Laut einer von WIRED zitierten Analyse von Cloudflare gingen innerhalb weniger Stunden nach der Veröffentlichung neu entdeckter PHP-Schwachstellen Millionen Ausnutzungsversuche ein. Die gemeinsam als PHP2Shell bezeichneten Fehler veranlassten Sicherheitsteams und Webadministratoren, rasch Patches bereitzustellen.
Bislang wurde kein massenhafter Angriff gemeldet. Die PHP Foundation erklärt, ihr sei keine erfolgreiche Ausnutzung der Fehler bekannt, und viele der öffentlich kursierenden Exploits scheinen wirkungslos zu sein. WIRED nennt weder die betroffenen PHP-Versionen noch konkrete Anweisungen zum Einspielen von Patches.
KI half Forschenden, einen Angriffsweg zu finden
Forschende des Sicherheitsunternehmens Calif entdeckten die Schwachstellen erstmals und entwickelten Anfang August Exploits – zum Teil mithilfe moderner KI-Tools im Rahmen von OpenAIs Programm Patch the Planet. Dabei kam auch menschliches Fachwissen zu PHP zum Einsatz. Forschende von OpenAI und dem zu Google gehörenden Unternehmen Wiz fanden später unabhängig davon mithilfe von KI-Tools ebenfalls PHP2Shell-Schwachstellen.
Einige der zugrunde liegenden Probleme waren bereits 2024 bekannt, galten jedoch als zu schwer auszunutzen. Der Wiz-Forscher Sagi Tzadik sagte, das PHP-Team habe von der Schwachstelle seit Jahren gewusst, sie aber nicht behoben, weil ein menschlicher Angreifer sie nicht hätte ausnutzen können. KI machte aus einer zuvor praktisch nicht ausnutzbaren Schwachstelle eine konkrete Angriffsmöglichkeit.
Mehr Druck, aber kein automatisches Hacken
Der Fall zeigt, wie KI die Analyse und Ausnutzung von Schwachstellen beschleunigen und damit den Druck auf Sicherheitsteams erhöhen kann, die ohnehin schon eine große Zahl von Sicherheitslücken bewältigen müssen. WIRED zufolge umfassten die Sicherheitsupdates von Microsoft in diesem Monat die Rekordzahl von 1.453 Schwachstellen. Außerdem stellte die Bank of America 1.000 Berater ein, um von Anthropics Mythos entdeckte Schwachstellen zu beheben.
Die von WIRED zitierten Forschenden warnen davor, anzunehmen, KI werde jeden alten Fehler aufdecken. Der Calif-Forscher Ryan Austin sagte, kein Modell könne mit einfachen Eingaben alle Fehler finden; andere Fachleute betonten, dass die PHP-Entdeckung ein erfahrenes Team erforderte. Ein Forscher wies zudem darauf hin, dass PHP im Internet besonders weit verbreitet ist. Das macht die Sprache zu einem ungewöhnlichen Ziel und ist kein Beleg dafür, dass sich jeder alte Softwarefehler bald ausnutzen lässt.
Warum es wichtig ist
Für Administratoren von PHP-Systemen ist der Bericht von WIRED ein Anlass, öffentlich bekannt gemachte Schwachstellen ernst zu nehmen: Die Ausnutzungsversuche begannen rasch, auch wenn keine erfolgreichen Angriffe gemeldet wurden. WIRED nennt weder die betroffenen Versionen noch konkrete Patches. Administratoren sollten daher die offiziellen PHP-Hinweise prüfen, statt selbst abzuleiten, ob ihre Systeme gefährdet sind.
