EFF fordert Unternehmensfinanzierung nach KI-Fund von PHP2Shell-Lücken

Zwei kritische Sicherheitslücken in PHP, der Programmiersprache hinter einem Großteil des Webs, wurden am Mittwoch, den 21. Oktober, geschlossen. OpenAI gibt an, dass ihr GPT-5.6 Sol-Modell bei der Entdeckung geholfen hat. Die Schwachstellen, CVE-2026-109618 und CVE-2026-109619, sind zusammen als PHP2Shell bekannt. Laut der Einheit Unit 42 von Palo Alto Networks ↗ 7.22% handelt es sich bei beiden um Fehler zur Remotecodeausführung mit einem CVSS 4.0-Wert von 9,2. Nun warnen Vorkämpfer für digitale Rechte und Branchenvertreter davor, dass KI-gestützte Fehlersuche mehr Schwachstellen produziert, als die Freiwilligen, die Open-Source-Software warten, bewältigen können.eff.org

Eine überstürzte Offenlegung

Der Zeitplan der PHP Foundation zeigt, dass Calif den ersten Bericht am 11. August einreichte. Wiz meldete am 24. August überschneidende Probleme, und OpenAI berichtete laut TechRound am 18. September unabhängig von derselben Ursache. OpenAI erklärte, dass Calif eine der Lücken mit GPT-5.6 Sol im Rahmen ihres Patch the Planet-Programms gefunden habe, berichtete Mashable. Wiz Alphabet Inc. ↘ 1.08% gab laut ABC7 an, eigene Tools zusammen mit Googles Gemini 4 Argon und GPT-5.6 Sol verwendet zu haben.techround.co.uk+2

Korrekturen für PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 wurden einen Tag früher als geplant veröffentlicht, nachdem die CVE-IDs am 20. Oktober online durchgesickert waren. Chainguard veröffentlichte zudem mehr als sechs Stunden vor der koordinierten Veröffentlichung korrigierte Container-Images, so die Stiftung. Amazon Web Services Amazon.com, Inc. ↘ 0.95% meldete einen Ausnutzungsversuch vom 17. Oktober. Unit 42 zählte mehr als 22,6 Millionen exponierte Instanzen, die anfällig sein könnten. Sie beobachteten auch Angreifer, die nach dem Einbruch agentenbasierte KI-Tools einsetzten, darunter einen Angriff auf eine europäische Regierungsbehörde, bei dem innerhalb von zwei Stunden Passwort-Hashes erreicht wurden.unit42.paloaltonetworks.com+1

Ein Anstieg von KI-gefundenen Fehlern

OpenAI erklärte, dass die PHP-Lücken zu den mehreren bedeutenden Schwachstellen gehören, die sie gefunden haben, und erwartet, dass "ähnliche Funde stark zunehmen werden", wie von Techmeme zusammengefasst. Bloomberg berichtete, dass Banken, Fluggesellschaften und Regierungen vorsorglich Webseiten offline nahmen. Zudem wurde berichtet, dass ein leitender Angestellter von Anthropic warnte, dass solche Störungen "viel schlimmer werden, bevor sie besser werden".news.bloomberglaw.com+1

Das Sicherheitsteam der PHP Foundation hat seit dem 1. Juli 15 CVEs veröffentlicht. Im gleichen Zeitraum bearbeiteten sie mehr als 100 Berichte, die ungültig waren, Duplikate darstellten oder nicht reproduziert werden konnten, berichtete TechRound.techround.co.uk

EFF fordert Unternehmensfinanzierung

In einem am 23. Oktober veröffentlichten Beitrag erklärte die Electronic Frontier Foundation, dass allein im Oktober 13.000 neue CVEs eingereicht wurden. Sie führte den Anstieg "fast vollständig" auf KI-Modelle von Anthropic, OpenAI und Google zurück. Die Gruppe gab an, dass mehr als 33 Millionen Websites weiterhin anfällige PHP-Versionen ausführten. Sie fügte hinzu, dass Betreuer, die mit einer "Flut" von Berichten konfrontiert sind, unter rekordverdächtigem Burnout leiden.eff.org

"Unternehmen (deren Produkte ohne diese Software nicht existieren würden), sollten aktiv zu deren Wartung beitragen", schrieb die EFF.eff.org