Die US-amerikanische National Security Agency sandte eine alarmierende Warnung am Mittwoch heraus, dass zwei kritische Lücken in PHP gefunden worden seien, wobei die Patches bereits von der PHP Foundation veröffentlicht wurden.
PHP ist eine serverseitige Programmiersprache, die so weit verbreitet für Webanwendungen ist, dass sie rund 70% der Websites im Internet antreibt; nach manchen Angaben sind das mehr als 33 Millionen Websites. Sie wird auch von beliebten Content-Management-Systemen wie WordPress verwendet.
Die NSA warnte, dass diese Lücken so schwerwiegend sind, dass eine Website, die nicht sofort gepatcht werden kann, vom Netz genommen werden sollte, bis dies möglich ist. Die Lücken ermöglichen es Angreifern, in das Dateisystem des Servers oder in eine Datenbank einzudringen, die von der Web-App genutzt werden könnte.
Interessanterweise waren diese Lücken in allen Versionen von PHP seit Version 5 verborgen, die 2004 veröffentlicht wurde. Websites, die keine relativ aktuellen Versionen von PHP einsetzen, haben etwas Aktualisierungsarbeit vor sich, da PHP 8.1 und ältere Versionen nicht mehr unterstützt werden. Die Empfehlung lautet, den Webserver auf die aktuelle Version von PHP zu aktualisieren, nämlich 8.5.12.
Wie also kamen zwei solch allgegenwärtige, jahrzehntealte Schwachstellen, die fast jede Website im Internet betreffen, plötzlich ans Licht? Natürlich durch KI, insbesondere über OpenAI und Googles Wiz.
Das Sicherheitstestunternehmen Calif war an OpenAIs Initiative „Patch the Planet“ beteiligt, um Schwachstellen in Open-Source-Software zu finden. Mit GPT‑5.6 Sol fand es eine der Schwachstellen, wie OpenAI in einem Blogbeitragoffenlegte. Unabhängig davon nutzte das Wiz-Team ebenfalls KI, nämlich seinen Sicherheits-KI-Agenten Wiz Atlas, Gemini 4 Argon und GPT-5.6 Sol, um mehrere Schwachstellen in PHP zu finden.
Sowohl OpenAI als auch Wiz befolgten verantwortungsvolle Praktiken der Sicherheitsforschung und arbeiteten vor der öffentlichen Offenlegung der Schwachstellen mit PHP an Patches zusammen. Anschließend arbeiteten alle gemeinsam daran, ihre Ergebnisse auszuarbeiten und die Patches zu testen, wobei sie eine Reihe weiterer Helfer hinzuzogen.
Wiz bedankte sich bei Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft und Vercel. (Auch wenn WordPress-Websites PHP verwenden, hat WordPress eine Erklärung veröffentlicht , in der es heißt, dass die Schwachstelle nicht WordPress-spezifisch ist und Websites, die sein CMS betreiben, ihre Server patchen und mit ihren Webhosting-Unternehmen zusammenarbeiten müssen, um sicherzustellen, dass ihre Websites geschützt sind.)
OpenAI sagt, dass diese Schwachstellen von Forschern gefunden wurden, bevor Hacker sie entdeckten. Daher gab es keine Berichte über Ausnutzungen in freier Wildbahn. Dies liegt auch teilweise daran, dass diese Schwachstellen vor KI für Hacker zu schwer auszunutzen waren. „Mit KI ist das keine Hürde mehr. LLMs können dabei helfen, einen Exploit an verschiedene PHP-Versionen, Konfigurationen und Speicherlayouts anzupassen“, warnte Wiz in seinem Blog über die Schwachstellen.
Mit anderen Worten: Dies ist die Art von Sicherheitsproblem, die durch KI gefunden und verhindert wurde, aber auch nur durch KI ein hohes Risiko darstellt.
Jetzt, da das Problem offengelegt wurde, sind Hacker vollständig im Bilde. Das Rennen läuft: Das Internet muss Zehnmillionen von Websites patchen, bevor Hacker die ungepatchten angreifen können. Daher der Rat der NSA, dass man seine PHP-Website besser offline nimmt, wenn man sie nicht sofort patchen kann, bis dies möglich ist.