Die PHP-Lücke zeigt: Das Internet ist nicht sicher genug für das KI-Zeitalter

Pro Artikel

Die PHP-Lücke zeigt: Das Internet ist nicht sicher genug für das KI-Zeitalter

Eine Sicherheitslücke in der Skriptsprache PHP hat weltweit Besorgnis ausgelöst. Dabei ist der Vorfall noch glimpflich abgelaufen. Künftig wird es vermehrt solche Grossereignisse geben – mit womöglich schlimmeren Folgen.

23.10.2026, 08.55 Uhr

3 Leseminuten

Die Sicherheitslücke «php2shell» hat in den vergangenen Tagen für grosse Unruhe und zum vorübergehenden Ausfall von zahlreichen Websites geführt. Doch bis jetzt scheint das Ereignis relativ glimpflich ausgegangen zu sein. Von schwerwiegenden Cyberangriffe, die über die gravierende Schwachstelle in der Skriptsprache PHP erfolgt wären, ist bis heute nichts bekannt.

Optimieren Sie Ihre Browsereinstellungen

NZZ.ch benötigt JavaScript für wichtige Funktionen. Ihr Browser oder Adblocker verhindert dies momentan.

Bitte passen Sie die Einstellungen an.

Bei einem nächsten solchen weltweiten Sicherheitsvorfall kann das anders sein. Und ein solcher kommt bestimmt. Künstliche Intelligenz hilft dabei, komplexe Sicherheitslücken zu finden.

Beim Fall der PHP-Lücke lief lange alles vorbildlich ab. Eine Sicherheitsfirma hatte die Schwachstelle mithilfe von KI entdeckt und den Fund im August den Entwicklern des Open-Source-Projekts gemeldet. Diese begannen unter grösster Geheimhaltung an einem Sicherheitsupdate zu arbeiten. Denn solange es keine Lösung gibt, sollte eine Schwachstelle nicht öffentlich bekannt werden. Sonst wird es gefährlich.

Zu dieser Situation kam es bei «php2shell» erst in den letzten Tagen und Stunden vor der Veröffentlichung des Sicherheitsupdates. Informationen über eine schwerwiegende Lücke begannen zu kursieren. Es kam zu Angriffsversuchen – und zahlreiche Betreiber schalteten daraufhin ihre Websites vorsorglich vorübergehend ab. Denn bei einem Webserver gibt es keine andere wirksame Sicherheitsvorkehrung.

Ein tagelanges Chaos droht

Ein Worst-Case-Szenario hingegen könnte ganz anders aussehen. Wenn böswillige Hacker auf diese gravierende Sicherheitslücke in PHP gestossen wären, hätten sie Zeit gehabt, eine funktionierende Angriffsmethode zu entwickeln. Damit hätten sie dann gleichzeitig eine riesige Anzahl von Websites manipulieren oder die Webserver kapern können. Die Betreiber wären machtlos gewesen, bis die Entwickler ein erstes behelfsmässiges Sicherheitsupdate publiziert hätten.

Ein solches Ereignis hätte zu einem weltweiten Chaos geführt. Vermutlich über Tage hinweg.

Solche Szenarien sind nicht neu. Es gab sie bereits vor der Verbreitung von künstlicher Intelligenz. Doch KI beschleunigt die Angriffe nun stark. Das macht die Situation gefährlicher.

Bei schweren Sicherheitslücken reicht es nicht mehr, das Update erst Tage oder gar Wochen nach Erscheinen zu installieren – wie das bisher gängige Praxis war. Es braucht eine praktisch sofortige Reaktion. Das stellt die IT-Verantwortlichen vor grosse Herausforderungen. Es braucht neue Prozesse.

Erschwerend kommt hinzu: Wegen KI dürfte es in nächster Zeit vermehrt zu solchen weltweiten Sicherheitsvorfällen kommen. Wie bei der PHP-Lücke könnten auch andere komplexe Schwachstellen entdeckt werden, die über Jahre unbemerkt blieben.

KI macht es einfacher, solche verborgenen Lücken zu finden. Wichtig ist deshalb, dass die Entwickler genügend Ressourcen haben, um diese Schwachstellen zu finden – bevor es ein böswilliger Angreifer tut. Denn diese suchen ebenfalls danach.

Im Fokus stehen dabei jene Softwarekomponenten, die in der breiten Öffentlichkeit kaum jemand kennt, aber überall im Einsatz sind. Taucht dort eine Schwachstelle auf, sind IT-Systeme weltweit in Gefahr. Das war nun bei PHP der Fall.

Häufig handelt es sich bei diesen Softwarekomponenten um Open-Source-Projekte, welche bereits bisher mit knappen finanziellen und personellen Mitteln auskommen mussten. Die Beschleunigung durch KI ist für sie eine zusätzliche Schwierigkeit. Diese Projekte brauchen mehr Unterstützung. Sonst wird der Vorteil, den die Angreifer derzeit dank KI haben, noch grösser.

Die Welt funktioniert nur dank IT-Systemen

KI hat das Internet nicht unsicherer gemacht. Es war bereits lottrig konstruiert. Künstliche Intelligenz führt uns die Mängel jetzt schonungslos vor Augen. Es braucht deshalb eine konsequente Priorisierung des Themas Cybersicherheit, um das Internet für das KI-Zeitalter zu rüsten.

Das Funktionieren unseres Alltags hängt von sicheren IT-Systemen ab.

Der Vorfall mit PHP ist noch nicht ausgestanden. In den nächsten Tagen und Wochen dürfte es noch zu erfolgreichen Angriffen kommen. Das Sicherheitsupdate ist inzwischen zwar verfügbar, aber es ist noch nicht überall installiert. Zu hoffen ist, dass schwerwiegende Angriffe weiterhin ausbleiben.

Die PHP-Lücke ist in jedem Fall ernst zu nehmen: als Warnung dafür, dass es das nächste Mal viel schlimmer kommen kann – und es jetzt mehr IT-Sicherheit braucht.

Passend zum Artikel