IT之家 Meldung vom 22. Oktober: Das Unternehmen OpenAI veröffentlichte gestern (21. Oktober) einen Blogbeitrag, in dem es ankündigte, dass im Rahmen seiner Initiative „Patch the Planet“ Sicherheitsforscher bei der Entdeckung zweier schwerwiegender Schwachstellen in der Programmiersprache PHP unterstützt wurden,und dass gemeinsam mit dem PHP-Team, Sicherheitsunternehmen, Cloud-Anbietern sowie Cybersicherheitsbehörden mehrerer Länder eine koordinierte Behebung über einen Zeitraum von etwa zwei Monaten vor der öffentlichen Offenlegung abgeschlossen wurde.
Das Sicherheitsunternehmen Calif entdeckte mit Unterstützung von OpenAIs Modell GPT-5.6 Sol eine der kritischen Schwachstellen; Wiz, ein Unternehmen von Google, entdeckte und meldete die betreffende Schwachstelle unabhängig. Die offiziellen PHP-Verantwortlichen leiteten die Schwachstellenvalidierung, die Entwicklung der Behebung und die Veröffentlichung der Versionen, während OpenAI, Wiz, Cloudflare und andere Forschung, technische Unterstützung und organisationsübergreifende Koordination bereitstellten, um vor der öffentlichen Offenlegung Schutzmaßnahmen vorzubereiten.
Laut OpenAI ist dies ein Fall, in dem KI an der Grenze des Technisch Möglichen hochriskante Schwachstellen vor den Angreifern entdeckte und den Verantwortlichen und Verteidigern ein sogenanntes „Verteidigerfenster“ verschaffte. Das Unternehmen räumte jedoch ein, dass dieselben KI-Fähigkeiten von Angreifern zur schnelleren Entwicklung von Angriffswerkzeugen und Exploits genutzt werden könnten – Sicherheitsrisiko und Verteidigungswert bestehen nebeneinander.
Wie IT之家 zuvor berichtete, werden die beiden aufgedeckten Schwachstellen gemeinsam als „PHP2Shell“ bezeichnet,mit den Bezeichnungen CVE-2026-109618 und CVE-2026-109619, beide mit einem CVSS-v4.0-Score von 9.2.
PHP ist eine Open-Source-Skriptsprache, die weltweit zahlreiche Websites und Webanwendungen trägt; Branchenschätzungen zufolge sind etwa 70% der Websites auf sie angewiesen.Diese Schwachstelle könnte unauthentifizierten Angreifern die Remote-Ausführung von Code ermöglichen, wodurch sie Websiteinhalte manipulieren, sensible Daten auslesen oder Server kompromittieren könnten.Die PHP Foundation hat am 21. Oktober ein dringendes Sicherheitsupdate veröffentlicht; die behobenen Versionen umfassen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Um Betreibern bei der Risikoprüfung zu helfen, hat OpenAI ein PHP-Versionsprüfungswerkzeug als Codex-Skill veröffentlicht, mit dem Administratoren möglicherweise betroffene PHP-Versionen identifizieren und in Verbindung mit den offiziellen Upgrade-Hinweisen eine geeignete Behebung bestimmen können.
OpenAI empfiehlt Organisationen, die PHP einsetzen, die Patches umgehend anzuwenden, die Angreifbarkeit ihrer Systeme zu prüfen und gemäß den Risikopriorisierungsrichtlinien der CISA entweder eine Notfallbehebung, eine vorläufige Minderung oder eine geplante Aktualisierung durchzuführen.
OpenAI kündigte gleichzeitig an, 1 Milliarde US-Dollar (Anmerkung von IT之家: zum aktuellen Wechselkurs etwa 6,691 Milliarden RMB) bereitzustellen und über „Daybreak for Frontline Defenders“ Organisationen mit begrenzten Sicherheitsressourcen und Verantwortung für kritische Dienste vergünstigten Zugang zu ermöglichen, damit sie KI für die Schwachstellensuche, Systemüberwachung und Notfallreaktion nutzen können.
Das Unternehmen stellte außerdem einen auf das KI-Zeitalter ausgerichteten Rahmen für die Schwachstellenreaktion vor, der fünf Phasen umfasst: Upstream-Validierung und Behebung, frühzeitige Benachrichtigung betroffener Organisationen, Zusammenarbeit mit Regierungen, Vorbereitung produktübergreifender Updates sowie Bereitstellungsunterstützung nach der Veröffentlichung des Patches.
Weiterführende Lektüre: