„Black October“: Wenn KI Sicherheitslücken findet, bevor es andere tun

Zwei kritische Sicherheitslücken in PHP haben in der vergangenen Woche Webseitenbetreiber weltweit in Bewegung versetzt. Gefunden wurden sie mithilfe von KI. Das ist eine gute Nachricht – und zugleich ein ziemlich deutlicher Hinweis darauf, wie sich IT-Sicherheit gerade verändert.

Wenn Sicherheitslücken einen eigenen Namen bekommen, ist das selten ein gutes Zeichen. „PHP2Shell“ lehnt sich an „Log4Shell“ an, eine Schwachstelle, die Ende 2021 IT-Abteilungen über die Feiertage beschäftigt hat. In Fachkreisen ist inzwischen schon vom „Black October“ die Rede. Etwas Dramatik gehört in der Sicherheitsbranche offenbar zum Handwerk. Diesmal ist sie allerdings nicht ganz unbegründet.

Was passiert ist

PHP ist eine Programmiersprache, mit der ein großer Teil des Internets läuft: WordPress, Joomla, Drupal, TYPO3 und auch die Lernplattform Moodle bauen darauf auf. Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Korrekturen für zwei Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Über sie lässt sich nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) aus der Ferne Schadcode auf Webservern ausführen – ohne Anmeldung und ohne dass jemand etwas anklicken muss. Auf der Skala von 0 bis 10 erreichen beide Lücken einen Schweregrad von 9,2. ^[1]

Betroffen sind PHP-Versionen bis zurück zu 5.4. Der Fehler steckt also seit über zehn Jahren im Code. Korrigiert ist er in den Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. ^[2] · ^[3]

Das BSI gab eine Warnung der Stufe 3 (Orange) heraus und riet, Server im Zweifel vom Netz zu nehmen. Die Stadt Mainz schaltete ihre Webseiten vorsorglich ab. ^[4] Eine erfolgreiche Ausnutzung in großem Umfang war dem BSI mit Stand vom 22. Oktober nicht bekannt. ^[1]

Gefunden von Menschen – mit KI an der Seite

Entdeckt wurden die Lücken von Fachleuten der Sicherheitsfirmen Wiz und Calif sowie von OpenAI. Beteiligt waren außerdem das PHP-Sicherheitsteam und Googles Gemini-Team. Die Forschenden beschreiben ihre Arbeit ausdrücklich als KI-gestützt. ^[2] Laut Berichten hatte eine frühere externe Prüfung des Codes zwar erste Auffälligkeiten bemerkt, aber keinen konkreten Angriffsweg gefunden. Den lieferte erst die Suche mit KI-Unterstützung. ^[5]

Das ist zunächst ein Erfolg. Die Schwachstellen wurden vertraulich gemeldet, gemeinsam geprüft und erst mit verfügbaren Korrekturen öffentlich gemacht. So soll verantwortungsvolle Sicherheitsforschung funktionieren.

Die unbequeme Seite liegt auf der Hand: Was Verteidigern hilft, Fehler zu finden, hilft auch Angreifern. KI durchsucht Code geduldig, schnell und ohne Kaffeepause. Ob eine Lücke zuerst von einem Sicherheitsteam oder von einer kriminellen Gruppe entdeckt wird, ist damit immer häufiger eine Frage von Tempo und Ressourcen. Zugleich schrumpft die Zeit zwischen Veröffentlichung und erstem Angriff. Bei PHP2Shell warnten Fachleute schon vor dem Patch, dass funktionierende Angriffswerkzeuge innerhalb von Stunden auftauchen könnten. ^[4]

Das WordPress-Update beruhigt – hilft aber nicht

Für die Praxis ist ein Punkt besonders wichtig: Die Lücken liegen nicht in WordPress, einem Theme oder einem Plugin, sondern in PHP selbst, also in der Software auf dem Server. Der beherzte Klick auf „Jetzt aktualisieren“ im WordPress-Dashboard fühlt sich verantwortungsvoll an, ändert an diesem Problem aber nichts. ^[2]

Wer eine Webseite bei einem Hoster betreibt, ist in der Regel darauf angewiesen, dass dieser PHP aktualisiert. Bei eigenen Servern liegt die Aufgabe bei der eigenen IT. Welche PHP-Version läuft, zeigt in WordPress der Bereich „Werkzeuge → Website-Zustand → Bericht“. Steht dort eine der korrigierten Versionen oder eine neuere, ist dieser Teil erledigt.

Auch diese Seite läuft übrigens mit WordPress und PHP. Der Blick in den Website-Zustand zeigt: Der Hoster hat bereits auf eine korrigierte Version umgestellt. Ein kurzer Moment der Erleichterung sei mir an dieser Stelle erlaubt.

Was Bibliotheken jetzt fragen sollten

Bibliotheken betreiben selten eigene Webserver. Ihre Webseiten, Kataloge, Veranstaltungskalender oder Lernangebote laufen häufig über die Kommune, einen Verbund, einen Dienstleister oder einen Hoster. Mit PHP arbeiten dabei nicht nur Webseiten: Auch das verbreitete Discovery-System VuFind und viele Moodle-Installationen in Schulen und Hochschulen basieren darauf.

Die wichtigste Aufgabe ist deshalb nicht, selbst Server zu patchen, sondern die richtigen Fragen zu stellen:

Welche eigenen Online-Angebote laufen mit PHP?
Wer ist jeweils für die Server zuständig – und wurde PHP bereits aktualisiert?
Gibt es Hinweise auf ungewöhnliche Änderungen, etwa unbekannte Administratorkonten oder neue Dateien?
Wie ist geregelt, wer bei der nächsten Warnung schnell informiert wird?

Gerade die letzte Frage dürfte künftig wichtiger werden. Wenn KI Sicherheitslücken schneller sichtbar macht, kommen Warnungen voraussichtlich häufiger und kurzfristiger. Klare Zuständigkeiten sind dann mehr wert als jede noch so gut gemeinte Panik.

Auch eine Übung in Nachrichtenkompetenz

Die Berichterstattung über PHP2Shell eignet sich außerdem gut, um über Nachrichten zu sprechen. „Millionen Webseiten bedroht“ ist eine korrekte Überschrift. Sie bedeutet aber nicht, dass Millionen Webseiten gehackt wurden. Zwischen „verwundbar“, „Angriffsversuche beobachtet“ und „erfolgreich ausgenutzt“ liegen erhebliche Unterschiede. Wer Sicherheitsmeldungen einordnen kann, reagiert angemessener – und muss nicht bei jeder Schlagzeile das Rechenzentrum in Gedanken schon brennen sehen.

Für die Medienbildung lässt sich daraus eine allgemeinere Erkenntnis mitnehmen: KI verändert nicht nur, wie Texte entstehen, sondern auch, wie schnell digitale Infrastruktur überprüft, angegriffen und repariert wird. Dieser Teil der Entwicklung ist weniger sichtbar als ein Chatbot. Betreffen kann er trotzdem jede Webseite.

Stand: 26. Oktober 2026. Die Lage entwickelt sich weiter; aktuelle Hinweise veröffentlichen das BSI und das PHP-Projekt.