KI-Modelle halfen dabei, zwei kritische PHP-Fehler zu finden. Hier erfahren Sie, was Websitebesitzer tun sollten
GPT-5.6 Sol von OpenAI und Gemini 4 Argon von Google halfen dabei, zwei schwerwiegende Fehler in PHP aufzudecken, der Sprache, die einem Großteil des Webs zugrunde liegt. Patches erscheinen am 21. Oktober.
Am 21. Oktober wurden zwei kritische Sicherheitslücken in PHP, der Programmiersprache, die einen Großteil der Websites ausführt, offengelegt, und KI-Modelle spielten eine echte Rolle bei der Entdeckung. Laut OpenAI hat das Modell GPT-5.6 Sol dem Sicherheitsteam von Calif geholfen, einen der Fehler im Rahmen der Initiative „Patch the Planet“ zu erkennen. Unabhängig davon hat das Sicherheitsunternehmen Wiz beide Schwachstellen selbst gefunden, indem es seine Plattform Wiz Atlas zusammen mit Gemini 4 Argon und GPT-5.6 Sol von Google nutzte. Die PHP-Betreuer veröffentlichten am selben Tag Korrekturen.
Wiz nennt die Fehler „PHP2Shell“. Sie befinden sich in der Kern-Engine von PHP und betreffen den Umgang mit schwerwiegenden Fehlern, insbesondere mit Speicherknappheit. Im Klartext: Wenn eine Anfrage stark abstürzt, kann ein Teil des beschädigten internen Status zurückbleiben, und die nächste Anfrage, die von demselben Worker bearbeitet wird, kann darüber stolpern. Die Fehler werden als CVE-2026-109618 und CVE-2026-109619 mit einem Schweregrad von bis zu 9,2 von 10 verfolgt. Das schlimmste Ergebnis ist die Remotecodeausführung, was bedeutet, dass ein Fremder Befehle auf Ihrem Server ausführen könnte, ohne sich anzumelden, oder Speicher lesen könnte, der Passwörter und API keys enthalten könnte. Wiz sagt, dass fast jede PHP-Version des letzten Jahrzehnts, zurück bis 5.4, mindestens einen der Fehler aufweist. Es demonstrierte den Angriff gegen aktuelle Container-Images WordPress, Drupal und Joomla, meldete jedoch keine Angriffe in freier Wildbahn.
Der Fix wurde über einen Zeitraum von zwei Monaten mit den PHP-Entwicklern Wiz, Cloudflare und US-Behörden, darunter CISA, koordiniert. OpenAI hat außerdem ein kleines Tool veröffentlicht, php2shell-checker, mit dem Betreiber ihre PHP-Version überprüfen können. Cloudflare, Fastly und Vercel boten vorübergehenden Schutz für Personen, die nicht sofort patchen können.
Was dahintersteckt: Früher hat die Suche nach Fehlern wie diesen für spezialisierte Forscher viel Zeit in Anspruch genommen. Frontier models beschleunigt jetzt die Suche und auch die Arbeit, einen Fehler in einen funktionierenden Angriff umzuwandeln und zu überprüfen, ob ein Patch funktioniert. Das geht in beide Richtungen. OpenAI selbst warnt davor, dass dieselben Fähigkeiten Angreifern helfen, und Wiz sagt, dass Exploits, deren Erstellung einst zu kostspielig schien, nun in greifbare Nähe gerückt sind. Wissenswert: Die Behauptungen darüber, wie viel die KI beigetragen hat, stammen von den beteiligten Unternehmen, und keiner der Beiträge enthält detaillierte Angaben zur Methode.
Was das für Sie bedeutet: Wenn Sie eine Website, einen Blog oder einen Online-Shop auf PHP betreiben (WordPress zählt), kommt es nur auf die Aktualisierung an. Fragen Sie Ihren Hosting-Anbieter, ob die PHP-Sicherheitsversion vom 21. Oktober angewendet wurde, oder führen Sie die Prüfung durch, wenn Sie Ihren eigenen Server verwalten. Das Patchen ist die einzige vollständige Lösung. Wenn Sie nur Websites besuchen, gibt es für Sie nichts zu tun, und das ist in Ordnung. Für den Rest von uns besteht die Lektion darin, dass Sicherheitspatches immer schneller und in größeren Mengen eintreffen, daher ist es eine sinnvolle Angewohnheit, automatische Updates zu aktivieren.
Quellen
Quellen: https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/
Reflection's Beam: Ein in den USA entwickeltes Open-Weight-Coding-Modell, das Sie kostenlos auf Ollama testen können
Reflection Das erste Open-Weight-Modell von AI, Beam, zielt auf Codierung und Agenten unter einer Apache 2.0-Lizenz ab und ist für eine begrenzte Zeit kostenlos auf Ollama Cloud verfügbar.
