OpenAI-Modell hilft Forschern, schwerwiegende PHP-Schwachstellen aufzudecken, die die meisten Websites betreffen
Wichtige Erkenntnisse
- •Sicherheitsforscher bei Calif entdeckten die PHP2Shell-Schwachstellen im August 2026 und nutzten OpenAIs Modell GPT-5.6 Sol, um den PHP-Quellcode zu prüfen.
- •Die Schwachstellen ermöglichen Remote Code Execution und Kontrolle über den Serverspeicher; Experten ziehen Vergleiche zur Heartbleed-OpenSSL-Schwachstelle von 2014.
- •Eine koordinierte Offenlegung unter Beteiligung von PHP-Maintainern und US-Behörden wie CISA und ONCD führte nach einer teilweisen Leckage zu einem vorgezogenen Patch, der am 22. Oktober 2026 veröffentlicht wurde.
- •OpenAI kündigte am 21. Oktober 2026 die Initiative „Patch the Planet“ an und sichert 1 Milliarde US-Dollar an subventioniertem Modellzugang für Verteidiger an der Frontlinie zu.
- •Da PHP rund 70 % der Websites weltweit betreibt, werden Betreiber zum zeitnahen Einspielen des Patches aufgerufen, um Datenabfluss und Folgeangriffe zu verhindern.
Sicherheitsforscher haben mit Unterstützung eines OpenAI-Modells schwerwiegende Schwachstellen in PHP aufgedeckt, der Open-Source-Skriptsprache, die rund 70 % der Websites weltweit betreibt.
Die Schwachstellen, die gemeinsam unter dem Namen PHP2Shell bekannt wurden, gelten als möglicherweise die schwerwiegendsten, die in PHP seit mehr als einem Jahrzehnt entdeckt wurden, und einige Experten ziehen Vergleiche zu Heartbleed, der berüchtigten OpenSSL-Schwachstelle aus dem Jahr 2014, die Angreifern das Auslesen großer Teile des Serverspeichers ermöglichte.
Was die Forscher fanden
Die Schwachstellen traten bei einer Prüfung zutage, die Forscher der Sicherheitsfirma Calif im August 2026 durchführten. Das Team nutzte GPT-5.6 Sol, eines der Modelle von OpenAI, um den Quellcode von PHP zu durchsuchen. Ryan Austin von Calif wird die Entdeckung der Schwachstellen zugeschrieben.
Die Fehler ermöglichen Remote Code Execution und Kontrolle über den Serverspeicher. Praxisbezogen bedeutet dies: Ein Angreifer, der sich irgendwo im Internet befindet, könnte einen Server dazu zwingen, Anweisungen auszuführen, die er niemals ausführen sollte.
Ein Grund für die Bedeutung des Fundes ist der Ort der Schwachstellen: in PHP selbst – nicht in einer einzelnen Anwendung oder einem Plugin, das darauf aufbaut.
Den Forschungsergebn zufolge könnten die Schwachstellen sensible Daten von Website-Besitzern offenlegen. Sie könnten außerdem als Sprungbrett für weitere Cyberangriffe auf andere Systeme dienen.
Wie die Offenlegung ablief
Calif-Chef Thai Duong warnte am 11. August Volker Dusch, der an PHP arbeitet, und leitete damit eine stille, koordinierte Bemühung ein, das Problem zu beheben, bevor Angreifer davon erfahren konnten. Dieser Vertraulichkeit-vorrangige Ansatz ist die in der Sicherheitsszene übliche Praxis der koordinierten Schwachstellenoffenlegung, bei der Fehler hinter verschlossenen Türen gepatcht werden, bevor Details öffentlich werden.
Die Reaktion vereinte PHP-Maintainer, externe Forscher, Sicherheitsanbieter und US-Behörden wie CISA (Cybersecurity and Infrastructure Security Agency) und ONCD (Office of the National Cyber Director).
OpenAI kündigte seine Initiative „Patch the Planet“ am 21. Oktober 2026 an. Das Programm soll Verteidiger rund um die PHP2Shell-Schwachstellen mobilisieren und die koordinierte Patch-Bemühung unterstützen. Eine teilweise Leckage von Informationen über die Schwachstellen zwang das Team, die Patch-Veröffentlichung auf den 22. Oktober vorzuziehen.
Im Rahmen der Initiative stellt OpenAI 1 Milliarde US-Dollar an subventioniertem Modellzugang bereit. Ziel ist es, KI-Werkzeuge in die Hände von Verteidigern an der Frontlinie zu geben, die an Schwachstellen dieser Art arbeiten.
Warum KI-gestützte Fehlersuche das Bild verändert
In der Forschung zitierte Experten zogen die naheliegende Parallele zu Heartbleed. Sie betonten auch, dass KI-gestützte Schwachstellensuche ein zweischneidiges Schwert ist: Dieselbe Fähigkeit, die Verteidigern hilft, Lücken zu entdecken, könnte Angreifern helfen, sie zu finden und auszunutzen.
Diese Spannung steht im Zentrum von OpenAis Milliardenschwerer Zusage. Wenn Modelle kritische Fehler schneller aufdecken können, wird das Rennen zu der Frage, wer sie zuerst nutzt. Subventionierter Zugang für Verteidiger ist der Versuch, dieses Rennen zu Gunsten derer zu kippen, die die Patches einspielen.
Was das bedeutet
Für Website-Betreiber ist die unmittelbare Priorität einfach: aktualisieren. Ein Patch existiert, und die teilweise Leckage bedeutet, dass die Uhr schneller tickte, als es irgendjemandem lieb war. Da PHP einen so großen Teil des Webs trägt, gilt das Update weit über jede einzelne Website oder jeden Hosting-Anbieter hinaus.
Für die Open-Source-Welt ist PHP2Shell eine weitere Erinner an ein strukturelles Problem: Kritische Internetinfrastruktur ruht häufig auf Projekten, die von kleinen Teams betreut werden – eine Abhängigkeit, die zu einem systemischen Risiko wird, wenn Schwachstellen dieses Ausmaßes auftreten. Die starke Einbindung US-Behörden in diese Offenlegung zeigt, wie ernst Regierungen diese Abhängigkeit inzwischen nehmen.
Was zu beobachten ist: wie schnell Websites den Patch vom 22. Oktober einspielen, ob Ausnutzungen von PHP2Shell in freier Wildbahn gemeldet werden und wie OpenAI seinen subventionierten Zugang von 1 Milliarde US-Dollar verteilt.
