PHP2Shell: Wenn KI Jahrzehnte alte Sicherheitslücken zum Leben erweckt

Die Sicherheitslandschaft hat sich grundlegend verändert. Kürzlich sorgte «PHP2Shell» für Schlagzeilen – eine Reihe von kritischen Sicherheitslücken im Kern von PHP, die potenziell 70 % des Internets betrafen. Das Erstaunliche daran: Die zugrunde liegenden Fehler existierten teilweise seit über 20 Jahren unentdeckt oder wurden als «nicht ausnutzbar» eingestuft.

Die Rolle der KI beim Finden von Schwachstellen

Dass diese Lücken jetzt geschlossen werden konnten, verdanken wir unter anderem dem Einsatz von Frontier-KI-Modellen. Forscher nutzen KI, um komplexe Code-Strukturen zu analysieren, die für menschliche Prüfer oft zu mühsam oder zu unübersichtlich sind. Während einige Aspekte der Schwachstellen bereits 2024 bekannt waren, fehlte damals der Beweis, dass sie tatsächlich für Angriffe genutzt werden können. Die KI konnte diese komplexen Angriffsketten nun autonom zusammensetzen.

Kein Einzelfall: Der «Vulnerability Storm» von 2026

PHP2Shell ist jedoch kein isoliertes Ereignis. Wir erleben aktuell einen regelrechten Sturm an Neuentdeckungen. Allein in den ersten acht Monaten des Jahres 2026 wurden bereits mehr ausgenutzte Schwachstellen registriert als im gesamten Vorjahr. Die Google Threat Intelligence Group (GTIG) berichtet von einem Anstieg der monatlichen Zero-Day-Funde von durchschnittlich 8 auf 11. Besonders betroffen sind derzeit:

• KI-Frameworks: Über 1.500 Sicherheitslücken wurden allein dieses Jahr in Orchestrierungs-Frameworks wie OpenClaw gefunden.
• Authentifizierung: Erstmals wurden durch KI generierte Zero-Day-Exploits bestätigt, die sogar 2FA-Systeme (Zwei-Faktor-Authentifizierung) im grossen Stil umgehen können.
• Legacy-Code: Überall dort, wo alter Code («Technical Debt») seit Jahrzehnten läuft, findet die KI nun Wege, die zuvor als theoretisch galten.

Was bedeutet das für die Zukunft?

Wir treten in eine Ära ein, in der KI sowohl zum Schild als auch zum Schwert wird:

• Schnellere Entdeckungen: KI findet Schwachstellen in Rekordzeit, die Jahrzehnte lang übersehen wurden.
• Automatisierte Exploits: Was früher Expertenwochen erforderte, kann KI heute in Tagen oder Stunden zu einem funktionierenden Angriff kombinieren.
• Aktiv bleiben ist Pflicht: Es reicht nicht mehr, nur sporadisch zu patchen. Die Zeitspanne zwischen der Veröffentlichung einer Lücke und dem ersten Angriff (Time-to-Exploit) ist massiv gesunken und liegt teilweise bei unter acht Stunden.

Für uns Webentwickler heisst das: Wir müssen am Ball bleiben. Die Sicherheit unserer Plattformen ist kein Zustand, sondern ein Prozess. Massgeschneiderte Lösungen und ein wachsames Auge auf die neuesten Entwicklungen sind wichtiger denn je. Wer seine Systeme nicht proaktiv überwacht und regelmässig aktualisiert, wird zum leichten Ziel.