In der vergangenen Woche gab es eine Flut schwerwiegender und kritischer Software-Schwachstellen, die Tausende große Websites betrafen und Menschen in Panik versetzten. Zwei Remote-Code-Execution-Schwachstellen (RCE) in PHP, PHP2Shell getauft, wurden von unabhängigen Sicherheitsteams von Calif und Wiz entdeckt, die beide Frontier-KI-Modelle nutzten, um die Fehler zu finden und funktionierende Exploits zu entwickeln. Schätzungen zufolge könnte der Fehler mehr als 70 % des Internets betreffen, Tausende Websites sind betroffen, darunter die Wikimedia Foundation, DeviantArt, große Teile der britischen Regierung, japanische Bankensysteme und die Website von The Traitors der BBC.
Eine der Schwachstellen, CVE-2026-109618, war tatsächlich bereits in einem Sicherheitsaudit der PHP Foundation aus dem Jahr 2024 markiert worden, das von der Sovereign Tech Agency finanziert wurde. Das Team legte sie beiseite, weil es größere Probleme hatte und sich nicht auf eine Lösung einigen konnte. Man ging davon aus, dass aus dem theoretischen Problem niemand einen echten Exploit bauen könne. KI-Modelle haben diese Rechnung verändert. Sie sind sehr gut darin, eine vage Schwachstellenbeschreibung in einen vollständigen Exploit zu verwandeln, und Agenten können heute Patch-Diffs innerhalb von Augenblicken nach der Veröffentlichung scannen, um die Lücke rückwärts zu finden.
Das Embargo brach zusammen, als ein Nutzer namens petecooper auf Hacker News über die CVEs postete, offenbar ohne zu wissen, dass ein Embargo bestand. Die PHP Group zog den Patch hastig vom Donnerstag, dem 22., auf Mittwoch, den 21., vor, doch die Korrektur war noch einen weiteren Tag entfernt. Die durchgesickerten CVSS-Werte von 10.0 waren zudem ungenau, der tatsächliche Wert lag bei 9.2. Bis der Patch veröffentlicht wurde, wurde der Fehler bereits in freier Wildbahn ausgenutzt.
Die PHP Foundation machte Calif verantwortlich, das angeblich ein Video des Exploits geleakt hatte, sowie Chainguard, das Korrekturen sechs Stunden vor Ende des Embargos veröffentlichte. Der Ablauf der Ereignisse ist verwirrend, doch es scheint, dass mehrere miteinander verbundene Fehler Angreifern den Zugriff auf Systeme ermöglichten, bevor Administratoren patchen konnten.
Quelle: Hacker News · Zusammengefasst von HeadlinesBriefing