# KI machte alte PHP-Fehler ausnutzbar

> Forschende kombinierten KI-Tools mit menschlichem Fachwissen, um praktische Wege zur Ausnutzung von PHP-Schwachstellen zu finden. Nach der Veröffentlichung gab es Millionen Angriffsversuche, erfolgreiche Attacken wurden jedoch nicht gemeldet.

Oossa · 2026-10-24 · https://oossa.com/de/ai-helped-turn-old-php-bugs-into-usable-exploits

Laut einer von WIRED zitierten Analyse von Cloudflare gingen innerhalb weniger Stunden nach der Veröffentlichung neu entdeckter PHP-Schwachstellen Millionen Ausnutzungsversuche ein. Die gemeinsam als PHP2Shell bezeichneten Fehler veranlassten Sicherheitsteams und Webadministratoren, rasch Patches bereitzustellen.

Bislang wurde kein massenhafter Angriff gemeldet. Die PHP Foundation erklärt, ihr sei keine erfolgreiche Ausnutzung der Fehler bekannt, und viele der öffentlich kursierenden Exploits scheinen wirkungslos zu sein. WIRED nennt weder die betroffenen PHP-Versionen noch konkrete Anweisungen zum Einspielen von Patches.

## KI half Forschenden, einen Angriffsweg zu finden

Forschende des Sicherheitsunternehmens Calif entdeckten die Schwachstellen erstmals und entwickelten Anfang August Exploits – zum Teil mithilfe moderner KI-Tools im Rahmen von OpenAIs Programm Patch the Planet. Dabei kam auch menschliches Fachwissen zu PHP zum Einsatz. Forschende von OpenAI und dem zu Google gehörenden Unternehmen Wiz fanden später unabhängig davon mithilfe von KI-Tools ebenfalls PHP2Shell-Schwachstellen.

Einige der zugrunde liegenden Probleme waren bereits 2024 bekannt, galten jedoch als zu schwer auszunutzen. Der Wiz-Forscher Sagi Tzadik sagte, das PHP-Team habe von der Schwachstelle seit Jahren gewusst, sie aber nicht behoben, weil ein menschlicher Angreifer sie nicht hätte ausnutzen können. KI machte aus einer zuvor praktisch nicht ausnutzbaren Schwachstelle eine konkrete Angriffsmöglichkeit.

## Mehr Druck, aber kein automatisches Hacken

Der Fall zeigt, wie KI die Analyse und Ausnutzung von Schwachstellen beschleunigen und damit den Druck auf Sicherheitsteams erhöhen kann, die ohnehin schon eine große Zahl von Sicherheitslücken bewältigen müssen. WIRED zufolge umfassten die Sicherheitsupdates von Microsoft in diesem Monat die Rekordzahl von 1.453 Schwachstellen. Außerdem stellte die Bank of America 1.000 Berater ein, um von Anthropics Mythos entdeckte Schwachstellen zu beheben.

Die von WIRED zitierten Forschenden warnen davor, anzunehmen, KI werde jeden alten Fehler aufdecken. Der Calif-Forscher Ryan Austin sagte, kein Modell könne mit einfachen Eingaben alle Fehler finden; andere Fachleute betonten, dass die PHP-Entdeckung ein erfahrenes Team erforderte. Ein Forscher wies zudem darauf hin, dass PHP im Internet besonders weit verbreitet ist. Das macht die Sprache zu einem ungewöhnlichen Ziel und ist kein Beleg dafür, dass sich jeder alte Softwarefehler bald ausnutzen lässt.

## Die Fakten

- Laut einer von WIRED zitierten Analyse von Cloudflare gab es innerhalb weniger Stunden nach der Veröffentlichung der Schwachstellen Millionen Ausnutzungsversuche gegen PHP2Shell.
- Die PHP Foundation erklärt, ihr sei keine erfolgreiche Ausnutzung der Fehler bekannt.
- Forschende von Calif entdeckten PHP2Shell zuerst und entwickelten Anfang August Exploits, teilweise mithilfe von KI-Tools im Rahmen von OpenAIs Programm Patch the Planet.
- Einige der zugrunde liegenden PHP-Probleme waren bereits 2024 bekannt, galten damals jedoch als zu komplex, um sie auszunutzen.
- Laut WIRED umfassten die Sicherheitsupdates von Microsoft in diesem Monat 1.453 Schwachstellen.

## Warum es wichtig ist

Für Administratoren von PHP-Systemen ist der Bericht von WIRED ein Anlass, öffentlich bekannt gemachte Schwachstellen ernst zu nehmen: Die Ausnutzungsversuche begannen rasch, auch wenn keine erfolgreichen Angriffe gemeldet wurden. WIRED nennt weder die betroffenen Versionen noch konkrete Patches. Administratoren sollten daher die offiziellen PHP-Hinweise prüfen, statt selbst abzuleiten, ob ihre Systeme gefährdet sind.

## Quellen und Referenzen

1. [The PHP Meltdown Shows How AI Makes Bugs More Exploitable](https://www.wired.com/story/kernel-panic-the-php-meltdown-shows-how-ai-makes-bugs-more-exploitable/) – Wired, 2026-10-24

Zuletzt aktualisiert: 2026-10-24