SymbolbildMillionen Angriffsversuche nach KI-entdeckten PHP-Lücken, viele Seiten wieder online
Zwei mit KI-Werkzeugen gefundene kritische PHP-Lücken zwangen Behörden und Firmen am Mittwoch, Websites vom Netz zu nehmen. Cloudflare meldet Millionen Angriffsversuche, viele Seiten sind inzwischen zurück.
Die Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619, zusammen „PHP2Shell“ genannt, erlauben es Angreifern, ohne Anmeldung Code auf einem Server auszuführen; das PHP-Sicherheitsteam bewertet beide mit 9,2 von 10. Die PHP-Entwickler veröffentlichten am Mittwoch, 21. Oktober, einen Fix, nachdem das deutsche BSI und die US-amerikanische NSA Betreibern geraten hatten, zu patchen oder die Seiten abzuschalten. Cloudflare-Chef Matthew Prince berichtete Sky News von einigen Tausend Versuchen in den zehn Stunden vor der Ankündigung, Hunderttausenden zwei Stunden danach und seither Millionen. Viele Seiten sind nach dem Patchen wieder online.
Banken und Fluggesellschaften in Japan betroffen
Nikkei berichtet, dass Sega, All Nippon Airways und die Bank MUFG bis Donnerstag Websites oder Teile ihrer Online-Dienste abgeschaltet haben.
KI verkettete bekannte Schwächen
Laut Handelsblatt waren die Lücken lange bekannt, galten aber als unkritisch; KI ermöglichte es, sie zu einem Angriffspfad zu verketten. Die FAZ meldet unter Berufung auf das Wall Street Journal, ein Fachmann habe sie mit einem OpenAI-Modell gefunden.
Folgen in Deutschland
Volkswagen nahm zeitweise ein Händlerportal vom Netz, wie aus einer dem Handelsblatt vorliegenden internen E-Mail hervorgeht. Marc Henrichmann, Vorsitzender des Geheimdienste-Kontrollgremiums im Bundestag, sprach von einem „Wendepunkt“.