane]Zwei Fehler in PHP, einer Programmiersprache, die in einem großen Teil der weltweiten Web-Infrastruktur eingebettet ist, zwangen Regierungen, Unternehmen und öffentliche Einrichtungen am Mittwoch, Websites und Online-Dienste offline zu nehmen. Die Krise hat gezeigt, wie künstliche Intelligenz (KI) jahrelang verborgene Mängel in wesentlichen digitalen Systemen schnell aufdecken kann und wie dieselbe Technologie die Zeit verkürzen kann, die für deren Abwehr erforderlich ist.

PHP stand ursprünglich für „Personal Home Page“, obwohl der Name jetzt rekursiv als „PHP: Hypertext Preprocessor“ definiert wird. Im Klartext handelt es sich um Software, die hinter den Kulissen auf Webservern läuft: Wenn eine Person auf einen Link klickt, sich in einem Konto anmeldet oder ein Regierungsformular ausfüllt, kann PHP die Anfrage verarbeiten, Daten abrufen und die an den Browser zurückgesendete Seite generieren.

Es wird von vielen benutzerdefinierten Websites und Anwendungen verwendet, die Plattformen wie WordPress und Drupal verwenden, was bedeutet, dass ein Fehler in PHP nicht auf ein Unternehmen oder einen Webdienst beschränkt ist. Das Wall Street Journal, das erstmals über das Problem berichtete, sagte, dass PHP „bis zu 70 Prozent aller Websites auf der Welt antreibt“ und dass der neu aufgedeckte Fehler „von Hackern ausgenutzt werden könnte, um die Kontrolle über jedes System zu übernehmen, auf dem seine Software läuft.“ Das Journal berichtete außerdem, dass Hacker die Schwachstelle „auf viele Arten ausnutzen könnten, von denen einige nur wenige Sekunden dauern“, um nicht autorisierte Software auf einem ungepatchten Server auszuführen.

Die Schwachstellen, die gemeinsam als PHP2Shell bezeichnet werden, werden als CVE-2026-109618 und CVE-2026-109619 verfolgt. Beide erhielten einen branchenkritischen Schweregrad von 9,2 von 10 und beide können es einem Angreifer ohne Passwort, Konto oder direkten Zugriff auf einen Computer potenziell ermöglichen, Befehle aus der Ferne auf einem anfälligen Server auszuführen.

Ein Fehler betrifft, was passiert, wenn PHP den ihm zugewiesenen Speicher erschöpft, während es Daten aus einer eingehenden Webanfrage zusammenstellt. Vereinfacht ausgedrückt kann PHP mitten in der Vorbereitung seiner internen Antwort unterbrochen werden und die unvollständigen Reste später falsch behandeln, als ob sie gültig wären. Der zweite ist ein „Use-after-free“-Defekt: PHP kann einen Verweis auf Informationen behalten, nachdem der Computer den Speicher freigegeben hat, in dem er gespeichert war, sodass eine spätere Anfrage diesen veralteten Verweis ausnutzen kann.

Für einen normalen Benutzer ist die praktische Gefahr offensichtlich. Ein böswilliger Besucher könnte speziell konstruierte Anfragen an eine Website senden, die Kontrolle über das eingeschränkte Konto übernehmen, das zum Ausführen seines Webdienstes verwendet wird, für diesen Dienst sichtbare Informationen stehlen, schädliche Software installieren, Material verändern oder die Website schließen. Die Singapore Cyber ​​Security Agency warnte davor, dass eine erfolgreiche Ausnutzung eine „nicht authentifizierte Codeausführung aus der Ferne“ ermöglichen könnte – der Fachbegriff dafür, dass ein Außenstehender einen Computer dazu veranlasst, Code nach Wahl des Angreifers auszuführen.

Die Fehler betrafen PHP-Versionen von Version 5.4 bis 8.5.11. Systeme, die auf PHP 8.1 oder früher basierten, befanden sich in einer besonders prekären Lage: Diese Versionen hatten bereits das Ende ihrer Lebensdauer erreicht und erhielten keine neuen Fixes vom PHP-Projekt. Dazu gehören Systeme, auf denen Software läuft, die bis zu 14 Jahre und sieben Monate alt ist.

