Ein PHP-Fehler, den alle als harmlos abgehakt hatten, entpuppte sich als Weg zur vollen Kontrolle über einen Server, und ein Forscher mit KI-Werkzeugen brauchte weniger als zwei Wochen, um das zu zeigen. Der Bericht von IEEE Spectrum über PHP2Shell verdient Aufmerksamkeit, weil das beschriebene Muster, alte als 'nur ein Absturz' eingestufte Fehler werden ernst, sobald die KI die schwierige Analyse übernimmt, weit über eine einzelne Sprache hinausreicht. PHP betreibt noch einen großen Teil des Webs, die gefährdeten Seiten waren also keine Nischenseiten.
Der Fehler selbst ist ein Speichermangel-Fehler, bei dem ein Datenstück weniger Platz bekommt, als es braucht. Für sich genommen stürzt dadurch meist nur das Programm ab, weshalb er 2024 an die PHP Foundation gemeldet und nicht behoben wurde. Anfang 2026 bot die Sicherheitsfirma Calif an, PHP zu prüfen, wobei OpenAI die Arbeit bezahlte. In weniger als zwei Wochen machte ein Calif-Forscher mit KI-Werkzeugen aus dem Absturz die Ausführung beliebigen Codes: die Möglichkeit, jeden Code auf dem Rechner laufen zu lassen. Wiz und OpenAI bestätigten dann die Fehler und fanden weitere. Die Behebung beschäftigte vier Ingenieure zwei Monate, und das Problem wurde Ende Oktober 2026 öffentlich, die Sicherheitsmitteilung der Foundation ist auf den 21. Oktober datiert. Soweit bekannt, gab es vor dem Patch keine Angriffe.
Der technische Punkt der Fachleute ist der, der hängen bleibt. Suman Jana von der Columbia University beschreibt das Ausnutzen eines solchen Fehlers als die Suche danach, an welche Speicherstelle genau zu springen und welche Bits in welcher Reihenfolge zu überschreiben sind: keine Raketenwissenschaft, sagt er, sondern mühsames, spezifisches Nachdenken, das die KI jetzt gut erledigt. Er fügt sorgfältig hinzu, dass die KI das nicht allein kann und vor allem starke Fachleute schneller macht, während sie Leute knapp darunter zu ähnlicher Arbeit befähigt.
Das passt zu dem, was wir anderswo gesehen haben. OpenAI hat ähnliche Abläufe gegen den Linux-Kernel laufen lassen, und in unserer Rezension zu GPT-6 Cyber halten wir die Angaben desselben Anbieters zum Finden und Ausnutzen von Fehlern in großem Maßstab fest. Der rote Faden ist, dass Entdeckung und Waffenfähigkeit immer billiger werden, während die menschliche Arbeit des Patchens das nicht tut.
Diese Schieflage ist der Haken. Jana weist darauf hin, dass Fehler finden und Fehler beheben nicht symmetrisch sind und die Lücke unfinanzierte Open-Source-Projekte am härtesten trifft. Er setzt auf Werkzeuge zur formalen Verifikation, etwa Anthropics Veröffentlichung vom 22. Oktober, bei der eine KI einen Patch und einen prüfbaren Beweis schreibt, dass er funktioniert. Matthew Green von Johns Hopkins ist weniger zuversichtlich und erwartet echte Finanzierung erst nach einem öffentlichen Desaster, das PHP2Shell nicht war. Sein praktischer Rat, und die einzige Verteidigung, die die meisten Seitenbetreiber heute haben, ist, Sicherheitsupdates zügig einzuspielen.