KI-Tools decken kritische PHP2Shell-Schwachstelle in veralteter Web-Infrastruktur auf

Ende Oktober 2026 gaben Cybersicherheitsforscher die PHP2Shell-Schwachstelle bekannt. Es handelt sich um einen kritischen Fehler, der einen großen Teil des Internets betrifft, darunter NASA, Wikipedia und das Weiße Haus. Die Entdeckung wurde durch KI-gestützte Analysen ermöglicht, die einen zuvor ignorierten Speicherfehler in ein schwerwiegendes Risiko für Remote Code Execution verwandelten. Kurz nachdem die PHP Foundation informiert worden war, wurde ein Patch veröffentlicht, der eine aktive Ausnutzung durch böswillige Akteure verhinderte.

Was passiert ist

Das zugrunde liegende Problem ging auf einen Fehler zurück, der bereits 2024 an die PHP Foundation gemeldet wurde. Dieser Fehler führte zu Out-of-Memory-Fehlern, die normalerweise nur zum Absturz des Programms führen, nicht jedoch zu Sicherheitsverletzungen. Da Abstürze oft als Stabilitätsprobleme und nicht als Bedrohungen der Sicherheit angesehen werden, blieb der Fehler jahrelang unbehandelt. Er lag zwischen vielen anderen Berichten mit niedriger Priorität und wartete auf Aufmerksamkeit, die aufgrund des enormen Aufwands für die Wartung von Legacy-Code nie kam.

Die Situation änderte sich, als das Cybersicherheitsunternehmen Calif, gesponsert von OpenAI, ein unabhängiges Audit von PHP durchführte. Innerhalb von zwei Wochen identifizierte ein Forscher unter Einsatz von KI-Tools eine Methode zur Ausnutzung dieses Out-of-Memory-Zustands. Anstatt den Server lediglich zum Absturz zu bringen, ermöglichte der Exploit Angreifern, beliebigen Code auf dem Hostsystem auszuführen. Diese Eskalation verwandelte einen harmlosen Bug in eine kritische Schwachstelle, die es erlaubte, Malware zu installieren oder sensible Daten zu stehlen. Das Team alarmierte sofort die PHP Foundation und löste damit eine Notfallreaktion aus.

Nach der Offenlegung entwickelte ein Team aus vier Ingenieuren zwei Monate lang einen umfassenden Patch. Die Dringlichkeit ergab sich aus den potenziellen Auswirkungen auf weit verbreitete Plattformen wie WordPress und Drupal. Obwohl keine böswilligen Akteure die Schwachstelle vor der Veröffentlichung des Fixes ausnutzten, verdeutlichte der Vorfall, wie schnell KI Gefahren in älteren Software-Stacks aufdecken kann, die menschliche Prüfer möglicherweise übersehen oder als weniger prioritär einstufen.

Wie es funktioniert

Die Ausnutzung der PHP2Shell-Schwachstelle erforderte eine präzise Manipulation des Serverspeichers. Der Angreifer musste genau berechnen, wie man zu einer bestimmten Speicheradresse springt und welche Bits in welcher Reihenfolge überschrieben werden müssen, um die Kontrolle über das System zu erlangen. Dieser Prozess umfasst komplexe, spezifische Überlegungen, die für Menschen mühsam und fehleranfällig sind. Wie Suman Jana, Associate Professor an der Columbia University, feststellte, ist dies zwar keine Raketenwissenschaft, erfordert aber schmerzhafte, detaillierte logische Schritte.

KI-Tools unterstützten die Forscher bei diesem intricaten Denkprozess. Die Modelle halfen dabei, das Speicherlayout abzubilden und die exakte Sequenz der Operationen zu identifizieren, die für Remote Code Execution erforderlich waren. Dies bedeutet nicht, dass die KI allein handelte; die Forscher verfügten über tiefgreifende Expertise sowohl in Cybersicherheit als auch in PHP. Allerdings beschleunigte die KI den Entdeckungsprozess und ermöglichte es Experten, Teile der manuellen Fleißarbeit beim Verfolgen von Pfaden der Speicherkorruption zu umgehen.

Der Patching-Prozess nutzte ebenfalls neue KI-Fähigkeiten. Laut Jana können neue Tools zur formalen Verifizierung nun Patches generieren und sogar Beweise dafür liefern, dass diese Patches korrekt sind. In diesem Workflow erzeugt ein LLM den Code-Fix und einen mathematischen Beweis seiner Gültigkeit, während ein separates formales Checker-Tool den Beweis verifiziert. Dieser Ansatz zielt darauf ab, die Asymmetrie zwischen dem Auffinden von Fehlern und deren Behebung zu verringern und sicherzustellen, dass Reparaturen keine neuen Fehler einführen oder bestehende Funktionen beeinträchtigen.