Die Krise hat gezeigt, wie sehr grundlegende öffentliche Dienste von gemeinsam genutzten, häufig veralteten Softwarekomponenten abhängig sind. Anstatt das Risiko einzugehen, Angriffe auf öffentlich zugängliche Systeme zuzulassen, haben Behörden in ganz Europa Dienste abgeschaltet, während Notfallupdates installiert und Systeme überprüft wurden.

Beispiele für die Auswirkungen der Sicherheitslücke sind:

Medienberichten zufolge handelte es sich bei der Krise nicht um einen einzigen zentralisierten Ausfall, der von Anfang bis Ende zeitlich begrenzt werden konnte, sondern um eine Reihe von Notausfällen öffentlicher und kommerzieller Dienste, während separate Organisationen darum kämpften, die Gefährdung einzuschätzen, Korrekturen zu installieren und den Betrieb wiederherzustellen.

Das PHP-Projekt veröffentlichte am Mittwoch gegen 9:30 Uhr Eastern Time Notfallversionen seiner Software. Das Projekt forderte die Benutzer auf, sofort zu aktualisieren. Das Patchen erfolgte jedoch nicht automatisch und erforderte Maßnahmen seitens jeder Organisation, jedes Hosting-Anbieters oder jedes Systemadministrators.

KI war sowohl für die Entdeckung der Schwachstellen als auch für die Befürchtungen hinsichtlich ihrer Verwendung als Waffe von zentraler Bedeutung. Das Sicherheitsunternehmen Calif fand die Mängel bei einer von OpenAI finanzierten Prüfung von PHP mithilfe des GPT-5.6-Sol-Modells von OpenAI, während Wiz, ein Unternehmen im Besitz von Google, unabhängig davon berichtete, die Mängel mithilfe von KI-Systemen wie Googles Gemini 4 Argon und GPT-5.6 Sol gefunden zu haben.

Laut Wiz half KI dabei, Schwachstellen aufzudecken, die „mehr als ein Jahrzehnt lang in der PHP-Codebasis verborgen geblieben waren“, und beschrieb die Episode als „KI-Wendepunkt“. Die Implikation ist nicht nur, dass eine Maschine dabei geholfen hat, einen Fehler zu finden, sondern dass eine KI-gestützte Analyse riesige und komplexe Quellcodemengen schneller durchsuchen kann als die herkömmliche manuelle Überprüfung – und dies in kritischer Infrastruktursoftware, die mit begrenzten Ressourcen gewartet wird.

Die Gefahr bestand darin, dass dieselben Systeme Angreifern dabei helfen könnten, veröffentlichte Patches zu analysieren, auf den zugrunde liegenden Fehler zu schließen und mit außergewöhnlicher Geschwindigkeit funktionierenden Angriffscode zu generieren. OpenAI selbst warnte, dass KI „Sicherheitslücken mit Auswirkungen auf das Internet“ erkennen und es Angreifern gleichzeitig ermöglichen könne, „schnell anstößige Tools und Exploits zu entwickeln“.

Thai Duong, Vorstandsvorsitzender von Calif, brachte die Bedrohung in Kommentaren des Wall Street Journal deutlich zum Ausdruck: „Irgendein Typ auf Twitter könnte die Patches nehmen, KI dagegen einsetzen und ein Exploit-Skript veröffentlichen. Die Hölle wird losbrechen.“

Dies bedeutete nicht, dass jeder Online-Angreifer sofort über eine voll funktionsfähige automatisierte Waffe verfügte. Es wurde beschrieben, dass die Mängel eine hohe Angriffskomplexität aufwiesen, obwohl sie weder ein authentifiziertes Konto noch eine Benutzerinteraktion erforderten. Aber KI hat das Tempo grundlegend verändert: Der traditionelle Zeitraum zwischen der Veröffentlichung eines Software-Patches und dem Erscheinen eines öffentlichen Exploit-Codes konnte von Tagen oder Wochen auf Stunden oder weniger verkürzt werden.

Die PHP-Krise folgt auf eine Reihe von Internet-Notfällen, bei denen ein Defekt in einer weit verbreiteten Komponente Millionen von Menschen gestört oder große Datenmengen gefährdet hat. Solche Ereignisse offenbaren immer wieder den Widerspruch zwischen dem sozialen Charakter der digitalen Infrastruktur und ihrer Unterordnung unter Privateigentum, Wettbewerbsvorteilen und Kostensenkungen.