Zahlreiche öffentliche Einrichtungen haben ihre Webseiten wegen zweier kritischer PHP-Sicherheitslücken vorsorglich vom Netz genommen. Auch Unternehmen müssen prüfen, ob ihre Internetangebote betroffen sind. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor zwei Schwachstellen, die Angreifern das Ausführen von Schadcode auf verwundbaren Webservern ermöglichen könnten. Sicherheitsupdates sind verfügbar und sollen umgehend installiert werden.
Wie KI die PHP-Sicherheitslücken aufdeckte
Hinter der Entdeckung steht eine Zusammenarbeit mehrerer Sicherheitsforscher und Technologieunternehmen. Beteiligt waren unter anderem das Cybersicherheitsunternehmen Wiz, OpenAI, Quarkslab und Calif.io. Eine besondere Rolle spielte dabei Künstliche Intelligenz.
Wie Google Cloud mitteilte, setzte das Forschungsteam von Wiz verschiedene KI-Modelle ein, um die Schwachstellen aufzuspüren und ihre Behebung zu unterstützen. Besonders das KI-Modell Gemini 4 Argon von Google DeepMind trug dazu bei, eine Sicherheitslücke zu identifizieren, mögliche Angriffe zu entwickeln und die Wirksamkeit der späteren Korrekturen zu überprüfen.
Die KI half damit nicht nur bei der Suche nach Fehlern im Programmcode. Sie unterstützte die Forschenden auch dabei, nachzuvollziehen, wie Angreifer die Schwachstellen ausnutzen könnten. Diese Erkenntnisse flossen in die Entwicklung und Überprüfung der Sicherheitsupdates ein.
Der Fall zeigt, welche Bedeutung KI inzwischen für die IT-Sicherheitsforschung hat. Komplexe Schwachstellen lassen sich mit ihrer Unterstützung untersuchen und mögliche Angriffsszenarien überprüfen. Gleichzeitig können vergleichbare Werkzeuge auch von Angreifern eingesetzt werden, um veröffentlichte Sicherheitskorrekturen zu analysieren und daraus Angriffsmöglichkeiten abzuleiten.
Was PHP mit der Firmenwebsite zu tun hat
PHP ist eine Programmiersprache, die auf Webservern im Hintergrund arbeitet. Sie bildet eine technische Grundlage für zahlreiche Internetangebote – von Blogs über Onlineshops bis zu Systemen zur Verwaltung von Webseiteninhalten. Auch Unternehmen, die ihren Internetauftritt vollständig von Dienstleistern betreuen lassen, können sie deshalb einsetzen.
Die beiden Schwachstellen werden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt. Sie betreffen die Verarbeitung interner Speicherzustände. Unter bestimmten Bedingungen könnten Angreifer dadurch Schadcode aus der Ferne ausführen oder auf sensible Informationen zugreifen.
Für eine Ausnutzung sind laut BSI weder eine Anmeldung noch eine Mitwirkung der Nutzer erforderlich. Eine Firmenwebsite kann damit zum Angriffspunkt werden, ohne dass Beschäftigte zuvor einen verdächtigen Link anklicken oder einen schädlichen Anhang öffnen.
Besondere Aufmerksamkeit benötigen ältere PHP-Versionen. Für nicht mehr offiziell unterstützte Versionen stellt das PHP-Projekt keine regulären Sicherheitsupdates bereit. Unternehmen müssen deshalb klären, ob ein Update verfügbar ist oder eine Umstellung auf eine unterstützte Version erforderlich wird.
Betroffenheit und Zuständigkeit klären
Der erste Schritt für Unternehmen ist eine konkrete Anfrage an die interne IT oder den betreuenden Dienstleister: Welche unserer Internetangebote nutzen PHP, sind sie betroffen und wurden die erforderlichen Updates bereits installiert?
Übernehmen Webagentur und Hosting-Anbieter unterschiedliche Aufgaben, sollte ein Ansprechpartner die Prüfung koordinieren. Welche Bedeutung die Sicherheit externer Anwendungen hat, zeigt auch der Cyberangriff auf eine Autohaus-Software, bei dem sensible Kunden- und Geschäftsdaten erbeutet wurden.
Für die Abstimmung helfen vier Fragen:
-
Welche Webseiten und Anwendungen wurden geprüft?
-
Wo müssen Sicherheitsupdates noch installiert werden?
-
Wer übernimmt die Umsetzung und bestätigt den Abschluss?
-
Müssen Angebote bis zur Absicherung vorübergehend offline bleiben?
Dass eine Webseite erreichbar ist und augenscheinlich funktioniert, ersetzt keine technische Prüfung. Ebenso lässt eine pauschale Rückmeldung wie "Wir kümmern uns darum" offen, ob weiterhin Handlungsbedarf besteht.
Updates einspielen und Abschluss bestätigen
Die verfügbaren Sicherheitskorrekturen sollten durch die zuständigen IT-Verantwortlichen installiert werden. Unternehmen sollten sich anschließend bestätigen lassen, welche Anwendungen abgesichert wurden und welche Arbeiten noch ausstehen.
Warum eine schnelle Reaktion zählt, verdeutlichen die Folgen verspäteter Maßnahmen gegen eine Microsoft-Exchange-Schwachstelle. Trotz einer Warnung blieben damals bei Unternehmen bekannte Einfallstore offen.
Kann ein betroffenes Angebot nicht sofort abgesichert werden, sollte die zuständige IT eine vorübergehende Trennung vom öffentlichen Netz prüfen. Für Kund:innen müssen dann alternative Kontaktwege klar erkennbar sein.
Eine Webseite kann vorsorglich offline gehen, um einen Angriff zu verhindern. Ob die Sicherheitslücke zuvor bereits ausgenutzt wurde, müssen IT-Verantwortliche gesondert prüfen. Das Update schließt die Schwachstelle, gibt aber keine Auskunft über mögliche frühere Zugriffe.
Kommentar veröffentlichen