PHP-Sicherheitslücke: Wie OpenAI, Google und Amazon reagierten
Eine bedeutende Sicherheitslücke in PHP, einer Software, die einen Großteil des Internets betreibt, hat dazu geführt, dass Regierungsbehörden und Unternehmen Websites vorübergehend offline genommen haben, um zwei kritische Schwachstellen zu beheben.
Der japanische Premierminister Sanae Takaichi forderte Website-Betreiber auf, dringend Sicherheitsupdates zu installieren oder gefährdete Dienste vorübergehend auszusetzen.
Die Schwachstellen ermöglichen es Angreifern, ohne Anmeldung schädliche Befehle auf anfälligen Servern auszuführen. Künstliche Intelligenz half Forschern, diese Schwachstellen aufzudecken, doch Amazon entdeckte einen mutmaßlichen Ausnutzungsversuch bereits vier Tage vor der Veröffentlichung der Fixes.
PHP-Sicherheitslücke: Warum Regierungen Websites offline nahmen
PHP arbeitet im Hintergrund von Websites, verarbeitet Anfragen und interagiert mit Anwendungen und Datenbanken. Es wird von etwa 70% der Websites genutzt, deren serverseitige Programmiersprache identifiziert werden kann.
Zwei Schwachstellen, CVE-2026-109618 und CVE-2026-109619, haben jeweils eine kritische Schweregradbewertung von 9,2 von 10. Unter bestimmten Bedingungen können Hacker Schwächen in der Speicherverwaltung von PHP ausnutzen, um die Kontrolle über Server ohne Passwort zu übernehmen.
Finnland, die Niederlande und Frankreich schränkten vorübergehend staatliche Dienste ein. Auch die Wikimedia Foundation setzte einige Systeme aus, während die japanische Finanzgruppe Mitsubishi UFJ ausgewählte Online-Dienste stoppte.
Diese Abschaltungen waren Vorsichtsmaßnahmen und kein Hinweis darauf, dass diese Organisationen erfolgreich gehackt wurden. Japanische Beamte berichteten zum Zeitpunkt ihrer Erklärung von keinen damit verbundenen Schäden.
Wie KI eine jahrelang verborgene Bedrohung aufdeckte
Sicherheitsforscher nutzten KI-Tools, um Schwachstellen zu entdecken, die seit mehr als einem Jahrzehnt in den internen Abläufen von PHP verborgen waren. OpenAI erklärte, dass der Forscher Calif einen Fehler mit GPT-5.6 Sol identifizierte. Das zu Google gehörende Unternehmen Wiz identifizierte und meldete beide Schwachstellen unabhängig mit mehreren Tools, darunter Google's Gemini 4 Argon.
Die Schwachstellen betreffen die Art und Weise, wie PHP Speicher bei der Verarbeitung von Webanfragen verwaltet. Erfolgreiche Ausnutzung kann es Außenstehenden ermöglichen, Code auszuführen oder sensible Informationen zu extrahieren, was potenziell Datenbanken und Kundendaten gefährden könnte.
Die KI-Unternehmen haben PHP jedoch nicht eigenständig gepatcht. Die Wartung der Software übernahmen die Entwickler von PHP, die am 21. Oktober Notfall-Sicherheitsupdates herausgaben, unterstützt von Forschern und Infrastruktur-Anbietern.
Frühwarnung von Amazon zeigt anhaltende Gefahr
Das Bedrohungsaufklärungsteam von Amazon berichtete, dass sein MadPot-Täuschungsnetzwerk am 17. Oktober einen Versuch zur Ausnutzung der PHP-Schwachstellen entdeckte, vier Tage vor der öffentlichen Bekanntmachung.
Die Aktivität stammte von einer anonymisierten Internetadresse, aber Amazon konnte nicht feststellen, wie der mutmaßliche Angreifer von den Schwachstellen erfuhr. Es wurde nicht berichtet, dass Kunden von Amazon betroffen waren.
Nach der Bekanntmachung beobachtete Cloudflare Millionen von Ausnutzungsversuchen in seinem Netzwerk. Diese Versuche sind keine bestätigten erfolgreichen Eindringversuche.
PHP-Entwickler veröffentlichten Fixes in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Ältere, nicht unterstützte Versionen erfordern Upgrades oder geeignete, von Anbietern gewartete Fixes.
Firewalls bieten vorübergehenden Schutz, sind jedoch kein Ersatz für das Einspielen von Patches.
KI half, eine jahrzehntealte Gefahr aufzudecken. Ob daraus eine anhaltende Sicherheitskrise wird, hängt nun davon ab, wie schnell Website-Betreiber die Fixes installieren.
