Schwere Sicherheitslücken in PHP führen zu weltweiten Website-Abschaltungen

Nach der Entdeckung kritischer Sicherheitslücken in der weit verbreiteten Programmiersprache PHP haben zahlreiche staatliche Institutionen weltweit ihre Webseiten vorübergehend offline genommen. Die Schwachstellen, die über Jahre unentdeckt blieben, wurden mithilfe von Künstlicher Intelligenz (KI) aufgespürt. Dies löste eine weltweite Sicherheitsreaktion aus, da Experten vor einer massiven Welle von Hackerangriffen warnen.

Die Entwickler von PHP veröffentlichten am Mittwoch dringende Korrekturen und riefen alle Nutzer zu sofortigen Updates auf. Die Programmiersprache, die in den frühen 1990er Jahren als „Personal Home Page“ begann, bildet das Fundament für einen Großteil des öffentlichen Internets. Sie ist integraler Bestandteil bekannter Systeme wie WordPress, Drupal, Joomla und Magento. Tiffany Farriss, die vorläufige Geschäftsführerin der Drupal Association, betonte die Tragweite der Situation und erklärte, dass alle Server, die eine PHP-Version der letzten 20 Jahre nutzen, gefährdet seien. Dies betreffe einen Großteil des Internets.

Die Entdeckung der Fehler erfolgte durch den Einsatz von KI-Technologien. Laut Berichten der Cybersicherheitsunternehmen Calif und Wiz wurden die Schwachstellen mithilfe von Sprachmodellen und autonomen KI-Werkzeugen wie Wiz Atlas sowie Googles Gemini 4 Argon und OpenAIs GPT-5.6 Sol identifiziert. Das Unternehmen Calif gab an, die Fehler bereits am 1. August mithilfe eines Large Language Models entdeckt zu haben und seither an einer Lösung gearbeitet zu haben. Während die Fehler für menschliche Hacker manuell extrem schwer zu finden und zu skalieren gewesen wären, ermöglicht KI nun eine schnelle und großflächige Ausnutzung. Wiz betonte, dass die manuelle Arbeit vor der Ära der KI zwar schwierig, aber die Skalierung der Angriffe kaum möglich gewesen wäre, was durch KI nun kein Hindernis mehr darstellt. Costin Raiu, Mitbegründer der Sicherheitsfirma TLP:Black, beschrieb die Lage als einen durch KI befeuerten Wettlauf, der letztlich zur Kompromittierung fast aller verwundbaren Webserver führen könnte.

In Europa reagierten Behörden und Organisationen mit präventiven Abschaltungen. In den Niederlanden nahmen das nationale Cybersicherheitszentrum, das Regierungsportal Overheid.nl, der Hafen von Rotterdam, der nationale Fußballverband KNVB sowie die Websites der fünf größten politischen Parteien und mehrerer Krankenhäuser vom Netz. Auch der niederländische Ministerpräsident gab an, die Situation genau zu beobachten. In Finnland wurden staatliche Netzwerkdienste durch den Anbieter Valtori vorsorglich abgeschaltet, während das französische Innenministerium alle seine Webseiten in eine präventive Wartung versetzte. In Dänemark schaltete das IT-Unternehmen Kombit unter anderem die nationale Kommunikationsplattform für Schulen ab.

Auch große private Plattformen reagierten. Der Betreiber der Online-Enzyklopädie Wikipedia sowie das Internet Archive meldeten vorübergehende Ausfälle, um ihre Systeme sicher zu patchen. Amazon berichtete, dass das Sicherheitsteam des Tech-Giganten bereits am 17. Oktober, vier Tage vor der öffentlichen Bekanntgabe, einen Versuch registriert hatte, die Schwachstellen an einem sogenannten „Honeypot“-System auszunutzen. Dieser Versuch stammte von einer anonymen Internetadresse, wobei unklar blieb, wie der Akteur vor der Sperrfrist von den Fehlern erfuhr. Laut Amazon werden die Fehler mittlerweile bereits im großen Stil ausgenutzt. Auch die japanische Premierministerin Sanae Takaichi mahnte in einem Beitrag auf X an, dass Website-Besitzer prüfen sollten, ob ihre Seiten PHP nutzen, und sich auf die Anwendung der neuen Fixes vorbereiten müssten. Das Weiße Haus teilte zudem mit, am Freitag über die Schwachstelle informiert worden zu sein.

Die Verwundbarkeit ist besonders hoch bei kleineren Websites, die auf PHP basieren und von Einzelpersonen oder Organisationen mit begrenzten technischen Ressourcen verwaltet werden, oft auf Shared-Hosting-Diensten, bei denen die Kunden die zugrunde liegenden Server nicht selbst kontrollieren. Daten des Unternehmens Censys zeigen das Ausmaß der Gefahr: Von etwa 2,6 Millionen Hosts nutzen rund 1,5 Millionen eine PHP-Version, für die bisher noch kein Fix verfügbar ist. Während Automattic, der Betreiber von WordPress.com, erklärte, dass Nutzer seiner gehosteten Lösungen sowie Tumblr sicher seien, mahnen Experten wie Lukasz Olejnik vom King’s College London, dass KI-gestützte Angriffe auf ungepatchte Server verheerende Folgen haben könnten, da die Ausnutzung durch KI nahezu instantan erfolgen kann. Laut W3Techs werden etwa 75 % aller identifizierbaren Websites mit PHP betrieben.