Wichtige Details

• Die Schwachstelle betraf große Websites wie NASA, Wikipedia und das Weiße Haus sowie jede Seite, die WordPress oder Drupal nutzt.
• Die Ursache war ein 2024 gemeldeter Out-of-Memory-Bug, der zunächst als Crash-Problem mit niedriger Priorität behandelt wurde.
• Das Cybersicherheitsunternehmen Calif, gesponsert von OpenAI, nutzte KI-Tools, um den Exploit innerhalb von zwei Wochen nach Beginn ihres Audits zu entdecken.
• Der Exploit ermöglichte Remote Code Execution, wodurch Angreifer sensible Daten lesen oder Malware auf Hostservern installieren konnten.
• Ein Team aus vier Ingenieuren verbrachte zwei Monate mit der Entwicklung und dem Testen des Patches, um sicherzustellen, dass alle Angriffsvektoren geschlossen wurden, ohne die Funktionalität zu beeinträchtigen.
• Tools zur formalen Verifizierung werden in den Patching-Prozess integriert, wobei LLMs sowohl Fixes als auch Korrektheitsbeweise generieren.

Warum das wichtig ist

Dieser Vorfall signalisiert einen Wandel in der Bedrohungslandschaft für Entwickler, die Legacy-Systeme warten. Jahrzehntelang war die technische Schuld in älteren Sprachen wie PHP beherrschbar, da die Ausnutzung tiefer Speicherfehler immensen menschlichen Aufwand erforderte. KI senkt diese Hürde und ermöglicht es qualifizierten Forschern, Schwachstellen viel schneller zu finden und zu weaponisieren. Das bedeutet, dass alter, vernachlässigter Code nun einem Maß an Prüfung ausgesetzt ist, dem er sich noch nie stellen musste, wodurch kleine Stabilitätsprobleme zu kritischen Sicherheitsrisiken werden.

Für Softwareentwickler unterstreicht dies die dringende Notwendigkeit, technische Schulden abzubauen. Die Asymmetrie zwischen Angriff und Verteidigung bleibt eine Herausforderung, insbesondere für Open-Source-Projekte mit begrenzter Finanzierung. Verteidiger müssen sich nun mit Gegnern auseinandersetzen, die Zugang zu leistungsstarken KI-Assistenten haben. Diese Dynamik setzt Organisationen unter Druck, in bessere Wartungspraktiken zu investieren und die Open-Source-Infrastruktur, auf die sie angewiesen sind, zu unterstützen, anstatt anzunehmen, dass Unbekanntheit sie schützen wird.

Darüber hinaus wird die Rolle der KI sowohl bei Angriffen als auch bei der Verteidigung zentral. Während KI die Entdeckung von Schwachstellen beschleunigt, bietet sie auch neue Wege, Fixes durch formale Methoden zu verifizieren. Die Abhängigkeit von diesen Tools erfordert jedoch sorgfältige Aufsicht, da Modelle halluzinieren können. Die Branche muss sich anpassen, indem sie formale Verifizierung in Entwicklungsworkflows integriert und sicherstellt, dass Sicherheitsupdates sofort angewendet werden, da Verzögerungen in dieser neuen Ära automatisierter Ausnutzung katastrophal sein können.

Was Sie tun können

• Aktualisieren Sie alle PHP-basierten Systeme, einschließlich WordPress- und Drupal-Installationen, sofort auf die neuesten gepatchten Versionen.
• Priorisieren Sie die Lösung alter Fehlerberichte im Zusammenhang mit Speicherfehlern oder Abstürzen, da diese ausnutzbare Schwachstellen verbergen könnten.
• Investieren Sie in Tools zur formalen Verifizierung für kritische Codepfade, um die Validierung von Sicherheitspatches zu automatisieren.
• Beobachten Sie Sicherheitswarnungen der PHP Foundation und anderer Open-Source-Maintainer aufmerksam auf neue Offenlegungen.
• Stellen Sie Budget für regelmäßige Sicherheitsaudits von Legacy-Codebasen bereit, möglicherweise unter Nutzung von KI-gestützten Testdiensten.
• Fördern Sie die sofortige Installation von Sicherheitsupdates in Ihrer gesamten Organisation, um das Zeitfenster der Exposition zu minimieren.