OpenAIs KI findet jahrzehntealten PHP-Fehler und koordiniert die Behebung
Ein Paar schwerwiegender Sicherheitslücken in PHP, der Skriptsprache, die einen großen Teil der Websites weltweit antreibt, hat diese Woche zu einem seltenen globalen Wettlauf gezwungen. Die Fehler wurden mit Hilfe von OpenAIs KI-Tools entdeckt und dann in einer koordinierten Eile behoben, an der Software-Maintainer, Sicherheitsfirmen, Cloud-Anbieter und nationale Cybersicherheitsbehörden beteiligt waren, so OpenAI und Sicherheitsforscher.
Die beiden Schwachstellen, unter dem Spitznamen PHP2Shell zusammengefasst und als CVE-2026-109618 und CVE-2026-109619 registriert, erreichten beide 9,2 von 10 auf der Schweregradskala CVSS v4.0. Im schlimmsten Fall könnte ein Angreifer beliebigen Code auf einem anfälligen Server ausführen, was so ziemlich das Schlimmste ist, was in der Web-Sicherheit passieren kann. Die Fehler sollen mehr als ein Jahrzehnt lang in der Codebasis geschlummert haben.
Die Entdeckung stammt aus OpenAIs Programm Patch the Planet, einer Initiative, die KI-Modelle mit Sicherheitsforschern zusammenbringt, um nach Schwachstellen in weit verbreiteter Open-Source-Software zu suchen. Das Sicherheitsunternehmen Calif und die Cloud-Sicherheitsfirma Wiz sollen die PHP-Probleme im August unabhängig voneinander mit KI-Unterstützung aufgedeckt haben. Es folgten etwa zwei Monate stiller Arbeit, um Korrekturen vorzubereiten, bevor jemand die Fehler weaponisieren konnte.
Dieser Plan wurde gestört, als am 20. Oktober Details durchsickerten, offenbar vor dem koordinierten Veröffentlichungsdatum. Das Leck versetzte die PHP-Betriebsteams in eine lange Nacht, während Administratoren hastig ihre Exposition bewerteten und Gegenmaßnahmen ergriffen. Die PHP Foundation veröffentlichte am 21. Oktober offizielle Patches, und OpenAI veröffentlichte am selben Tag seinen Bericht über die gesamte Aktion.
Die Geschichte ist weit über Entwicklerforen hinaus von Bedeutung. PHP bildet die Grundlage für Content-Management-Systeme, Foren und Onlineshops im gesamten Internet, und Schätzungen in chinesischen Tech-Medien beziffern seine Reichweite auf etwa siebzig Prozent der Websites. Eine aus der Ferne ausnutzbare Lücke in dieser Schicht ist ein systemisches Risiko, kein Nischenproblem, weshalb sich Cloud-Anbieter und staatliche Sicherheitsbehörden an der Reaktion beteiligten.
Für OpenAI ist Patch the Planet auch eine Aussage darüber, wie KI die Schwachstellenforschung verändern könnte. Das Finden von Fehlern in großem Maßstab war traditionell langsame, manuelle Arbeit. KI-Modelle können riesige Codebasen schnell durchsuchen, aber der schwierigere Teil ist die menschliche Maschinerie, die folgt: Befunde verifizieren, Patches schreiben, Anbieter warnen und alles geheim halten, bis Benutzer aktualisieren können. Die PHP-Episode testete diese Maschinerie unter dem Druck eines Lecks.
Die Episode beleuchtet auch eine wachsende Spannung. KI-gestützte Entdeckung bedeutet, dass mehr Fehler schneller auftauchen werden, und nicht jedes Projekt hat die Maintainer oder Ressourcen, um schnell zu reagieren. Die Normen der koordinierten Offenlegung, einst eine stille Ecke der Branche, werden zu einer globalen logistischen Übung, an der Unternehmen und Behörden beteiligt sind, die selten miteinander sprechen.
Für normale Nutzer und Unternehmen bleibt der praktische Rat unverändert: Aktualisieren Sie PHP-Installationen und abhängige Software umgehend und achten Sie auf Anbieterhinweise. Für die Branche könnte die Lehre sein, dass KI jetzt Teil der Sicherheitslieferkette ist und das Rennen nicht mehr nur darum geht, Fehler zu finden, sondern sie zu beheben, bevor das Internet davon erfährt.