FBI fordert sofortige Patches für durch KI entdeckte PHP-Lücken

Regierungen und Unternehmen haben die Woche damit verbracht, zwei kritische Schwachstellen in PHP zu patchen, der Programmiersprache, die bis zu 70 Prozent aller Websites antreibt. Forscher entdeckten die Lücken mithilfe künstlicher Intelligenz, und die Versuche, diese auszunutzen, nahmen nach dem Bekanntwerden der Details stark zu. Einige Cybersicherheitsexperten haben begonnen, den Moment als "Black October" zu bezeichnen, berichtete CNBC.cnbc.com

Die Fehler werden als CVE-2026-109618 und CVE-2026-109619 geführt und sind gemeinsam als "PHP2Shell" bekannt. Sie können es Angreifern ermöglichen, Code auf einem Server auszuführen, ohne sich anzumelden. PHP veröffentlichte am 21. Oktober Korrekturen für die Versionen 8.2 bis 8.5, berichtete Newsweek. In einer am Freitag herausgegebenen Mitteilung erklärte das FBI, dass "Sicherheitsupdates verfügbar sind und sofort angewendet werden sollten."time.com+1

Warnungen und Ausfälle

NSA, FBI und CISA drängten am Mittwoch alle Organisationen dazu, sofort zu patchen und Systeme offline zu nehmen, falls dies nicht möglich sei, berichtete Nextgov. "Diese Schwachstellen bieten oft einen direkten Pfad zum Dateisystem oder zur Datenbank des Servers", schrieb die NSA laut The Hill.nextgov.com+1

Regierungswebsites in Großbritannien, Finnland und Japan hatten während der Arbeiten Ausfälle oder eingeschränkte Dienste, berichtete AP. In New York nahm Broome County seine Website am Freitag "aus reiner Vorsicht" offline. County Executive Jason Garnar sagte nicht, wann sie wieder online sein würde, berichtete WSKG.wskg.org+1

Wie die Lücken gefunden wurden

Wiz ist ein Sicherheitsunternehmen im Besitz von Google Alphabet Inc. ↘ 0.66%. Im August bat der Wiz-Forscher Sagi Tzadik einen KI-Agenten, einen WordPress-Exploit für Drupal anzupassen. Der Agent scheiterte an dieser Aufgabe, stieß aber auf eine PHP-Schwachstelle, die über ein Jahrzehnt unbemerkt geblieben war, berichtete TIME. Unabhängig davon fand das Unternehmen Calif in Zusammenarbeit mit OpenAI einen verwandten Fehler. Eine Gruppe von etwa 15 Personen arbeitete dann gemeinsam an einer Lösung.time.com

Informationen über die Schwachstellen verbreiteten sich zwei Tage vor dem geplanten Patch-Datum, daher veröffentlichten die PHP-Betreuer die Korrektur einen Tag früher. Stunden später postete Calif versehentlich ein Video seines Exploits. Cloudflare ↗ 1.42% zählte innerhalb von 45 Minuten nach der öffentlichen Ankündigung zehntausende Angriffsversuche und schließlich Millionen, so TIME. Die PHP Foundation erklärte, das Problem sei seit mindestens 2024 bekannt gewesen und bezeichnete die Verzögerung als "strukturelles Versagen", berichtete AP.apnews.com+1

Rat für Nutzer

Experten sagen, dass der Großteil der Arbeit bei den Unternehmen liegt, die Websites betreiben, aber Einzelpersonen können sich dennoch schützen. Dan Guido von Trail of Bits empfahl, "automatische Updates für Telefon, Computer und Heimrouter zu aktivieren". Andere rieten zur Nutzung von Multi-Faktor-Authentifizierung und einem unterschiedlichen Passwort für jede Website, berichtete Samaa TV. "Sie können die Website Ihres Krankenhauses nicht selbst patchen", sagte Guido.samaa.tv

Der ehemalige CISA-Direktor Chris Krebs drängte kleinere Unternehmen dazu, "ständig" nach Schwachstellen zu scannen und Patches so schnell wie möglich anzuwenden. "Dies ist eine bedeutende Woche oder zwei für die Cybersicherheit", sagte er gegenüber CNBC.cnbc.com